Hendelsen i fryseanlegget hos varehuset Havaristen viser hvordan digitale innstillinger kan få fysiske konsekvenser. Ledelsen mistenker et hackerangrep. For virksomheter med tekniske styringssystemer reiser saken et viktig spørsmål: Hvem kan egentlig endre innstillingene som holder driften vår i gang?

Natt til 3. november ble varehuset Havaristen i Ytre Enebakk rammet av en hendelse i fryseanlegget. Ifølge daglig leder Thomas Michelsen ble temperaturen i fordamperne økt slik at sprinkleranlegget ble utløst. Matvarer ble ødelagt, og skadene beskrives som betydelige. [nrk.no]

Ledelsen mener det er sterke indikasjoner på et hackerangrep etter dialog med leverandøren av utstyret. Saken er politianmeldt. Det er likevel ikke offentlig bekreftet hvordan hendelsen oppstod eller hvordan uvedkommende eventuelt fikk tilgang. [nrk.no]

Hendelsen setter søkelys på en risiko som fortjener plass på ledelsens agenda:

Når digitale systemer styrer fysiske prosesser, kan en uønsket endring ramme varer, utstyr og virksomhetens evne til å levere.

OT finnes også utenfor fabrikken

Operasjonell teknologi, OT, er systemer som overvåker eller styrer fysiske prosesser.

For mange forbindes OT først og fremst med industri og produksjon. Men tekniske styringssystemer finnes i en rekke virksomheter. I en butikk kan det være kjøling og frysing. I et bygg kan det være ventilasjon og andre tekniske anlegg. På skip, verft og offshoreinstallasjoner finnes systemer for styring og overvåking av funksjoner driften er avhengig av.

Virksomhetene og systemene er forskjellige, men de reiser det samme grunnleggende spørsmålet:

Hva kan konsekvensen bli dersom noen får mulighet til å endre en kritisk innstilling uten tillatelse?

I tradisjonell IT-sikkerhet er oppmerksomheten ofte rettet mot informasjon, systemtilgang og tilgjengelighet. Når digitale systemer samtidig styrer fysiske prosesser, må virksomheten også forstå hvilke konsekvenser en cyberhendelse kan få for selve driften.

Har dere oversikt over alle veiene inn?

Hendelsen hos Havaristen illustrerer hvorfor dette spørsmålet er viktig.

Ifølge NRK var det aktuelle fryserommet koblet opp via en ekstern 4G-sender. Leverandøren kunne bruke forbindelsen til å fjernstyre anlegget når det oppstod problemer. De øvrige fryserne var koblet til et annet system, som ifølge virksomheten var sikret bak egen brannmur. Eieren opplyser samtidig at de ikke hadde vært klar over at én av senderne var usikret. [nrk.no]

Dette fastslår ikke hvordan et eventuelt angrep skjedde. Og en mobilforbindelse er ikke i seg selv bevis på en sikkerhetssvakhet.

Men hendelsen synliggjør et viktig prinsipp:

Virksomheten må vite hvilke forbindelser som finnes inn til de tekniske anleggene, hvem som kan bruke dem og hvordan tilgangene er sikret.

Fjernaksess har en viktig funksjon. Den kan gjøre det mulig for leverandører å følge opp anlegg og løse tekniske problemer uten å være fysisk til stede.

Men eksterne forbindelser må inngå i virksomhetens samlede sikkerhetsarbeid, også når de er etablert eller administrert av en leverandør.

Den samme problemstillingen finnes i mange bransjer

Forbindelser mellom tekniske systemer, leverandører og eksterne driftsmiljøer finnes i en rekke bransjer.

I maritime og offshore miljøer kan dette blant annet handle om systemer om bord, forbindelser mot land og leverandørtilgang. På verft kan det oppstå tilsvarende problemstillinger rundt systemer som bygges, integreres, testes og senere overleveres til kunden.

Fellesnevneren er behovet for oversikt:

Hvilke forbindelser er aktive? Hvem kan bruke dem? Hvilke systemer kan nås? Og hvem har ansvaret for at en tilgang fjernes når den ikke lenger er nødvendig?

Hendelsen hos Havaristen betyr ikke at andre OT-miljøer har de samme svakhetene. Men den gir virksomheter en god anledning til å stille spørsmålene om sitt eget miljø.

Fem tiltak virksomheter bør prioritere

God OT-sikkerhet krever samarbeid mellom driftsansvarlige, IT, sikkerhetsmiljøet og leverandørene som kjenner anleggene.

