Säkerhetsskyddade upphandlingar av IT-system

• Säkerhetsskyddade upphandlingar av IT-system sker ofta i det tysta, men konsekvenserna av en misslyckad sådan kan bli förödande.
• Flera europeiska länder har skärpt lagstiftningen kring upphandlingar av IT-system för att mota cyberattacker och potentiellt industrispionage.
• Hotbilden förändras snabbt, och upphandlare måste fokusera på avancerade angreppssätt där statligt sponsrade aktörer utnyttjar leveranskedjor.
• En holistisk genomlysning av hela kedjan krävs, från serverhårdvara till mjukvarubibliotek med öppen källkod.
• Att ställa höga säkerhetskrav är ett sätt att skydda sig mot sofistikerade hot.
• Cirka 40 procent av europeiska organisationer har upplevt minst ett allvarligt försök till intrång genom tredjepartsleverantörer.
• Säkerhetsskydd måste vara integrerat från början, med tydliga krav på kryptering, behörighetskontroller och incidentrapportering.
• Zero-trust-arkitektur innebär att inga delar av systemet anses pålitligt förrän bevisad säkert.
• Säkerhetsskyddade upphandlingar kan vara så komplexa och byråkratiska att det skrämmer bort innovativa aktörer.
• Risken finns att myndigheter fastnar med gamla lösningar eller stora multinationella leverantörer.
• Vissa länder försöker lösa detta genom sandlådemiljöer eller ”innovation hubs” där mindre företag kan testas i kontrollerade miljöer innan de släpps in i större upphandlingar.
• Säkerhetsskyddad upphandling överlappar ofta med dataskyddsregelverk som GDPR.
• Det är viktigt att reda ut vem som äger data i olika system, samt hur data lagras, krypteras och raderas i molnmiljöer.
• Involvera en dataskyddsexpert redan innan förfrågningsunderlaget tas fram, för att undvika dyra kontraktsändringar längre fram.
• Ett system kan fallera på grund av mänskliga misstag såsom nätfiske, svaga lösenord och social engineering.
• Kravet på att leverantören tillhandahåller utbildning och kontinuerlig säkerhetsuppföljning är lika avgörande som tekniska garantier..
• Att bygga en kultur där både beställare och leverantörer ser säkerhet som ett gemensamt ansvar är viktigt.
• Säkerhetsskyddade upphandlingar av IT-system kräver en omfattande förståelse för nya hotbilder, en balans mellan innovation och strikta säkerhetskrav, samt förankring i organisationens kultur.

Säkerhetsskyddade upphandlingar av IT-system är avgörande för att motverka cyberattacker och industrispionage. Europeiska länder skärper lagstiftningen kring upphandlingar av IT-system. En holistisk genomlysning av hela kedjan krävs, från serverhårdvara till mjukvarubibliotek.