Mikael Karlgren: ”Ett säkerhetstest om året räcker inte”

Som inköpare av penetrationstester såg Mikael Karlgren hur dyra och långsamma de kunde vara. I dag driver han Barrion och menar att ett test om året inte längre räcker. Han kommenterar också förra veckans upptäckta sårbarheter i källkoden PHP som berör runt 70 procent av alla webbplatser och ger några konkreta råd till ledningsgrupper som vill stärka skyddet.

Under tiden som ansvarig inköpare av penetrationstester till ett bolag med känsliga patientuppgifter upplevde han hur dyra, långsamma och administrativt tunga de var. Mikael Karlgren har programmerat sedan barnsben och driver idag bolaget Barrion, som utvecklar AI-stödda, återkommande penetrationstester för webbapplikationer och API:er.

Så sent som i förra veckan släppte säkerhetsteamet bakom källkoden PHP, som används av ungefär 70 procent av alla webbplatser, två akuta säkerhetsuppdateringar, som stoppar angripare från att ta kontroll över en webbserver utan att logga in. Tempot är snabbare än någonsin och AI gör det lättare för angripare att hitta vägar in men också för bolagen att ligga steget före.

När vi ringer upp Mikael ger han tips på fyra saker ledningsgrupper faktiskt kan göra för att stärka upp säkerheten. Han delar också med sig av flera matnyttiga länkar.

Berätta varför det är viktigt att säkerhetstesta sitt bolag ofta!

– Många företag testar sin verksamhet kanske en gång per år. AI har förändrat både angrepp och försvar och i maj rapporterade till exempel Anthropic att en AI-modell, tillsammans med omkring 50 partners, hade hittat över 10 000 sårbarheter med hög eller mycket hög allvarlighetsgrad i kritisk programvara. Gör du då ett säkerhetstest per år är det tyvärr likvärdigt med att vara försvarslös.

Det handlar inte om att skapa ännu en rapport, utan om att upptäcka och hantera problem medan systemen fortfarande går att påverka.

Ett test om året ger elva månader i mörker. Att testa ska vara lika självklart som att ta backup och att verifiera, rapportera och laga fynden är avgörande.

Vad är vanligaste vägen in vid en cyberattack?

– Oftast är det något enkelt man råkat missa i utvecklingen som till exempel ett API som levererar information om kunddata och där man har missat att införa en behörighetskontroll. Då kan en användare enkelt hämta in information från hela systemet genom att bara ändra ett ID i en API endpoint.

Verizons rapport om intrång 2026 visade att exploaterbara sårbarheter stod för 31 procent av de granskade intrången och nu är den vanligaste vägen in. Det betyder inte att varje upptäckt svaghet utnyttjas av angripare, men det understryker varför tiden från förändring till upptäckt vidare till åtgärd spelar en avgörande roll.

Vad innebär cybersäkerhetslagen från 15 januari i år?

– Den kräver att bolag ska vidta proportionella säkerhetsåtgärder av sin verksamhet. Den anger däremot inte hur ofta du måste genomföra säkerhetstesterna. Om hotet har förändrats måste testandet också förändras. Det missar många bolag idag.

Vad kan en ledningsgrupp göra?

– Det handlar om att göra tätare tester utan att varje kontroll eller rapport behöver bli ett stort konsultprojekt. AI-stöd kan automatisera delar av arbetet och göra det lättare att testa när system förändras. Säkerhetsarbetet behöver bli mer praktiskt och mindre bundet till årsplanen. Som ledningsgrupp kan ni säkra upp genom:

Ha en tydlig plan för säkerhetsarbete och kartlägga era sårbarheter. Vilka system bär högst risk? Hur skulle verksamheten påverkas? Finns risk för att ett intrång helt skulle stoppa verksamheten? Ha en åtgärdsplan för varje riskområde.
Testa regelbundet i samband med förändringar, istället för bara en gång om året. Vid varje ny release, integration eller API finns risken för en ny väg in för obehöriga.
Kartlägg leverantörskedjan. Vilka leverantörer har åtkomst till vilka system och data, och vad händer om en av dem slås ut?
Ha några nyckeltal som till exempel tid från fynd till åtgärd och hur stor andel av de kritiska systemen som testats det senaste kvartalet.

Förra veckan upptäcktes ett hot som berör 70 procent av alla webbplatser. Berätta!

– Ja, ett högaktuellt exempel på hur snabbt en sårbarhet kan bli en akut risk är det som hände förra veckan.

De två felen i källkoden PHP, som innebar att angripare kunde ta kontroll över en webbserver utan att logga in, hade funnits i koden i över tio år och hittades av forskare med hjälp av AI. I förra veckan skickades de akuta uppdateringarna ut av PHP:s säkerhetsteam, men detaljerna hade läckt ut redan dagen innan och man kan se försök på att angripare försökt utnyttja sårbarheterna.

Myndigheter och företag i flera länder valde att tillfälligt stänga ner sina webbplatser för att göra uppdateringarna, men för äldre versioner av PHP kommer ingen officiell rättelse.

Vad kan man göra som ledningsgrupp?

– Lärdomen för en ledningsgrupp är att tiden mellan att en sårbarhet blir känd och att den utnyttjas nu kan mätas i timmar. Ledningen behöver därför veta vilka system som bygger på vilka komponenter, vem som ansvarar för att uppdatera dem och hur snabbt det faktiskt sker.

De behöver också säkra upp sina leverantörer. Vem har åtkomst till verksamhetens data? Hur skyddas den hos leverantören och vilka system har de för att upptäcka eventuella intrång? En enda leverantör med legitim åtkomst kan bli vägen in till de mest skyddsvärda uppgifterna, oavsett hur väl huvudsystemet är skyddat.

Ett exempel med stora konsekvenser inträffade i september, när en angripare via en leverantör till det danska folkbokföringsregistret CPR under tio dagar kom åt namn, adresser och personnummer för omkring 8,8 miljoner personer.

I det här fallet bröt sig angriparna inte in i själva registret, utan utnyttjade ett privat danskt företags fullt legitima åtkomst för att söka i det och hann göra över 14 miljoner sökningar innan intrånget upptäcktes.

Ledningen behöver därför veta vem som har åtkomst till verksamhetens data, hur den åtkomsten skyddas och hur ovanligt beteende upptäcks i tid.

Avslutningsvis – blir nyfiken på namnet Barrion. Betyder det något särskilt?

– Barrion är en ordlek på det engelska ordet “barricade”. Vi ser oss som en skyddande barriär för våra kunder, och det blev ett passande namn för oss!

Fem snabba om Mikael

Bor: Göteborg

Familj: Sambo och två katter

Här laddar jag mina batterier: I soffan till en bra serie, fiske i havet eller på en AW med branschkollegor

Första saken jag programmerade som barn: Ett automationsverktyg för att optimera aktiviteter i ett datorspel

Min mest nördiga digitala vana är: Att spendera lite för mycket tid vid datorn och ha på min dator 24/7, som kör lite bottar samt lokala AI-agenter

Barrion är ett Göteborgsbaserat cybersäkerhetsbolag. Bolaget utvecklar AI-stödd, återkommande penetrationstestning för webbapplikationer och API:er. Barrion ingår i Stings acceleratorprogram för 2026.

Länkar – rapporter och läget under 2026