Vid statsförvaltningens nationella cyberövning attackerades leveranskedjor och kritiska beroendeförhållanden

Den nationella cyberövningen 2026 ordnades för aktörer inom statsförvaltningen den 25–29 maj. Vid övningen strävade man efter att skada de tjänster som riktas till medborgarna genom cyberattacker som utnyttjade metoder och teknik som hotfulla cyberaktörer använder i det verkliga livet.

Syftet med de nationella cyberövningarna (KYHA) är att utveckla kompetensen och samarbetet samt att säkerställa att aktörerna inom kritisk infrastruktur har förmåga att agera i krissituationer som gäller cybersäkerheten. 

”De nationella cybersäkerhetsövningarna är viktiga, eftersom olika aktörer i verkliga cyberstörningssituationer måste kunna agera tillsammans snabbt, effektivt och utifrån en gemensam lägesbild. Övningen är nyttig när den motsvarar en verklig krissituation – och det förutsätter att alla centrala roller deltar”, säger statens biträdande cybersäkerhetsdirektör Janne Allonen från kommunikationsministeriet.

”Den tekniska cybersäkerhetsövningen gör det möjligt för olika personalroller att delta i övningen. Grunden är gedigen datateknisk kompetens, men dessutom behövs funktionella roller till exempel för ledningen och samarbetet mellan organisationerna”, säger Tero Kokkonen, direktör för IT-institutet vid Jyväskylä yrkesinstitut.

I statsförvaltningens cyberövning deltog i år myndigheten för digitalisering och befolkningsdata, Rättsregistercentralen, Patent- och registerstyrelsen, Brottspåföljdsmyndigheten, Statens center för informations- och kommunikationsteknik Valtori och Skatteförvaltningen.

System, tjänster och beroendeförhållanden mellan dem föremål för cyberattacker

Under övningen riktades olika cyberattacker mot organisationernas system och tjänster, och i attackerna utnyttjades äkta metoder och tekniker som används av hotfulla aktörer. Som angreppssätt användes till exempel leveranskedjeangrepp som utnyttjar ömsesidiga beroenden mellan olika organisationer.

”I den RGCE-miljö som används vid övningen har man utöver olika miljöer också byggt upp system och beroendeförhållanden som hänför sig till deras utveckling. Detta möjliggör på ett mycket täckande sätt olika realistiska attacker, såsom attacker i leveranskedjan, som vi sett mycket av i offentligheten under de senaste åren”, berättar Juha Piispanen, ledande sakkunnig vid Jyväskylä yrkeshögskola.

Vid attacker i leveranskedjan är det vanligt att hotaktören först försöker få tillgång till en tillförlitlig identifierad leverantörs kod som organisationerna använder i sin egen verksamhet. Syftet med denna kontakt är att i slutändan kunna påverka den egentliga målorganisationen.

Angriparen kan till exempel smyga in ett sabotageprogram i en brett använd programuppdatering, varvid alla organisationer som installerat den infekteras på en gång.

Realistiska hot och hotaktörer

Utöver leveranskedjeattackerna angreps i övningen bland annat organisationernas system och tjänster så att deras verksamhet hotades eller förhindrades, och egentliga kund- och befolkningsuppgifter stals.

”Ett av målen med övningen är att utveckla organisationernas samarbete vid allvarliga cyberincidenter. För att göra det möjligt för övningsstyrkorna att samarbeta i genuina situationer är det ytterst viktigt att vi i övningsscenariot skapar modeller med realistiska hotaktörer och de attacker de använder”, säger Kokkonen. 

De nationella cybersäkerhetsövningarna genomförs av forsknings-, utvecklings- och utbildningscentret JYVSECTEC (Jyväskylä Security Technology) vid Jyväskylä yrkeshögskolas IT-institut i samarbete med kommunikationsministeriet. Även Säkerhetskommittén deltar i en styrande roll. 

Mer information

Janne Allonen, statens biträdande cybersäkerhetsdirektör, kommunikationsministeriet
[email protected]
tfn 0295 342 212

Tero Kokkonen, direktör, IT-institutet, Jyväskylä yrkeshögskola, 
[email protected],
tfn 0504 385 317