Et godt utgangspunkt er disse fem områdene:

1. Kartlegg systemer og tilkoblinger

Identifiser hvilke tekniske systemer og anlegg virksomheten er avhengig av, hvordan de er koblet sammen og hvilke forbindelser som finnes inn og ut av miljøet.

Oversikten bør også omfatte eksterne forbindelser og leverandørtilganger. Det viktige er å forstå både hva virksomheten har, og hvordan systemene faktisk kan nås.

2. Sikre fjernaksessen

Kartlegg hvem som trenger ekstern tilgang, hvilke systemer de skal kunne nå og hvor lenge tilgangen er nødvendig. Bruk flerfaktorautentisering i løsningen for fjernaksess, og fjern unødvendig direkte eksponering mot internett.

Tilganger bør være personlige og begrenses etter behov. Unødvendige tilganger bør avsluttes, og standardpassord og svake passord må unngås.

3. Begrens kommunikasjonen mellom systemene

Kritiske styringssystemer bør kun kunne kommunisere med systemene og tjenestene de trenger for drift og vedlikehold.

Segmentering kan brukes til å skille miljøer og begrense hvilke forbindelser som er tillatt. Målet er ikke å stoppe kommunikasjonen driften er avhengig av, men å kontrollere den.

4. Følg opp sårbarheter og uventede endringer

Virksomheten bør avklare med leverandørene hvordan utstyret vedlikeholdes og sikkerhetsoppdateres, samt hvordan eldre utstyr som ikke lenger kan sikres tilfredsstillende skal håndteres.

Det må også være tydelig hvem som følger opp uventede endringer, avvik og mistenkelig aktivitet, også utenfor ordinær arbeidstid.

5. Forbered sikker videre drift og gjenoppretting

En hendelse må kunne håndteres uten at selve responsen skaper nye problemer for driften.

Virksomheten bør ha oppdaterte sikkerhetskopier av nødvendige konfigurasjoner og en plan for gjenoppretting. Planen bør testes på en måte som ivaretar sikker drift.

Der manuelle arbeidsprosesser er en aktuell beredskapsløsning, må dette vurderes ut fra kravene til sikker drift.

NSM: Skaff oversikt over teknologien

I forbindelse med Havaristen-saken peker Nasjonal sikkerhetsmyndighet på nettopp behovet for oversikt.

NSM-direktør Arne Christian Haugstøyl råder ifølge NRK virksomheter til å ha oversikt over teknologien og utstyret de tar i bruk, spesielt operasjonell teknologi. Han trekker også frem behovet for å fase ut gammelt utstyr, sikkerhetsoppdatere der det er mulig og gjøre noe med originale leverandørpassord eller svake passord. [nrk.no]

Det er et enkelt råd, men i komplekse driftsmiljøer kan oppgaven være omfattende.

For OT-miljøer utvikles over tid. Leverandører kommer til. Utstyr skiftes. Nye forbindelser etableres. Gamle løsninger kan bli stående fordi de fortsatt gjør jobben de ble anskaffet for å gjøre.

Derfor er heller ikke OT-sikkerhet en engangsjobb.

Ledelsen må eie konsekvensen

Det tekniske sikkerhetsarbeidet krever fagkompetanse. Men konsekvensene av at kritiske systemer ikke fungerer, er et virksomhetsansvar.

• Hva koster det dersom kjølingen svikter gjennom natten?
• Hvor lenge kan produksjonen stå?
• Hvilke tjenester er virksomheten helt avhengig av?
• Hvem har myndighet til å stenge en serviceforbindelse dersom det oppstår mistanke om misbruk?
• Og hvem skal kontaktes dersom hendelsen skjer utenfor kontortid?
• Dette er spørsmål som bør være avklart før hendelsen oppstår.

Ansvar, kontaktveier og fullmakter må fungere også når noe uventet skjer.

Start med å vite hva som faktisk er koblet til

Tekniske anlegg skal ofte fungere i mange år. Leverandører trenger tilgang for service og vedlikehold. Endringer må gjennomføres uten å sette sikker og stabil drift i fare.

God OT-sikkerhet må ta utgangspunkt i denne virkeligheten.

I NetNordic ser vi nettverk, drift og sikkerhet i sammenheng. Sammen med kundens driftsmiljø og leverandører kan vi kartlegge tilkoblinger og vurdere hvor tilgang, segmentering og sikkerhetsoppfølging bør forbedres.

Det første OT-sikkerhetstiltaket er ikke nødvendigvis ny teknologi. Det er å vite hva som faktisk er koblet til.

Har dere oversikt over systemer, fjernaksess og leverandørtilganger? Hvis svaret ikke er et tydelig ja, er det et godt sted å starte.

Forfatter