Europeiska cyberbrott ännu inte kartlagda

Grekland behöver i EU-sammanhang inte bara innebära tragik, tysk folkvrede och trojkarapporter. På ön Kreta, i den lilla staden Heraklion, finns nämligen sedan 2004 EU:s främsta skydd mot illvilliga virusattacker som kan ödelägga hela kommunikationssystem eller komma åt stora summor pengar på företags bankkonton.

Myndighetens mandat går ut om ett år och nu tvistar parlamentariker och medlemsländer om hur dess framtid ska se ut. EU-kommissionen satsar hårt på ett nytt cybersäkerhetscenter i Haag som ska arbeta under EU:s polisbyrå Europol. Därifrån ska cyberbrottslingarna över hela Europa jagas – en verksamhet som är något mer handfast och uppseendeväckande än det förebyggande arbete Enisa gör på Kreta.

Men chefen på Enisa, talar övertygande om varför myndigheten behövs när han besöker Bryssel. Han är tysk, heter Udo Helmbrecht, och förklarar att cyberbrott inte skiljer sig mot gammal vanlig, hederlig brottslighet.

– Det är ingen förändring i mänskligt beteende bara på grund av att det sker på internet. Förut tog man pengar från folk genom ett bankrån med pistol, i dag kan man använda phishing för att göra samma sak, säger Udo Helmbrecht.

Hans kollega, holländaren Marnix Dekker beskriver hur de tidigaste datavirusen attackerade många människor samtidigt utan urskillning. Nu letar de kriminella mer metodiskt upp konton där det finns mycket pengar att komma åt och kan därmed också stjäla mer pengar.

– Och de har kommit åt rejält med pengar, säger Marnix Dekker, säkerhetsspecialist på Enisa.

Då och då släpper antivirusföretag rapporter där de varnar för nätets farligheter och framhåller vikten av att köpa nya program för att internetanvändarna ska skydda sina datorer. Men de råden måste tas med en stor nypa salt, säger Marnix Dekker.

– För det första är marknaden för antivirusprogram helt oreglerad. Det går att sälja produkter som inte fungerar alls. Och de som fungerar har ändå inte löst problemet. Vi måste hitta nya sätt att lösa detta.

Den lösningen Enisa förordar är mer internationellt samarbete mellan till exempel EU-länderna för att kartlägga och förebygga nya virusattacker. Enisa har genomfört flera övningar där attacker simuleras och där nätverkens motståndskraft testas, bland annat tillsammans med USA.

Ett av problemen är att det hittills inte har gjorts någon samlad redovisning för hur många attacker som ägt rum, vilken typ av attacker som förekommer och hur man har försökt skydda sig mot dem. Företag som angrips vill inte gärna medge att man har utsatts för dataintrång på grund av rädslan för att förlora kunder.

Om några veckor släpper Enisa en första rapport där man har samlat in information från 11 EU-länder på incidenter där olika typer av kommunikationsnät har slagits ut, framför allt för mobiltelefoner och mobilt internet. Enligt rapporten inträffade mer än 50 allvarliga händelser i de 11 länderna.

Rapporten är ett resultat av en ny lagstiftning i EU som kräver att länderna har ett minimum av säkerhetskrav i sina nät och rapporterar incidenter. När alla länder har infört lagen fullt ut väntar sig Enisa få en mycket bra bild av var svagheterna finns.

– Vi försöker kartlägga problemet så att man sedan kan åtgärda det, politiskt. Du kan inte fixa det om du inte kan mäta det, säger Udo Helmbrecht.

Han hoppas att rapporteringskraven kan bredda sig till andra typer av säkerhetsmisslyckanden också, som dataintrång och virusattacker, för att kunna bygga upp gemensamma metoder som skyddar mot även den typen av utmaningar. Men då krävs skarpare lagstiftning från EU-håll.

I EU-parlamentets industriutskott höll Udo Helmbrecht sitt föredrag på tisdagen och det tycks ha gått hem. Industriutskottet vill att man förlänger myndighetens mandat med sju år.

– Enisa gör mycket utredningsarbete på europeiska länder, vilket är bra för mycket annat som finns fokuserar på amerikanska förhållanden. Den har också varit till stor hjälp i säkerhetsarbetet för små länder, framför allt de nyaste medlemsländerna, säger Amelia Andersdotter, EU-parlamentariker för Piratpartiet.