AWS-säkerhet 2026: ramverket, de fem vanligaste misstagen, och vad NIS2 förändrar

Att säga "vi använder AWS, så vi är säkra" är en av de farligaste meningarna i en svensk styrelsesal 2026. Det är inte att AWS är osäkert — AWS-plattformen är förmodligen säkrare än något datacenter du själv kan driva. Problemet är att säkerheten ligger i hur du använder den, och Amazons egna data visar att en överväldigande majoritet av cloud-incidenter beror på kundens konfiguration, inte på AWS-plattformens brister. Det här är inte en teknisk artikel om enskilda tjänster. Det är en sammanfattning av ramverket vi använder när vi gör säkerhetsöversyner av svenska AWS-miljöer, de fem misstagen vi nästan alltid hittar, och vad NIS2 faktiskt förändrar för 2026.

Shared responsibility-modellen — där diskussionen måste börja

AWS shared responsibility-modellen säger att AWS ansvarar för säkerheten av molnet (hårdvara, regioner, fysisk åtkomst, hypervisor) och kunden ansvarar för säkerheten i molnet (data, identiteter, applikationer, nätverkskonfiguration, kryptering, åtkomstpolicies). Det här är inte en juridisk formalitet — det är den enda meningen i hela AWS-dokumentationen som de flesta organisationer tolkar fel. Praktiska konsekvenser:

• AWS patchar inte din EC2-instans. Det är ditt jobb.
• AWS säkerhetskopierar inte din RDS-databas till en annan region. Det är ditt val och din konfiguration.
• AWS övervakar inte vem som ändrar dina IAM-policies klockan 02:47 från en GET-anrop i Belarus. Det är CloudTrail + GuardDuty + ditt eget SOC.
• AWS skyddar inte din S3-bucket från publik åtkomst om någon konfigurerar den publik. Det är Block Public Access och bucket policies.

Vi har sett tre stora svenska organisationer dela samma missuppfattning de senaste 18 månaderna: att "vi ligger ju på AWS" var ett tillräckligt argument mot styrelsens säkerhetsfrågor. Det är det inte.

Ramverket — fyra nivåer som måste fungera

När vi gör en AWS-säkerhetsöversyn för en kund mappar vi alltid mot fyra nivåer. Alla måste fungera samtidigt — en svaghet i en nivå negerar styrkan i de övriga.

Nivå 1: Identitet och åtkomst (IAM)

Det här är 90 % av AWS-säkerheten. Konkret:

• MFA på alla human-IAM-användare. Ingen undantag, ingen "vi sätter på det när vi hinner". Konton utan MFA är det första som komprometteras efter en credential-läcka.
• Root-konto inlåst (hårdvarunyckel i kassaskåp), aldrig använt för dagliga uppgifter.
• SSO via IAM Identity Center mot er identitetsleverantör (Azure AD / Entra, Okta). Inga lokala IAM-användare för människor.
• Roller, inte långlivade access-keys. Långlivade nycklar är 2026 nästan alltid ett tecken på att någon byggde lösningen 2018 och aldrig moderniserade.
• Least-privilege via Service Control Policies (SCP) på organisationsnivå, plus permission boundaries på kontonivå.

Nivå 2: Detektering och respons

Det här är vad NIS2 och våra MDR-tjänster handlar om. Minimum för en seriös AWS-miljö:

• CloudTrail aktiverat i alla regioner, inklusive de ni inte använder. Bevisning av icke-aktivitet är värdefull.
• GuardDuty på, med findings som strömmas till ett SIEM (Security Lake, eller export till tredjepart).
• Config Rules som upptäcker drift från godkänd baseline.
• Ett SOC som faktiskt övervakar — antingen eget eller managed. Att samla loggar utan att någon tittar på dem är säkerhetsteater.

Nivå 3: Nätverksisolering

VPC-design som inte exponerar mer än nödvändigt:

• Privata subnät som default. Resurser i publika subnät är undantag som ska försvaras.
• Security groups som tillåter det specifika, inte blockerar det generella.
• VPC endpoints för AWS-tjänster så trafiken inte lämnar AWS-backbone.
• WAF framför alla publika applikationsendpoints.

Nivå 4: Datasäkerhet

Kryptering, backups, dataresidens:

• S3 Block Public Access på kontonivå. Bucket policies som default-deny. Server-side encryption med kundnycklar (KMS) för känsligt data.
• EBS-kryptering aktiverad som standard i alla regioner.
• RDS med kryptering, automated backups, cross-region replication för kritiska databaser.
• Dataresidens kartlagd: vilka regioner används, för vilka datatyper, och under vilka villkor lämnar data EU.