Ökade krav på informationssäkerhet – i kris såväl som en vardag kl 8

Kraven på informationssäkerhet och resiliens har ökat markant för myndigheter och aktörer med samhällsviktiga uppdrag. Man ska inte bara klara verksamheten vid kris eller höjd beredskap, utan ha trygg och stabil drift i vardagen – även en måndag klockan åtta.

För fastighetsbolag som hyr ut lokaler till myndigheter och samhällsviktiga aktörer har fastigheten blivit en direkt del av kundens förmåga att fungera. Digital infrastruktur, konnektivitet, styrsystem, tillträde, dokumentation och rutiner är numera integrerade delar av kundens säkerhetsbild. Det räcker inte längre att huset ”står upp” – vi behöver kunna visa att vi skyddar information, minimerar avbrott och bidrar till en robust verksamhet.

I praktiken går det inte heller längre att skilja på fysisk säkerhet och cybersäkerhet. Vem som kommer in i byggnaden och hur systemen är uppkopplade är två sidor av samma fråga. Det gäller inte minst fastighetens OT-miljöer – som BMS, IoT och access – där riskprofilen ofta skiljer sig från traditionell IT. Varje ny uppkopplad funktion ökar attackytan och behöver hanteras systematiskt.

Högre kravbild

Myndigheter och andra samhällsaktörer behöver i allt högre grad säkerställa att deras leverantörer – inklusive fastighetsägare – klarar en skärpt kravbild inom bland annat:

• trygga tekniska och digitala miljöer
• ordning och reda i drift, dokumentation och arbetssätt
• kontrollerade tillträdesrutiner för personal, besökare och leverantörer
• hantering av störningar och avbrott – redundans, återställningsförmåga och tydliga kontaktvägar
• säker hantering av känslig information och dataflöden i och runt fastigheten

Mycket av detta har alltid varit viktigt, men är nu helt centralt – både för vardagsdriften och för samhällets förmåga när det oväntade inträffar. Kundernas säkerhetsavdelningar tittar allt oftare hela vägen ut i fastigheten och ställer tydligare krav tillbaka på oss.

Cyberhot, resiliens och suveränitet

Samtidigt ser vi en fragmenterad verklighet med många leverantörer, olika system och nya SaaS-modeller – per användare, händelse eller yta. Om man inte har gjort hemläxan kan kostnader, beroenden och risker förändras över tid. För samhällsviktiga kunder blir förmågan att förstå, förklara och göra medvetna val i denna karta en del av förtroendekapitalet.

Vi behöver också hantera tre dimensioner samtidigt: cyberhot, resiliens och suveränitet. Det handlar om skydd mot intrång, förmåga att hålla drift vid störningar och kontroll över data och kritiska beroenden.

När AI och dataflöden blir en säkerhetsfråga

Parallellt ser vi hur data lämnar system för att matas in i generella AI-tjänster – av kunder, leverantörer och även av oss själva. Det förändrar riskbilden. Utmaningen är att både vidareutveckla den klassiska informations- och cybersäkerheten i fastigheten och samtidigt hitta sätt att använda AI på ett kontrollerat sätt, där vi vet var datan finns, hur den används och vilka risker vi tar. Frågan är inte längre om vi ska använda AI, utan hur, var och på vilka villkor.

Här blir datasuveränitet viktigare. Det handlar om att veta var data finns, vem som har tillgång till den och hur beroende vi är av enskilda leverantörer. När fler funktioner läggs i molntjänster, fastighetssystem och AI-lösningar ökar behovet av portabilitet och tydliga exit-strategier.

Minst lika viktigt är informationsägarskap och governance. Någon måste ha ansvar för datakvalitet, klassificering, livscykel och beslut om hur data får användas – också i relation till AI. Det är säkerhetsfråga, men också en förutsättning för datadrivna beslut och kundernas förtroende.

En utmaning – och en möjlighet

Säkerhetsarbetet behöver också ses ur ett livscykelperspektiv. Säkerhets- och accesslösningar som var moderna för tio år sedan är sällan tillräckliga i dag om de inte aktivt har underhållits och uppgraderats.
Att planera för uppdateringar, tester och kontrollerad utfasning är en integrerad del av säkerhetsarbetet – inte en separat IT-fråga. Lika viktigt är att undvika onödig teknikskuld. Varje ny lösning utan långsiktig plan ökar komplexiteten och antalet beroenden, oavsett om hotet kommer via en fysisk dörr eller en digital bakdörr.

För fastighetsbolag med samhällsviktiga kunder handlar det om att möta krav och att visa att man är en robust och långsiktig partner.

För REDI.city: Nicklas Walldan och Ulf Däversjö