Oppdatert 16 mar, 2026

Publisert 16 mar, 2026

Cybersikkerhet Artikkel

Du kan ikke beskytte OT-miljøer med IT-verktøy alene

Mange virksomheter forsøker å bruke kjente IT-verktøy for å få oversikt over OT-miljøene sine. Resultatet er ofte falsk trygghet — og blindsoner der angripere kan bevege seg fritt.

Operasjonell teknologi — styringssystemer for kraftnett, produksjonslinjer, maritime operasjoner og industrielle anlegg — ble aldri bygget med tanke på moderne cybersikkerhet. De ble bygget for én ting: stabil drift. Det er nettopp det som gjør dem vanskelige å beskytte med verktøy designet for en annen verden.

Likevel ser vi det igjen og igjen: Virksomheter som vet de må gjøre noe med OT-sikkerheten, tar i bruk det de kjenner fra IT-siden. Nettverksskanning. Agentbasert endepunktsbeskyttelse. Tradisjonell asset management. Det er forståelig — men det gir sjelden det man tror man får.

HVORFOR OT ER ANNERLEDES

OT-systemer er bygget for produksjon — ikke for sikkerhet

I IT-verden er det relativt enkelt å kartlegge hva som er tilkoblet nettverket. Du kan sende ut forespørsler, installere agenter og kjøre sårbarhetsskanning. Systemene er bygget for å svare. I OT er det motsatt.

OT-MILJØER

Systemer med levetid på 15–30 år, designet for stabilitet
Proprietære protokoller som Modbus, DNP3 og Profibus
Begrenset eller ingen logging av hendelser
Kan ikke patches uten planlagt nedetid — som sjelden godkjennes
En enkelt forespørsel kan forstyrre eller stoppe driften
Eierskap delt mellom IT og driftsorganisasjonen

IT-MILJØER

Systemer som oppdateres regelmessig og tåler interaksjon
Standardiserte protokoller og åpne API-er
Rik logging og hendelsesdata
Patching skjer ofte automatisk eller planlagt
Aktivt skanning og agenter er standard praksis
Klart eierskap under IT-avdelingen

Konsekvensen er enkel: Verktøy som er laget for IT, møter OT-miljøet som noe ukjent og potensielt fiendtlig. Eller verre — de gir et bilde som ser komplett ut, men som mangler det som faktisk er kritisk.

«Falsk trygghet i et OT-miljø er mer risikabelt enn å erkjenne at man ikke har oversikt. Det første gjør at du slutter å lete.»

Når IT og OT kobles sammen, øker angrepsflaten

I mange år levde OT-miljøene i relativ isolasjon. De var fysisk atskilt fra IT-nettverk, og den beste sikkerheten var luft mellom systemene. Den sikkerheten er i stor grad borte.

Digital transformasjon, fjernaksess, sky-integrasjoner og effektiv supply chain-styring har koblet OT-miljøene tettere til omverdenen. Det gir gevinster — men det åpner også innganger som tidligere ikke fantes.

Fjernaksess

Ansatte, driftsfolk og leverandører kobler seg inn fra mange lokasjoner. Hvem har egentlig tilgang — og til hva?

Leverandørtilgang

Tredjeparter med tilgang til styringssystemer er et vedvarende sårbarhetspunkt. Tillit overføres sjelden med tilstrekkelig kontroll.

Supply Chain

Angrep via programvare- og maskinvareleverandører rammer OT direkte. Det er ikke lenger nok å stole på eget perimeternettverk.

Skyintegrasjoner

Data fra driftssystemer sendes til sky-plattformer for analyse og optimalisering — og skaper nye kommunikasjonspunkter.

Ransomware mot industri

Analyse av trusseldata viser at industri og kritisk infrastruktur er blant de mest målrettede sektorene i Europa. Nedetid er kostbart — og det vet angriperne.

Lateral bevegelse

Når IT og OT kommuniserer uten tilstrekkelig kontroll, kan en angriper som er inne i IT-nettverket bevege seg videre mot driftssystemene.

ET TYPISK SCENARIO

En tekniker kobler seg til et styringssystem via en VPN-løsning som ikke er konfigurert for OT. Forbindelsen logges ikke. Tilgangen er bredere enn nødvendig. Ingen SOC-alarm utløses, fordi SOC-en ikke kjenner trafikkmønstrene i OT-nettverket. Aktiviteten ser normal ut — fordi ingen vet hva som er normalt.

