Räven sätts att vakta hönsen – dags flytta IT-säkerhet från MSB?

Med Dan Eliassons tillsättning som GD för Myndigheten för samhällskydd och beredskap (MSB) sätts räven att vakta hönsen. På MSB:s uppgifter hittas bland annat IT-säkerhetsarbete och varningssystem som svenska CERT. Eliasson har tidigare medvetet och aktivt brutit mot säkerhetsskyddsförordningen och beordrat att hemliga uppgifter ska skickas med ej godkända system, och kan inte ges det yttersta ansvaret för svensk IT-säkerhet.

Avgående rikspolischef och blivande generaldirektör för MSB Dan Eliasson.

Innan Dan Eliasson tillsattes som generaldirektör för MSB har vi redan nåtts av beskedet att åtminstone svenskt psykologiskt försvar ska bli en egen myndighet. Det är olyckligt med nya myndigheter, men så här i efterhand är det bättre att psykologiskt försvar hålls så långt borta från Dan Eliasson som möjligt. 

Samtidigt bröt Dan Eliasson mot säkerhetsskyddsförordningen som RPC och beordrade att skyddsvärda uppgifter för svenskt totalförsvar skulle skickas med av Försvarsmakten ej godkända system. Han struntar alltså helt i allt vad IT-säkerhet innebär, även när det gäller totalförsvaret – ett totalförsvar som han nu som GD för MSB kommer få ansvar över att utveckla och vidmakthålla.

Bland MSB:s uppgifter hittas just IT-säkerhetsarbete och t ex varnings- och övervakningsfunktioner som svenska CERT, som hanterar IT-incidentvarningar. Nu är CERT inte det mest ansedda inom svensk IT-säkerhet enligt uppgifter från flera håll inom svensk säkerhetsbransch, och mycket duktigt folk slutar för att gå vidare till andra anställningar. Fast det lär knappast bli bättre när räven i form av Dan Eliasson ska vakta hönsgården. Han har visat sig ha noll respekt för IT-säkerhet, inte ens när ett agerande bryter mot lagen.

Kanske är det dags att flytta IT-säkerhetsuppgifterna helt bort från MSB, likt för psykologiskt försvar – låt MSB bara ha ansvar för civilt totalförsvar, samhällskydd och beredskap inom den fysiska världen utanför Internet. Det finns trots allt minst en annan myndighet som kan ta över CERT och MSB:s andra uppgifter på området – nämligen Post- och Telestyrelsen (PTS). 

Frågan är alls varför IT-säkerhetsfrågor ska vara uppdelade på både MSB och PTS? Lämpligen kraftsamlas det hela till just PTS. Idag har vi minst tre myndigheter inom sektorn – MSB, PTS och FRA. På grund av särskilda uppgifter lär FRA fortsätta behövas, men kan samtidigt inte ta hand om strikt civila delar, så PTS blir det naturliga vvalet.

Eller så låter man räven vakta hönsen…

Man kan också – vilket flera läsare gjort – fråga sig om inte generalmajor Anders Brännströms avsked som ansvarig för militära delen av totalförsvarsutvecklingen hade med Dan Eliassons förestående tillsättande som GD för MSB att göra. 

I tiden skedde detta med blott en dryg veckas mellanrum. Vi hatar alla slumpen. Anders Brännström hade knappast varit en person som hade tolererat en inkompetent generaldirektör för MSB, och kanske blev ett damoffer för att man skulle lyckas bli av med Eliasson från Polismyndigheten? Det kan till och med vara så att Brännström och Danielsson har en tidigare historia av att inte komma överens? Min uppfattning av Brännström är att det är en person som är mycket svår att manipulera och som skulle sätta ner foten istället för att svansa runt Eliasson på tårna likt alla andra högre chefer och makthavare verkar göra.

Förhoppningsvis är inte Dan Eliassons tillsättning som GD för MSB ett utökat förordnande, utan den resterande tid han har av det sexåriga GD-förordnandet från Polismyndigheten har inte förnyats. Nu gäller det dock att minimera skadan han kan orsaka och snabbt dela bort MSB:s ansvarsuppgifter till andra myndigheter.

Tillägg: Tydligen skriver försvarsberedningen att IT-skyddsarbetet idag är spritt på för många myndigheter och förespråkar att det ska samlas hos Försvarsmakten. Jag är skeptisk, pga löneläget inom Försvarsmakten. IT-säkerhetsexperter är mycket attraktiva på arbetsmarknaden och endast med löneledande ambitioner kan man rekrytera och behålla dessa i statlig tjänst. Det går inte att satsa på att betala de lägsta lönerna i landet.