Revisorerna anser att kommunstyrelsen behöver utveckla arbetet med att bedöma risker avseende hur information hanteras samt att resultatet av riskbedömningarna kommuniceras till politiken och förvaltningen.

Det anses även att det kommunala verksamheterna behöver få utbildning gällande it-säkerhetsarbetet.

– Det har spekulerats att man har klickat på någon länk men det här är nog mer avancerat än så. Den här typen av avancerad attack som vi utsatt för är nog inte så att bara någon har klickat på en länk. Det kan vara en förberedelse under en lång tid och det kan gömma sig lite var som helst, säger kommundirektör Maria Henriksson.

Personal lånar inlogg av varandra

En del av rapporten är baserad på intervjuer med kommunarbetare och exempel som hålls fram av revisorerna är till exempel att det ”saknas förståelse för vissa grundläggande åtgärder som kan hindra obehöriga att få tillträde till information/system, exempelvis att byta till säkra lösenord eller inte använda varandras inloggningar.”

Saknas riktlinjer för e-post och mobiltelefoner

Granskningen visar att det saknas en övergripande styrning, i form av planer eller policys, som reglerar hur informationssäkerhetsarbetet ska bedrivas och vilket syfte som ska uppnås.

I rapporten skriver man även ”Vidare kan vi konstatera att det även saknas riktlinjer för hur e-post och mobiltelefoner får användas. Detta kan medföra att användarna exempelvis använder kommunens e-post för avisering av privata paket, vilket medför en risk att skadlig kod som figurerar tar sig in i kommunens system med negativa konsekvenser som följd.”

Säkerhetsproblem i närtid

Även om revisorernas rapport gjordes för fem år sedan har brister i Kalix kommuns it-säkerhetsarbete uppmärksammats i närtid.

15 juni 2020 skrev Marianne Sandström (SD) en motion angående att flera användare i kommunen har tilldelas samma lösenord. Hon hade själv tilldelats samma lösenord som en kommunanställd, och hade på så sätt haft möjligheten att komma åt den kommunanställdes mailkorg.

”Jobbat hårt med IT-säkerheten”

Enligt kommundirektör Maria Henriksson har det jobbats hårt med informationssäkerhet under de senaste åren.

– Vi har gjort den här resan men vi har inte en chans. Bovarna ligger lång före oss när det gäller det här.

Hon anser dock att kommunen kunnat jobba mer med hur de ska hantera den här typen av driftstopp och även ställa krav på sina leverantörer.