Dette er ikke et hypotetisk scenario. Det er et mønster vi gjenkjenner fra virkelige miljøer i norsk industri og energisektor.

VERKTØYPROBLEMATIKKEN

Tradisjonell asset management løser ikke OT-problemet

IT-basert asset management bygger på noen grunnleggende forutsetninger: At systemer kan skannes. At agenter kan installeres. At patching skjer regelmessig. Ingen av disse forutsetningene holder i et OT-miljø.

Aktiv nettverksskanning i et OT-miljø er ikke bare ineffektivt — det kan forstyrre eller stoppe kritiske prosesser. En Modbus-kontroller som mottar uforventede forespørsler, kan reagere uforutsigbart. Agenter lar seg ikke installere på PLS-er og eldre SCADA-systemer. Og patching skjer, om det skjer i det hele tatt, i sjeldne vedlikeholdsvinduer planlagt måneder i forveien.

Resultatet er en asset-liste som ser ferdig ut, men som ikke gjenspeiler det som faktisk er tilkoblet. Og en sikkerhetsplattform som rapporterer grønt der det burde blinket rødt.

«En asset-liste er ikke det samme som synlighet. Synlighet betyr å forstå hva som kommuniserer — med hvem, når og om det er normalt.»

EN ANNEN TILNÆRMING

Hva virksomheter i industri og energi faktisk trenger

Løsningen er ikke å finne ett nytt verktøy. Det er å bygge en arkitektur som er designet for OT fra grunnen av. Det vi kaller arkitekturbasert forsvar — i motsetning til verktøybasert sikkerhet.

1 Passiv synlighet

Kartlegging og overvåking som ikke forstyrrer driften. Passiv trafikkovervåking identifiserer enheter, protokoller og kommunikasjonsmønstre — uten å sende en eneste forespørsel.

2 Nettverks- segmentering

Klare grenser mellom IT og OT, og mellom ulike OT-soner. ISA/IEC 62443-rammeverket gir et godt grunnlag for å definere soner og kontrollert trafikk mellom dem.

3 Kontroll av grensen mellom IT/OT

All trafikk mellom IT og OT bør gå gjennom definerte kontrollpunkter. Ikke for å stoppe kommunikasjon — men for å forstå og kontrollere den.

4 Kontinuerlig overvåking

Avvik fra normale driftsmønstre er et av de sterkeste tidlige signalene på et angrep i OT-miljøer. Det krever en SOC som forstår hva som er normalt i akkurat ditt miljø.

5 SOC med OT-forståelse

En SOC-analytiker som kun kjenner IT-logger, mangler konteksten til å vurdere hendelser i OT. Industrielle protokoller, driftssykluser og produksjonsmønstre må forstås for å kunne skille støy fra alvor.

6 Operasjonell beredskap

Hva skjer hvis en hendelse inntreffer klokken 03 på en natt med aktiv produksjon? Beredskap i OT er ikke det samme som i IT — responsplaner må ta høyde for driftskonsekvenser.

ERFARING FRA NORSK INDUSTRI, KRAFT OG MARITIM SEKTOR

«Sikkerhet i OT starter ikke med ett verktøy — men med arkitektur, synlighet og operasjonell beredskap.»

I NetNordic jobber vi med OT-miljøer i sektorer der nedetid ikke er et alternativ. Erfaringen er konsistent: De virksomhetene som lykkes med OT-sikkerhet, begynner ikke med å velge et produkt. De begynner med å forstå miljøet sitt, designe riktig arkitektur og bygge kontinuerlig overvåking inn fra starten.

Vår Cyber Defense-tjeneste er bygget for nettopp dette; en SOC som forstår industrielle protokoller og driftsmønstre, integrert med nettverksinfrastrukturen virksomheten er avhengig av. Ikke som et isolert sikkerhetsverktøy, men som en del av helheten.

Vil du vite hva som faktisk er tilkoblet OT-miljøet ditt?

Snakk med en sikkerhetsarkitekt om passiv kartlegging og første steg mot arkitekturbasert OT-forsvar.

Vil du også få med deg Del 2 i serien? Les saken her.