Slik sikrer du fjernaksess til pumpestasjoner og vannverk

Fjernaksess er ikke et sikkerhetsproblem. Det er en driftsforutsetning. Problemet oppstår når det ikke er kontrollert. Denne artikkelen gir konkrete anbefalinger for VA-virksomheter som vil ha oversikt og kontroll – uten å gå på bekostning av driftseffektiviteten.

Hvorfor fjernaksess er uunnværlig – og uunngåelig

Et kommunalt VA-system kan bestå av dusinvis av pumpestasjoner, høydebassenger og renseanlegg spredt over store geografiske områder. Ingen kommuner har råd til å bemanne hvert enkelt anlegg fysisk hele døgnet. Fjernaksess er derfor ikke et valg – det er en forutsetning for forsvarlig og kostnadseffektiv drift.

I tillegg har leverandører og servicepersonell behov for tilgang for å gjennomføre vedlikehold, oppdateringer og feilretting uten å reise til hvert anlegg. Det sparer tid, penger og ressurser som heller kan brukes på den faktiske infrastrukturen.

Utfordringen er ikke fjernaksessen i seg selv. Utfordringen er at den i mange kommuner har vokst frem uten en samlet plan – og at ingen har full oversikt over hvem som kan komme inn, og fra hvilken retning.

De vanligste feilene vi ser

I møte med kommuner og VA-virksomheter ser vi noen mønstre som går igjen:

• Leverandørspredning uten koordinering. Automasjonsleverandøren har én VPN-løsning. Driftspartneren har en annen. Serviceteamet en tredje. Ingen av dem kommuniserer med hverandre, og ingen i kommunen har full oversikt over alle inngangene.
• Tilganger som lever videre etter kontraktsslutt. Leverandørskifte gjennomføres, men tilgangene til den gamle leverandøren fjernes aldri. I verste fall er disse tilgangene fortsatt aktive år etter at samarbeidet er avsluttet.
• Manglende logging av tilgangsøkter. Fjernaksessen er satt opp og fungerer teknisk, men ingen har oversikt over hva som faktisk skjer under øktene – hvem som logger inn, hva de gjør, og når.
• Svak eller ingen flerfaktorautentisering. Tilgang til kritiske styringssystemer er beskyttet kun av brukernavn og passord – ofte det samme passordet som brukes på tvers av systemer.
• Ingen soneinndeling. Fjernaksessen gir tilgang til hele nettverket, ikke bare det systemet leverandøren faktisk trenger å nå. En serviceteknikker som skal justere en pumpestasjon, kan i prinsippet nå renseanlegget på andre siden av kommunen.

Hva digitalsikkerhetsloven og NIS2 krever

Begge regelverk er tydelige: fjernaksess er et tilgangsstyringsspørsmål, og tilgangsstyring er et ledelsesansvar.

Virksomheten skal til enhver tid kunne dokumentere hvem som har tilgang til hvilke systemer, på hvilket grunnlag tilgangen er gitt, og hva som har skjedd under tilgangsøktene. Det betyr ikke at kommunen selv trenger å overvåke hvert tastaturtrykk – men det betyr at logging skal finnes, og at noen er ansvarlig for å følge den opp.

I tillegg stilles det krav til at tilganger er begrenset til det som er nødvendig for formålet (prinsippet om minste privilegium), at sterk autentisering brukes for tilgang til kritiske systemer, og at tilganger trekkes tilbake umiddelbart når de ikke lenger er nødvendige.

Leverandørtilgang: det svakeste leddet

En av de mest undervurderte risikoene i VA-sektoren er leverandørtilganger. Det er ikke fordi leverandørene er upålitelige – det er fordi tilgangene sjelden er like godt kontrollert som tilgangene til interne ansatte.

Typisk scenario: en automasjonsleverandør installerer et SCADA-system og setter opp fjernaksess for å kunne supportere systemet. Tilgangen er praktisk og brukes aktivt. Men hva skjer dersom:

• Leverandøren ansetter en ny tekniker som arver kontoen?
• Kontrakten reforhandles og sikkerhetskravene ikke oppdateres?
• Leverandøren selv utsettes for et dataangrep og kontoen kompromitteres?

Dette er ikke hypotetiske scenarioer. De skjer. Og kommunen er ansvarlig for konsekvensene, fordi det er kommunens infrastruktur som er eksponert.

Løsningen er ikke å fjerne leverandørtilganger – det er å kontrollere dem på samme nivå som interne tilganger, med dokumentasjon, logging og jevnlig revisjon.

Les også hovedsaken i serien: NIS2 og digitalsikkerhetsloven for VA-sektoren.

Zero Trust: prinsippet bak moderne fjernaksess

Et begrep som dukker opp stadig oftere i sikkerhetsdiskusjoner er Zero Trust. Det høres komplisert ut, men kjerneprinsippet er enkelt: ingen bruker eller enhet skal automatisk stoles på bare fordi de er på riktig nettverk eller har riktige innloggingsdetaljer. Tillit må kontinuerlig verifiseres.

I praksis for VA-sektoren betyr Zero Trust-prinsipper blant annet:

• At tilgang gis til et spesifikt system for et spesifikt formål, ikke til hele nettverket
• At autentisering kreves på nytt dersom en økt overskrider normale mønstre
• At alle handlinger logges og kan knyttes til en spesifikk bruker og tidspunkt
• At kompromitterte kontoer kan isoleres raskt uten å stenge ned hele tilgangsstrukturen

Dette er ikke et produkt man kjøper, men en arkitekturfilosofi man bygger rundt. Mange moderne fjernaksessløsninger støtter Zero Trust-prinsipper, men de må konfigureres riktig og integreres i en helhetlig tilgangsstyringsstrategi.

Praktiske anbefalinger

1. Kartlegg alle eksisterende tilganger. Start med å få oversikt. Hvilke systemer har fjernaksess? Hvem har tilgang? Når ble tilgangen sist brukt? Dette alene avdekker gjerne tilganger som burde vært fjernet for lenge siden.

2. Samle fjernaksessen i én kontrollert løsning. I stedet for én inngang per leverandør: en sentralisert fjernaksessplattform der alle tilganger styres, logges og kan deaktiveres fra ett sted. Dette gir oversikt og forenkler revisjon.

3. Innfør flerfaktorautentisering for alle tilganger til kritiske systemer. Brukernavn og passord alene er ikke tilstrekkelig for systemer som styrer vannforsyning.

4. Segmenter tilgangen. En leverandør som skal vedlikeholde én pumpestasjon, trenger ikke tilgang til hele nettverket. Tilgangen bør begrenses til de systemene og sonene som faktisk er relevante for oppdraget.

5. Etabler en prosess for livssyklusstyring av tilganger. Tilganger skal gis med et definert formål og en definert varighet. Når formålet er oppfylt, trekkes tilgangen tilbake. Dette bør være en rutine, ikke noe som skjer ad hoc.

6. Logg og revider regelmessig. Logging uten revisjon gir liten verdi. Sett av tid til å gjennomgå tilgangslogger jevnlig, og definer hva som skal utløse en varsling.

Neste steg

Fjernaksess er ett av de konkrete områdene NetNordics Security Advisory-team kan bistå virksomheter med å vurdere og forbedre. En gjennomgang av dagens løsning tar vanligvis ikke lang tid, men den avdekker gjerne mer enn man forventer.

Ta kontakt for en uforpliktende workshop om sikker fjernaksess i OT-miljøer.