Det er ikke bare frysedisken som kan hackes

De siste ukene har vi sett hvordan cyberangrep mot kjøleanlegg kan få store fysiske og økonomiske konsekvenser. Frysedisker blir varme, matvarer må kastes og butikker rammes. Hendelsene har fått mye oppmerksomhet, og med god grunn. Men det er grunn til å stille et langt større spørsmål: Hva annet kan hackes, og hva skjer når digitale angrep får fysiske konsekvenser?

Svaret er at svært mye av infrastrukturen vi omgir oss med, er sårbar. Vi har koblet stadig flere tekniske systemer til nettverk og internett. Det gjør dem smartere, mer effektive og enklere å drifte. Men det åpner også dører som tidligere ikke eksisterte.

Dette handler om operasjonell teknologi, ofte kalt OT. Systemene som styrer alt fra ventilasjon og adgangskontroll til vannpumper, kraftproduksjon og industrielle prosesser. Teknologi som sjelden får oppmerksomhet før den slutter å virke.

Når vannet rammes

I USA ble vann- og avløpsanlegg i flere delstater utsatt for cyberangrep sommeren 2026. Ifølge FBI førte angrepene blant annet til trykktap og oversvømmelser. Enkelte anlegg måtte gå over til manuell drift. Dette er ikke teoretiske trusler. Det skjer nå.

Tenk på konsekvensene dersom uvedkommende får kontroll over pumpene i et kommunalt vannverk. Vanntrykket kan falle, forsyningen kan stoppe og feil i renseprosessen kan i verste fall påvirke vannkvaliteten. I et sykehus kan manipulasjon av ventilasjon og temperaturstyring påvirke kritiske rom og medisinsk utstyr.

I industrien kan konsekvensene bli enda mer dramatiske. En produksjonslinje som stoppes, kan koste millioner. Feil temperatur i en kjemisk prosess kan ødelegge produkter eller skape farlige situasjoner. Og hva skjer dersom noen manipulerer styringen av et kraftanlegg eller setter viktige sikkerhetsfunksjoner ut av spill?

Hvem har egentlig ansvar?

Digi har nylig omtalt hvordan leverandører av kjøleanlegg opplever at ansvaret for cybersikkerheten er uklart. Det er kanskje det mest urovekkende ved hele diskusjonen.

For hvem har egentlig ansvaret når en leverandør installerer et teknisk anlegg, en annen drifter nettverket og en tredje har fjernaksess for vedlikehold? Hvem sørger for sikkerhetsoppdateringer? Hvem overvåker mistenkelig aktivitet? Og hvem oppdager at noen har tatt seg inn?

Altfor ofte havner slike systemer mellom flere stoler. IT-avdelingen har kontroll på PC-er, servere og skytjenester, mens tekniske anlegg håndteres av driftspersonell eller eksterne leverandører. Resultatet kan bli at ingen har full oversikt over hvilke systemer som er tilkoblet, hvem som har tilgang, eller hvor sårbarhetene finnes.

En falsk trygghet

Det er lett å tenke at slike angrep krever avanserte hackere og sofistikerte metoder. Sannheten er at veien inn noen ganger er langt enklere. En gammel fjernaksessløsning, et svakt passord eller en styringsenhet som er tilgjengelig fra internett, kan være nok.

Mange tekniske systemer er dessuten bygget for å fungere i 15, 20 eller 30 år. De ble ikke nødvendigvis utviklet for dagens trusselbilde. Samtidig er de blitt koblet til moderne nettverk uten at sikkerheten alltid er oppgradert tilsvarende.

Vi må slutte å behandle sikkerheten i slike anlegg som et tillegg til vanlig IT-sikkerhet. Den må være en del av virksomhetens samlede risikostyring. Det innebærer å vite hvilke systemer man har, begrense tilganger, skille tekniske nettverk fra øvrig IT, overvåke aktivitet og ha en plan for hvordan driften kan opprettholdes dersom noe går galt.

Spørsmålet vi må stille

Vi kommer til å koble stadig mer av samfunnet vårt sammen. Det er både nødvendig og riktig. Men jo mer vi digitaliserer den fysiske verden, desto større blir konsekvensene når sikkerheten svikter.

Derfor bør spørsmålet i norske styrerom ikke lenger bare være om virksomhetens data er godt nok beskyttet. Det bør også være: Hvilke fysiske funksjoner kan noen påvirke dersom de kommer seg inn i systemene våre?

For neste gang er det ikke sikkert det er frysedisken som blir varm. Det kan være produksjonen som stopper, vannet som forsvinner eller strømmen som går.

Og da er det litt sent å begynne å diskutere hvem som hadde ansvaret.