Hvem har tilgang til de driftskritiske systemene om bord?

Leverandører og landorganisasjonen trenger tilgang for å støtte driften om bord. Men hvem kan nå hvilke systemer, hva kan de endre, og hvem kan stenge forbindelsen dersom noe skjer? For rederier, verft og offshorevirksomheter må svarene følge fartøyet fra bygging og overlevering til drift og oppgraderinger.

Fjernstøtte kan redusere behovet for utreise, gjøre feilsøking raskere og gi tilgang til spesialistkompetanse når den trengs. Samtidig etableres forbindelser mellom fartøyet, landorganisasjonen og leverandører av tekniske systemer.

Disse forbindelsene er en del av driftsmodellen. De må også være en del av sikkerhetsmodellen.

Operasjonell teknologi, OT, overvåker eller styrer fysiske prosesser. Dersom uvedkommende får endre innstillinger eller manipulere informasjon som brukes i driften, kan konsekvensene strekke seg langt utover tap av data. Avhengig av systemets funksjon kan hendelsen påvirke tilgjengelighet, operasjon og sikkerhet.

Tilgang til driftskritiske systemer må derfor behandles som en operativ risiko, med tydelig ansvar både om bord og på land.

Fjernaksess må ha en eier

Et fartøy kan ha systemer fra en rekke leverandører. Gjennom bygging, testing, vedlikehold og oppgraderinger kan det oppstå flere løsninger for ekstern tilgang.

Utfordringen er å sikre at noen har oversikt over helheten.

Rederiet bør vite hvilke forbindelser som finnes, hvem som administrerer dem, og hvilke systemer de gir tilgang til. Dette gjelder også forbindelser som følger med teknisk utstyr eller administreres av leverandøren.

En kryptert forbindelse, for eksempel en VPN, kan beskytte kommunikasjonen mellom to punkter. Men kryptering alene sikrer ikke tilgangen. Virksomheten må også kontrollere hvem som slipper inn, hvilke systemer brukeren kan nå, hva vedkommende kan gjøre, og hvor lenge tilgangen skal være aktiv.

Kontrollert fjernaksess bør bygge på:

• Identifiserbare brukere: Personlige kontoer der løsningen støtter det, og flerfaktorautentisering i tilgangsløsningen.
• Avgrensede rettigheter: Tilgang til systemene og funksjonene oppgaven krever.
• Godkjenning og tidsbegrensning: Serviceforbindelser åpnes ved behov der det er praktisk mulig.
• Sporbarhet: Innlogginger og relevante handlinger loggføres og kan undersøkes.
• Mulighet for tilbakekalling: Det er avklart hvem som kan avslutte en økt eller sperre en tilgang.

Britiske NCSC anbefaler å begrense eksponeringstiden og bruke sikre mellomledd ved ekstern leverandørstøtte, slik at OT-systemet ikke eksponeres direkte. Eldre utstyr kan trenge beskyttelse gjennom oppdaterte tilgangsløsninger og sikkerhetskontroller foran selve systemet.

Kontroller forbindelsene mellom skip og land

Sikkerheten om bord må vurderes sammen med forbindelsene til land og eksterne tjenester.

En kompromittert brukerkonto eller service-PC bør ikke gi bred tilgang til andre systemer. Derfor må nettverket begrense hvor en bruker eller enhet kan bevege seg.

Segmentering innebærer å dele miljøet i soner og kontrollere kommunikasjonen mellom dem. Administrative systemer, mannskapsnett og OT-systemer har ulike behov og bør skilles etter risiko og nødvendige dataflyter.

Et VLAN alene dokumenterer ikke at skillet er sikkert. Brannmurregler eller andre tilgangskontroller må håndheve hvilke systemer, tjenester og protokoller som får kommunisere. Tiltakene må samtidig ivareta kommunikasjonen som er nødvendig for sikker drift.

For hver forbindelse bør virksomheten kunne forklare:

Hva er formålet, hvilke systemer forbindes, og hvem har godkjent tilgangen?

Verftet overleverer også en digital infrastruktur

Under bygging og utrustning installeres, integreres og testes utstyr fra flere leverandører. Teknikere får tilgang, kontoer opprettes og serviceforbindelser etableres.

Ved overlevering må rederiet kunne overta kontrollen over dette miljøet.

En digital overlevering bør blant annet omfatte:

• Oppdatert oversikt over systemer, nettverk og eksterne forbindelser.
• Dokumentasjon av kontoer, roller og hvem som administrerer tilgangene.
• Bekreftelse på at midlertidige testkontoer og forbindelser er fjernet eller særskilt godkjent for videre bruk.
• Sikker overføring av nødvendige administratorrettigheter og endring av standardpassord.
• Sikkerhetskopier av relevante konfigurasjoner og dokumenterte gjenopprettingsrutiner.
• Avklarte ansvar for sikkerhetsoppdateringer, leverandørstøtte og videre vedlikehold.

Dokumentasjonen bør kontrolleres mot det som faktisk er installert og aktivert. Avvik bør ha en navngitt ansvarlig og en avtalt frist for oppfølging.

Rederiet må vite hva det overtar, hvilke tilganger som følger med, og hvilke begrensninger som gjenstår.

