Fra sikring til operasjonell kontroll 

Neste steg for IT- og OT-sikkerhet i kraftbransjen 

I forrige artikkel beskrev vi hvordan kraftbransjen kan bygge robust OT-sikkerhet gjennom å forstå, beskytte og overvåke. 

Men sikkerhet alene er ikke lenger tilstrekkelig. 

Spørsmålet ledelsen i kraftselskaper nå må stille seg er: 

Har vi faktisk operasjonell kontroll – eller håper vi at tiltakene våre virker? 

Trusselbildet mot energisektoren har endret karakter  

Statlige aktører, organiserte kriminelle og avanserte cybermiljøer retter seg mot kritisk infrastruktur – ikke primært for økonomisk vinning, men for påvirkning, destabilisering og geopolitisk effekt. 

I Europa har energisektoren vært eksplisitt omtalt som høyrisiko i forbindelse med implementeringen av NIS2-direktivet. I Norge stiller Norges vassdrags- og energidirektorat (NVE) tydelige krav til sikkerhet, beredskap og dokumentasjon. 

Dette betyr at OT-sikkerhet ikke lenger kun er et teknisk fagområde. 
Det er et spørsmål om virksomhetsstyring, risikoforståelse og ansvarlighet på styrenivå. 

En artikkel vi tror du kan like: Når et cyberangrep blir en omdømmekrise

Hva er konsekvensen av at IT og OT går i hverandre? 

Konvergens mellom IT og OT gir bedre innsikt, mer effektiv drift og bedre beslutningsgrunnlag. 

Men det skaper også: 

• Større angrepsflate 

• Flere avhengigheter 

• Økt kompleksitet 

• Behov for tydeligere ansvarsdeling 

Tradisjonelt har OT vært bygget for stabilitet og levetid. IT har vært bygget for fleksibilitet og endring. Når disse områdene integreres, oppstår et spenningsfelt: 

Hvordan ivaretar vi tilgjengelighet – uten å kompromittere integritet og konfidensialitet? 

Det holder ikke lenger å sikre enkeltkomponenter. Det må etableres helhetlig styring av hele det digitale økosystemet. 

Fra tekniske tiltak til styringsmodell 

Mange kraftselskaper har allerede: 

✔ Segmentert nettverkene 
✔ Innført sterk autentisering 
✔ Implementert logging og overvåking 
✔ Etablert beredskapsplaner 

Likevel opplever vi ofte at aktører mangler: 

• Samlet risikobilde på tvers av IT og OT 

• Oppdatert oversikt over teknologisk gjeld 

• Tydelig rolle- og ansvarsfordeling 

• Strukturert livssyklushåndtering av OT-komponenter 

• Testet evne til å håndtere et koordinert angrep 

Forskjellen mellom “implementert sikkerhet” og “operasjonell kontroll” ligger nettopp her. 

Operasjonell kontroll betyr at virksomheten til enhver tid kan svare på: 

• Hva er våre mest kritiske digitale avhengigheter? 

• Hvor sårbare er vi – konkret? 

• Hvor raskt kan vi oppdage og isolere et avvik? 

• Hvor raskt kan vi gjenopprette normal drift? 

• Kan vi dokumentere dette overfor myndigheter og styre? 

Anbefalt lesning: Red Team

Det handler om tillit 

Energisektoren er under stadig sterkere regulatorisk og samfunnsmessig press. 

De virksomhetene som lykkes fremover, vil ikke bare være de som “unngår hendelser”. 
Det vil være de som kan dokumentere: 

• Strukturert risikostyring 

• Samordnet IT- og OT-beredskap 

• Testede prosedyrer 

• Kontinuerlig forbedring 

Dette handler om mer enn compliance. 
Det handler om tillit – fra myndigheter, samarbeidspartnere og samfunnet. 

Den neste modenhetsreisen 

For mange kraftselskaper er neste steg ikke å kjøpe flere verktøy. 

Tenker heller stegene som hjelper dere å:

1. Etablere en tydelig styringsmodell for IT/OT-sikkerhet 

2. Forankre ansvar på ledelsesnivå 

3. Integrere sikkerhet i investerings- og moderniseringsplaner 

4. Øve på scenarioer som inkluderer både cyber og fysisk konsekvens 

Sikkerhet må bli en del av virksomhetens operasjonelle DNA – ikke et sideprosjekt. 

En strukturert vei videre 

Vi i NetNordic ser at de mest robuste aktørene jobber strukturert med tre dimensjoner samtidig: 

• Teknologi – segmentering, overvåking, herding 
• Prosess – livssyklus, endringskontroll, beredskap 
• Styring – risikoeierskap, dokumentasjon, ledelsesforankring 

Når disse tre samspiller, oppstår reell operasjonell kontroll. 

Fra sikring til kontroll 

Kraftforsyningen er samfunnskritisk infrastruktur. Å sikre enkeltkomponenter er nødvendig – men ikke tilstrekkelig. 

Det avgjørende fremover er evnen til å: 

• Forstå kompleksiteten 

• Redusere sårbarhet systematisk 

• Dokumentere kontroll 

• Reagere raskt og koordinert 

Målet er ikke bare å forhindre angrep. Målet er å sikre kontinuitet – også når noe skjer. 

Vil du vite mer om moderne tiltak og sikkerhetsløsninger, skredersydd for kraftbransjen? 

Snakk med en av våre erfarne eksperter med dybdekompetanse innen kraft og også moderne teknologiløsninger som kan bidra til både en mer effektiv og sikrere kommunikajson og drift.