AI-drivna cyberhot ökar behovet av snabba insatser

AI-drivna cyberhot förändrar cybersäkerhetslandskapet, men den kanske viktigaste förändringen är inte enbart vad angriparna kan göra – det är hastigheten med vilken angrepp kan ske.

I takt med att AI tar över en större del av arbetet i samband med en cyberattack kommer organisationer få betydligt mindre tid på sig att förstå vad som händer och besluta hur de ska agera. Det förändrar diskussionen kring cybersäkerhet; att vara förberedd handlar inte längre bara om att ha rätt teknik på plats, det handlar också om att veta vilka beslut som måste fattas i förväg och vem som har befogenhet att agera samt hur verksamheten kan fortsätta om kritiska system måste isoleras.

I en nyligen genomförd intervju med den finska affärstidningen Kauppalehti diskuterade Petri Kairinen, verkställande direktör för NetNordic Finland, hur denna förändring redan börjar synas i cyberincidenter på flera håll. Sommaren 2026 bevittnade NetNordic en automatiserad cyberattack riktad mot en av sina finska kunder. Människor hade initierat attacken, men AI skötte en stor del av operationen.

”AI reagerade med enastående snabbhet. Den gjorde allt som stod i dess makt, men SOC-personalen upptäckte det mycket snabbt.”

Attacken kunde stoppas inom 15 minuter, innan den hann orsaka några störningar i kundens verksamhet. Men fallet visar ändå hur mycket kortare reaktionstiden blir så fort automatisering kommer in i bilden. En traditionell angripare kan ägna dagar eller veckor åt att utforska en miljö, leta efter sårbarheter och gradvis ta sig vidare genom systemen. AI kan utföra delar av det arbetet i en helt annan takt.

De viktigaste besluten tas innan en incident inträffar

När en attack tar sig in och sprids lateralt på bara minuter är det nästan omöjligt att varje beslut ska kunna tas genom alla nivåer i organisationen. Det gör förberedelserna till en fråga som direkt rör verksamheten och ledningen, och inte bara en fråga om cybersäkerhet.

Innan en incident inträffar måste organisationen förstå vilka system och tjänster som är avgörande för att verksamheten ska kunna fortsätta. De måste också enas om vad som kan isoleras, när ingripande är nödvändigt och hur stor befogenhet eventuella cyberförsvarscenter och -tjänster bör ha när varje minut räknas.

Som Kairinen förklarade i intervjun med Kauppalehti:

”Företagen bör kartlägga och analysera vilka system som är affärskritiska, och fastställa om en SOC-partner har befogenhet att stänga av systemen för att stoppa en attack.”

Det finns tyvärr ingen universallösning. Att koppla bort en anställds bärbara dator är något helt annat än att stoppa en produktionslinje, isolera infrastruktur som stöder hälso- och sjukvårdstjänster eller avbryta en tjänst som används av tusentals kunder. Vilken åtgärd som är rätt beror på organisationen, hur kritisk dess verksamhet är och vilka konsekvenser det får att agera respektive att inte agera.

Det är därför som verksamheten måste involveras i dessa beslut redan från början.

En bra handbok för cyberincidenthantering kopplar samman säkerheten med verksamheten

I hela Norden är företag och offentlig sektor starkt beroende av sammankopplade digitala miljöer. När dessa miljöer drabbas av störningar kan ett tekniskt problem snabbt utvecklas till ett problem för verksamhetens kontinuitet.

En användbar handlingsplan för krishantering måste därför spegla hur organisationen faktiskt fungerar. Ledningen, IT-avdelningen och cybersäkerhetsteamen måste ha en gemensam förståelse för vad som måste skyddas i första hand, vad som snabbt kan isoleras och vem som har befogenhet att agera. Lika viktigt är det att SOC-partnern eller säkerhetsteamet vet hur organisationen ska behålla driften och att tjänsterna ska återställas så snart det omedelbara hotet har avvärjts.

Ibland innebär en pågående attack att en kontrollerad störning är bättre, för att undvika betydligt större skador. Det kan innebära att en enhet måste kopplas bort, att en del av ett nätverk måste isoleras eller, i allvarliga fall, att en verksamhetskritisk tjänst till och med måste tas ur drift tillfälligt. Dessa beslut är mycket lättare att fatta under press när de affärsmässiga konsekvenserna redan har diskuterats.

I den här diskussionen blir också cyberresiliens ett särskilt viktigt begrepp. Målet är inte bara att till varje pris förhindra störningar, utan att se till att organisationen snabbt kan agera, behålla kontrollen och återställas när något oväntat inträffar.

Skydd mot AI-drivna cyberhot

Samma teknik som ligger till grund för AI-drivna cyberhot kan också stärka cyberförsvaret. Automatisering och AI kan hjälpa cybersäkerhetsteam att upptäcka avvikande beteenden, analysera stora datamängder och reagera på hot snabbare än vad enskilda och manuella processer skulle möjliggöra.

Men ökad automatisering innebär inte att behovet av mänskligt omdöme försvinner. På många sätt betonar det vikten av tydliga ansvarsområden och förutbestämda gränser. Tekniken kan agera snabbt, men organisationen måste först bestämma vad den är beredd att låta tekniken – och de personer som hanterar den – göra.

Även om AI förändrar takten inom cybersäkerhet, förblir grundprinciperna desamma. Kairinen betonade detta i sin intervju med Kauppalehti:

”Det som är betryggande är att de grundläggande principerna för säkerhet inte har förändrats dramatiskt. Att arbeta grundligt med cybersäkerhet och se till basen är på plats är fortfarande avgörande.”

Några av dessa grundpelare är: God säkerhetsrutin, överblick över hela miljön, tydliga ansvarsområden, effektiv övervakning och beprövade återställningsplaner. Den största förändringen handlar om hur snabbt alla dessa funktioner kan behöva samverka.

Skulle er organisation vara redo inom de första 15 minuterna?

För företagsledare handlar förberedelserna inför AI-drivna cyberhot i slutändan om beredskap. Om en AI-driven attack skulle börja sprida sig inom er organisation idag, skulle ert säkerhetsteam då veta vad man kan isolera utan att behöva vänta på ytterligare godkännande?

Skulle alla förstå vilka tjänster som är avgörande för att verksamheten ska kunna fortsätta fungera? Om något skulle behöva tas ur drift, skulle ni då veta hur man återställer det på ett säkert och snabbt sätt?

Det här är frågor som det är värda att besvara innan en incident inträffar. Genom att göra det får cybersäkerhetsteamen möjlighet att agera vid tillfällen då varje minut räknas, samtidigt som ledningen får större förtroende för att svåra beslut baseras på en överenskommen plan – istället för att tas för första gången under en pågående kris.

AI kommer att fortsätta att förändra båda sidor av cybersäkerheten. Det går inte att kontrollera varje nytt hot eller förutsäga exakt hur nästa incident kommer att se ut. Men vi kan se till att vi är redo för det som väntar.

Denna artikel bygger på de insikter som Petri Kairinen, verkställande direktör för NetNordic Finland, delade med sig av i en intervju med den finska affärstidningen Kauppalehti. Den ursprungliga intervjun publicerades på finska.