Snart en månad efter en av de största IT-attackerna i svensk historia så vet Tietoevry fortfarande inte hur attacken gick till.

– Vi vet inte hur man har attackerat här. Men ja, jag vågar påstå att vi har en väldigt hög säkerhet, säger Sverigechefen Venke Bordal till DN.

Smaka på orden – ”väldigt hög säkerhet”.

Mot de orden så står enorma mängder med förlorad information i bjärt kontrast. Anklagelser från kunder som har förlorat 5, 10 och 20 års information och som säger att de aldrig kommer att kunna pussla ihop allt som har gått förlorat därför att Tieroevry inte uppfyllt sin del av avtalet som teknikleverantör – att skydda lagrad information. Det som har hänt är att även säkerhetskopiorna har krypterats när utpressningsprogrammet slog till. Det finns alltså inga kopior att återställa informationen från – allt har krypterats och gjorts oläsligt.

Ansvar

Velling kommun tillhör de som drabbast värst.

– Det är Tietoevrys ansvar att säkerställa avtalsenlig hantering av backuperna, säger Thomas Jarbo, it-chef på Vellinge kommun, till Dagens Nyheter. 

Tre, nästan fyra veckor efter attacken så har flera av Tietoevry kunder ännu inte fått igång sina system och det är tveksamt om de någonsin kommer att kunna återställas till samma skick med samma innehåll, samma information som före attacken. Data är för alltid förlorad samtidigt  som det ska sägas att drabbade också har fått upp sina system igen.

Säkerhet

Hur du än vrider och vänder på Venke Bordals ord så går de inte ihop. Vet du inte hur attacken gick till, hur ett krypterings- och utpressningsprogram sluppit lös i ett av Tietoevrys datacenter och helt slagit ut kommuner, myndigheter och regioner så kan du rimligen inte heller veta om din säkerhet är god.

Kan kunders data inte återställas i samma skick som före attacken så kan du inte heller säga att säkerheten är god, Då har det brutit någonstans i kedjan. Det är lätt att peka finger, lätt att anklaga och kanske förbise det faktum att det som nu inträffat kommer att hända igen och när det händer så kommer fler organisationer att få lära sig den hårda vägen att deras egna säkerhetskopior inte kommer att kunna användas för att återställa informationen.

Inget krångel

Kravet på tillgänglighet, enkelhet och access till information från användarna kan ha lett till att när det skadliga programmet slår till så slås alla system och alla information ut. Grundproblemet här är att god säkerhet inte sällan krockar just med användarnas krav på enkelhet. Det är därför användare väljer ”Secret” eller ”ABC123” som lösenord (om de kan det) – det är enkelt.

Det är därför användare inte säkerhetskopierar sin information förrän det är försent – det är för krångligt.

Det är därför organisationer, företag och myndigheter skriver avtal med teknikleverantörer där de senare skriver under på att de ska ta hand om allt det där, krånglet, och ta betalt för det. De, som kunder, litar på sin leverantör därför att det måste du. det är hela poängen med avtalet – att klargöra vad leceranöten ska leva upp till och vad kunden ska leva upp till.

Visar det sig då att information inte kan återskapas, inte återställas utan är förlorad för alltid – så har leverantören inte levt upp till innehållet i avtalet. Logiskt så kan du då inte heller påstå, som teknikleverantör, att du har ”väldigt hög säkerhet”.

PS, För övrigt lyfter jag på hatten för Linus Larsson som nystat upp hela den här historien. Det är ett stycke gott, mycket gott journalistiskt hantverk som skoningslöst avslöjar vårt moderna samhälls sårbarhet,