Dataintrång: gränsen mellan ett test och ett brott är tillståndet

Texten är kort och det är just kortheten som gör den bred. Den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling, eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift, döms för dataintrång.

Notera vad som inte står. Det står ingenting om att uppgiften ska vara hemlig, ingenting om att något ska skadas, och ingenting om motiv. Att skaffa sig åtkomst är i sig gärningen, och den blir straffbar när den sker utan lov.

För grovt brott anger lagen vad som särskilt ska beaktas: om gärningen orsakat allvarlig skada, avsett ett stort antal uppgifter, eller annars varit av särskilt farlig art. Ett test som får fritt spelrum i en produktionsmiljö kan träffa flera av dessa om tillståndet visar sig brista.

Är brottet grovt, döms för grovt dataintrång till fängelse i lägst ett och högst åtta år. Vid bedömningen av om brottet är grovt ska det särskilt beaktas om gärningen har orsakat allvarlig skada eller avsett ett stort antal uppgifter eller annars varit av särskilt farlig art.

Ett tillstånd som bara säger att leverantören får utföra ett penetrationstest hos beställaren har inte avgränsat någonting. Det som gör tillståndet bärande är att det går att avgöra i efterhand om en viss handling låg innanför eller utanför.

Sex uppgifter räcker: vilka system och adresser som omfattas, vad som uttryckligen är undantaget, under vilka tider testet får ske, vilka metoder som är tillåtna, vem hos er som är kontaktperson under testet, och vem som undertecknar. Varje uppgift ska vara konkret nog att en utomstående kan tillämpa den.

Undantagslistan är den som oftast saknas och den som betyder mest. Ett tillstånd som räknar upp vad som ingår men inte vad som är uteslutet lämnar allt gränsland öppet för tolkning, och gränslandet är där problemen uppstår.

Den som ger tillståndet måste råda över det som ska testas. Det låter självklart och är den punkt där tillstånd oftast brister, eftersom den som beställer testet inte alltid är den som råder över systemet.

Tre situationer återkommer. Den första är molntjänster, där ni råder över er data och er konfiguration men inte över den underliggande infrastrukturen, som ägs av leverantören och ofta delas med andra kunder. Den andra är system som drivs av en tredjepartsleverantör åt er. Den tredje är integrationer, där ett test mot ert gränssnitt oundvikligen genererar trafik mot någon annans.

I samtliga tre fall är åtgärden densamma: skaffa tillståndet från den som råder över systemet, skriftligt, innan testet börjar. Det tar tid att få, vilket är skälet till att det ska begäras när omfattningen skrivs och inte veckan innan testet.

Ett problem som sällan planeras för: era egna detektionssystem kommer att larma, och er personal kommer att reagera. Om ingen vet att ett test pågår kan er organisation dra igång incidenthantering mot er egen leverantör.

Det är inte bara pinsamt utan potentiellt rapporteringspliktigt. Under cybersäkerhetslagen löper en frist på 24 timmar till tidig varning vid betydande incident, och den fristen börjar inte pausas för att händelsen visar sig ha varit beställd.

Lösningen är enkel och ska stå i tillståndet: ett tidsfönster, käll-IP-adresser som testet kommer ifrån, och namn på en person hos er som kan bekräfta att aktiviteten är beställd, dygnet runt under testperioden. Utan det tredje är de två första inte till hjälp klockan tre på natten.

Den här sidan handlar om beställd testning, men söktermen leder också hit personer som misstänker att de utsatts. Kortfattat: dataintrång är ett brott som polisanmäls, och anmälan görs till Polisen.

Om ni omfattas av cybersäkerhetslagen är polisanmälan dessutom en separat sak från rapporteringsskyldigheten. Anmälan till polis ersätter inte rapporten till NCSC, och NCSC-rapporten löper på sina egna frister oavsett om en förundersökning inleds.

Rör intrånget personuppgifter tillkommer en tredje skyldighet, anmälan till Integritetsskyddsmyndigheten inom 72 timmar från kännedom. Tre spår, tre mottagare, och inget av dem väntar in de andra.