Livsløpsperspektivet står også sentralt i IACS’ arbeid med cyberresiliens. UR E26 omhandler sikker integrasjon av IT og OT gjennom design, bygging, idriftsettelse og operativ levetid, mens UR E27 retter seg mot systemer og utstyr. Hvilke krav som gjelder, må avklares for det aktuelle fartøyet med klasseselskapet.

Tilgangene må følge endringene

En tilgang som var nødvendig under bygging, er ikke automatisk nødvendig i ordinær drift. Det samme gjelder når en serviceavtale avsluttes, en tekniker bytter rolle eller en leverandør erstattes.

Tilgangsoversikten bør derfor oppdateres ved endringer og gjennomgås regelmessig. Det bør være tydelig hvilke hendelser som utløser en kontroll, og hvem som har ansvaret.

Ved oppgraderinger bør rederiet også undersøke om løsningen introduserer nye eksterne avhengigheter. Krever den en skytjeneste? Opprettes en ny serviceforbindelse? Hvem følger opp sikkerheten i den nye løsningen?

Leverandøravtalene bør avklare hvem som varsler om sårbarheter, hvordan oppdateringer vurderes og testes, og hvor lenge utstyret får sikkerhetsstøtte.

Lang levetid gjør dette særlig viktig. Utstyr som fortsatt fungerer operativt, kan ha sikkerhetsbegrensninger som krever ekstra beskyttelse eller en plan for utskifting.

Når noe skjer, må cyber og operativ drift handle sammen

Å stenge en forbindelse eller isolere et system kan være et relevant sikkerhetstiltak. Det kan samtidig påvirke funksjoner fartøyet trenger.

Responsen må derfor bygge på avklarte fullmakter og kunnskap om systemenes avhengigheter. Sikkerhetsmiljøet må samarbeide med ansvarlige om bord, teknisk ledelse og relevante leverandører.

Før en hendelse oppstår, bør virksomheten ha avklart:

• Hvem mottar varsler og vurderer behovet for eskalering?
• Hvem kan vurdere konsekvensene for sikker drift?
• Hvem kan sperre leverandørtilgang eller isolere et system?
• Hvordan sikres logger og annen informasjon for videre undersøkelse?
• Hvordan gjenopprettes og kontrolleres systemet før normal drift gjenopptas?

At logger samles inn, betyr ikke at noen følger dem opp. Det må være tydelig hvilke avvik som skal utløse handling, hvem som reagerer, og hvilken dekning som gjelder utenfor kontortid.

En praktisk øvelse kan starte med et enkelt scenario: En leverandørkonto brukes på et uventet tidspunkt, samtidig som innstillinger endres i et teknisk system. Hvem oppdager det, hvem varsles, og hvem har myndighet til å handle?

Uventet aktivitet er ikke i seg selv bevis på et angrep. Men virksomheten må kunne undersøke den og vurdere behovet for tiltak.

Cyberberedskapen må fungere som en del av den operative beredskapen om bord og på land.

Start med én konkret gjennomgang

Et nyttig første steg er å velge ett driftskritisk system og følge hele tilgangsveien sammen med systemansvarlig og leverandøren.

Undersøk hvem som kan koble seg til, hvordan tilgangen godkjennes, hva brukeren kan gjøre, og hvordan en uønsket handling blir oppdaget. Avklar deretter hvordan forbindelsen kan stenges uten å sette sikker drift i fare.

Resultatet bør være en oppdatert oversikt og en prioritert tiltaksliste med ansvarlige og frister. Bruk erfaringen til å gjennomgå resten av miljøet.

I NetNordic ser vi tilgang, nettverk og overvåking i sammenheng. Vi kan hjelpe rederier og offshorevirksomheter med å kartlegge tilgangsveier, segmentere IT- og OT-miljøer, etablere kontrollert fjernaksess og overvåke sikkerhetshendelser gjennom Cyber Defense Services. Sammen med rådgivning og sikkerhetstesting gir dette et bedre grunnlag for å vite hvem som kan nå kritiske systemer, begrense tilgangen og oppdage avvik.

Kontroll på tilgang må følge fartøyet gjennom hele levetiden.

Vet dere hvem som kan nå de driftskritiske systemene deres akkurat nå – og hvem som har myndighet til å stoppe tilgangen?

---

Kilder og faglig grunnlag

• NCSC: Secure connectivity principles for operational technology – Limit the exposure of your connectivity. Veiledning om begrenset eksponering, tidsbegrenset tilgang, sikre mellomledd og beskyttelse av eldre OT-utstyr.
• IACS: New requirements on cyber safety – UR E26 og UR E27. Beskriver cyberresiliens på fartøys- og utstyrsnivå og sikker integrasjon gjennom fartøyets livsløp.
• NIST SP 800-82 Rev. 3: Guide to Operational Technology Security. Faglig grunnlag for OT-sikkerhet, blant annet tilgangsstyring, segmentering og hensynet til pålitelighet og sikker drift.

Tiltakene i artikkelen er praktiske anbefalinger. De må tilpasses fartøyets systemer, operasjon og gjeldende krav.