Sikring av IT og OT i kraftbransjen

OT-nettene i kraftbransjen utgjør selve ryggraden i norsk energiforsyning. SCADA-systemer, kontrollrom- og driftskontrollnett, stasjonsnettverk, driftstelefoni, AMS og tilhørende infrastrukturer sørger for stabil produksjon, distribusjon og overvåking – døgnet rundt. 

Disse miljøene har ulike sikringsbehov, og myndighetskravene fra NVE varierer avhengig av hvor kritisk det enkelte anlegg er for drift, gjenoppretting og sikkerhet i kraftforsyningen – lokalt, regionalt eller nasjonalt. 

Historisk var OT-nettene fysisk og logisk adskilt fra IT-nettene. Systemene var ofte plassert i egne anlegg, hadde lang levetid og var utviklet for stabil drift over flere tiår. I dag er situasjonen annerledes. Myndighetskrav og behov for datadeling gjør at informasjon fra OT-miljøene må tilgjengeliggjøres for andre aktører og forbrukere. Dette skaper nye utfordringer – særlig for eldre løsninger som ikke er designet for dagens trusselbilde. 

Samtidig har IT-miljøene i kraftbransjen i større grad fulgt den generelle utviklingen innen cybersikkerhet, oppdateringsrutiner og livssyklushåndtering. OT har tradisjonelt vært organisert og forvaltet annerledes, men i dag ser vi at OT-driftspersonell i økende grad integreres i IKT-avdelingene. Likevel opplever mange virksomheter at OT-sikkerhet ikke alltid får samme oppmerksomhet som IT – selv om det er OT-systemene som beskytter de mest kritiske verdiene. 

Tilgjengelighet har høyest prioritet 

En velkjent modell innen informasjonssikkerhet er CIA-triangelet (Confidentiality, Integrity, Availability) – Konfidensialitet, Integritet og Tilgjengelighet. Alle tre elementene er viktige, men vektingen varierer mellom systemtyper. 

I kraftbransjens OT-systemer har tilgjengelighet tradisjonelt hatt høyest prioritet. Systemene skal overvåke og styre kritisk infrastruktur kontinuerlig, 24/7. Historisk har isolasjonen bidratt til høy integritet og konfidensialitet. Når OT-systemene nå kobles tettere til andre nett og aktører, må tilgjengelighet fortsatt ivaretas – samtidig som kravene til sikkerhet og dokumentasjon øker. 

Teknologisk gjeld i OT-miljøene 

Mange kraftselskaper håndterer i dag betydelig teknologisk gjeld i sine OT-nettverk. Systemer utviklet lenge før moderne cybertrusler ble en realitet, kjører ofte på eldre maskin- og programvare. Noen inngår i større totalløsninger planlagt for svært lang levetid, og kan derfor være krevende å modernisere. 

I tillegg benytter OT-miljøer ofte proprietære protokoller som ikke alltid håndteres effektivt av tradisjonelle IT-sikkerhetsverktøy. Dette kan skape blindsoner i overvåkingen. 

Oppgradering av enheter i OT-nettet 

IT-systemer har ofte planlagte vedlikeholdsvinduer og mer fleksible oppgraderingsløp. OT-systemer opererer kontinuerlig og styrer kritisk utstyr som ikke kan tas ned uten videre. 

Selv når servicevinduer kan planlegges, kan man erfare at produsenten ikke lenger tilbyr oppgraderinger (End-of-Support), eller at enheten er faset ut og der erstatningsenheter enten ikke finnes eller medfører en vesentlig mer omfattende oppgraderingsjobb. 

Oppdatering og patching i OT kan heller ikke gjennomføres etter samme rutiner som i IT. Nedetid kan få direkte konsekvenser for drift, og kompatibilitet må testes grundig. Dette stiller høye krav til spesialkompetanse og strukturert endringshåndtering. 

Mangel på kompetanse 

Som i resten av verden er det også i Norden knapphet på sikkerhetseksperter med dyp OT- og ICS-kompetanse. Det kan være krevende å rekruttere og beholde riktig kompetanse internt, spesielt i mindre og mellomstore virksomheter. 

Dette øker behovet for struktur, samarbeid mellom IT og OT, og eventuelt støtte fra eksterne fagmiljøer med spesialisert erfaring innen industriell sikkerhet. 

Veien videre: Slik bygger du robust OT-sikkerhet 

For å møte utfordringene på en strukturert og gjennomførbar måte anbefales en pragmatisk tretrinnsprosess: Forstå, Beskytt og Overvåk. Denne tilnærmingen gir både oversikt og fremdrift – uten å gå på bekostning av driftsstabilitet. 

1. Forstå OT-landskapet – skaff oversikt og identifiser risiko 

Første steg er å etablere en helhetlig forståelse av OT-miljøet: 

• Kartlegg alle enheter og systemer (SCADA, RTU, nettverksutstyr, brannmurer m.m.) 
• Dokumenter kommunikasjon og avhengigheter 
• Identifiser eksisterende segmentering og sikkerhetstiltak 
• Gjennomfør risikovurdering med fokus på konsekvenser for organisering, produksjon og sikkerhet 

Dette arbeidet bør være tverrfaglig og involvere både OT-personell, IT-sikkerhetsressurser og relevante ledere. En strukturert workshop kan være et effektivt startpunkt. Mange virksomheter har også nytte av ekstern sparring for å få et objektivt blikk på dagens situasjon. 

2. Beskytt verdiene – innfør målrettede og pragmatiske tiltak 

Basert på risikovurderingen kan konkrete tiltak prioriteres og implementeres gradvis: 

• Nettverkssegmentering for å isolere kritiske OT-systemer 
• Sterk autentisering og rollebasert tilgangsstyring 
• Systemherding og deaktivering av unødvendige tjenester 
• Tilpasset patch management-prosess med grundig testing 
• Sikker ekstern tilgang med tidsbegrensning, logging og varsling 

Tiltakene bør balansere sikkerhet og driftshensyn. En gradvis implementering reduserer risiko for uønskede forstyrrelser. 

3. Overvåk og reager – skap synlighet og beredskap 

Robust OT-sikkerhet forutsetter kontinuerlig overvåking og evne til å håndtere hendelser raskt og koordinert: 

• Innfør OT-spesifikke overvåkingsverktøy som forstår industrielle protokoller 
• Etabler sentralisert logging for både IT og OT 
• Utarbeid og test en hendelsesresponsplan tilpasset OT-miljøet 
• Styrk samarbeidet mellom IT- og OT-teamene 

Mange virksomheter velger også å knytte til seg en sikkerhetspartner som kan bidra med spisskompetanse og kapasitet ved behov. 

En partner gjennom hele OT-sikkerhetsreisen 

OT-miljøer er komplekse, og kravene til sikkerhet og dokumentasjon øker. Samtidig må tilgjengelighet og stabil drift alltid ivaretas. 

Vi i NetNordic arbeider sammen med kraftselskaper for å skape oversikt, redusere risiko og etablere robuste sikkerhetsmekanismer – tilpasset virksomhetens størrelse, modenhet og regulatoriske krav. 

Gjennom strukturert kartlegging, målrettede tiltak og løpende overvåking bidrar vi til å styrke sikkerheten uten å gå på bekostning av operativ kontroll. 

Målet er ikke bare å sikre systemene – men å skape trygghet for kontinuerlig og stabil kraftforsyning. Snakk med oss i NetNordic om sikker og robust kommunikasjon.