For de fleste handler cybersikkerhet om hvordan vi skal unngå virus, hindre at virksomhetenes data blir låst av ransomware eller at verdifull informasjon stjeles. Fremover vil cybersikkerhet handle stadig mer om hvordan vi sikrer tilgang til vann, strøm, transport og kommunikasjon – fundamentale funksjoner i samfunnet.
Hver eneste dag forsøker nasjoner og kriminelle å bryte seg inn i industrisystemene som sørger for grunnleggende tjenester i vårt moderne samfunn. For å hindre at det skjer alvorlige hendelser, er det viktig å bygge opp et helhetlig digitalt forsvarsverk som favner både tradisjonell IT (informasjonsteknologi) og OT (operasjonell teknologi/industrielle systemer).
Angrepsflaten vokser
Disse to digitale verdenene har tradisjonelt vært adskilte, men skytjenester, fjernstyring og datadrevne produksjonsprosesser gjør at de kobles stadig tettere sammen. Produksjonslinjer, energianlegg, helseteknologi og styringssystemer kobles til nettverk, forretningssystemer og skytjenester for å få innsikt, kontroll og effektivisering. Forretningsmessig er det smart, men sikkerhetsmessig er det krevende.
Sammensmeltingen av IT og OT eksponerer virksomheter for en type risiko som det krever et bredt spekter av kompetanse og ressurser for å håndtere. Angrepsflaten vokser raskt, og angriperne vet at OT-systemer ofte er dårlig beskyttet. Samtidig forteller sikkerhetsmyndighetene at det blir flere og mer komplekse cyberangrep fra store og ressurssterke aktører, som nasjoner og globale mafianettverk. I tillegg hindres sikkerhetsarbeidet i virksomhetene fordi mange fortsatt har organisert IT og OT som to separate verdener:
- IT-avdelinger får ansvar for OT uten å forstå de operative prosessene eller kjenne systemene.
- OT-fagpersoner forventes å håndtere cyberrisiko uten tid eller relevante verktøy.
- Virksomheten har ikke oversikt over integrasjonene mellom IT og OT.
Resultatet er at ingen har totalansvar for cybersikkerheten.
Seks trinn
Det er ikke enkelt å styrke IT- og OT-sikkerheten, men med riktig rammeverk og ekspertise er det mulig å unngå de vanligste feilene. De seks anbefalingene under er en god start på veien mot å bygge en solid IT- og OT- sikkerhetsgrunnmur.
- Ansett en CISO (Chief Information Security Officer), en sikkerhetsleder som har et helhetlig ansvar for både IT- og OT-sikkerheten.
- Få full oversikt. Kartlegg alle OT-enheter og systemer som er koblet på nett, inkludert eksterne leverandørtilkoblinger.
- Innfør soneinndeling og nulltillit (zero trust). Trafikken mellom sonene skal kontrolleres og overvåkes.
- 24/7-overvåkning av både IT og OT.
- Få på plass et realistisk oppdateringsregime.
- Tren organisasjonen. Angrep mot OT er en beredskapssituasjon. IT-, OT- og sikkerhetsmiljøene må trene sammen.
Angrep mot OT handler om tapt produksjon, svekket samfunnsfunksjon og i verste fall skade på mennesker og miljø. Den enkleste løsningen ville være å koble OT-systemene fra nettverk og IT, men det er ikke ønskelig. Gevinstene konvergensen mellom IT og OT gir, er altfor store. Vi kan ikke bremse utviklingen, men vi kan sikre den.
Norsk cybersikkerhet på offensiven: – Vi tenker som en trusselaktør
