När kylan blir en säkerhetsfråga: därför är OT en del av försörjningsberedskapen

När vi pratar om cybersäkerhet handlar diskussionen ofta om IT-system, data och identiteter. Men konsekvenserna stannar inte alltid i den digitala miljön. Vad händer när ett angrepp får kylar att sluta fungera, stänger av ventilationen eller manipulerar en värmeanläggning?

SVT:s senaste kartläggning visar att omkring 3 800 svenska industriella styrsystem är mer eller mindre exponerade mot internet. Bland dem finns system som styr allt från fastigheter till kylanläggningar. Det är en tydlig påminnelse om att digitala sårbarheter inte bara hotar information. De kan också påverka verksamhetskritiska och samhällsviktiga funktioner.

Samtidigt har omkring 700 butiker i Frankrike rapporterats ha drabbats av störningar i sina kylsystem efter att angripare tagit kontroll över regleringen. Temperaturerna steg kraftigt under natten, vilket ledde till omfattande skador på varor. Enligt tillverkaren handlade det om utrustning som var föråldrad eller inte hade uppdaterats.

En gemensam sårbarhet kan bli en systemrisk

Händelserna visar att riskerna inte kan bedömas enbart utifrån ett enskilt system eller en enskild verksamhet. När hundratals eller tusentals organisationer använder samma utrustning eller mjukvara kan en gemensam sårbarhet få konsekvenser långt utanför den egna organisationen.

En brist i ett styrsystem kan i värsta fall ge angripare en väg in till många anläggningar samtidigt. Därför behöver organisationer förstå mer än hur den egna tekniken är skyddad. De behöver också kartlägga sina beroenden, granska leverantörskedjan och bedöma vilka följder ett avbrott kan få för verksamheten, kunderna och omgivningen.

Drifttekniken får inte hamna mellan stolarna

Många organisationer har i dag god kontroll över sina traditionella IT-miljöer. Driftteknik, ofta kallad OT efter engelskans operational technology, hamnar däremot fortfarande mellan stolarna.

Kyla, värme, ventilation och andra fastighetsnära funktioner hanteras ofta av externa leverantörer som behöver fjärråtkomst till systemen. Utrustningen kan ha varit installerad i många år, samtidigt som uppdateringar inte alltid genomförs lika regelbundet som i övriga IT-miljöer.

Det skapar frågor som varje verksamhet behöver kunna besvara:

• Vem ansvarar för säkerheten?

• Vem ansvarar för uppdateringarna?

• Vem äger risken när utrustningen blir föråldrad?

• Vilka krav gäller för leverantörer och servicepartner?

• Hur ska verksamheten agera om ett system slutar fungera?

För många organisationer är ansvarsfördelningen fortfarande oklar. Det kan fördröja både förebyggande åtgärder och hanteringen av en incident.

Försörjningsberedskap är också cybersäkerhet

Ur ett totalförsvarsperspektiv blir frågan särskilt viktig. Kylkedjan är en del av samhällets försörjningsberedskap. Ett riktat angrepp mot styrsystem kan därför få stor effekt till en relativt låg kostnad för angriparen.

Arbetet kan inte stanna vid att förhindra intrång. Organisationer behöver även planera för vad som händer om ett styrsystem faktiskt påverkas:

• Hur snabbt upptäcker vi en avvikelse?

• Hur begränsar vi konsekvenserna?

• Kan verksamheten fortsätta fungera?

• Finns det manuella reservrutiner?

• Vem fattar beslut när något inträffar?

Resiliens handlar inte bara om att hålla angriparen ute. Den handlar också om att begränsa skadan och upprätthålla verksamheten när skyddet inte räcker hela vägen.

Fyra åtgärder att prioritera

Organisationer som använder industriella styrsystem eller fastighetsnära driftteknik bör prioritera fyra grundläggande åtgärder.

1. Inventera och kartlägg

Skapa en samlad bild av vilka styrsystem som finns i verksamheten, vilka funktioner de kontrollerar och vilka system som är exponerade mot internet. Bedöm även vilka konsekvenser ett avbrott eller en manipulation skulle få.

2. Begränsa extern åtkomst

Ta bort onödig direktåtkomst från internet. När fjärråtkomst är nödvändig ska den skyddas med stark autentisering, exempelvis multifaktorautentisering, MFA.

3. Hantera den tekniska skulden

Identifiera föråldrad och osupporterad utrustning. Ställ tydliga krav på leverantörer och servicepartner när det gäller säkerhet, uppdateringar, livscykelhantering och ansvar.

4. Integrera OT i säkerhetsarbetet

Inkludera de drifttekniska miljöerna i organisationens riskanalyser, kontinuitetsplanering och säkerhetsskyddsarbete. OT behöver hanteras som andra verksamhetskritiska system, inte som en separat teknisk fråga.

Säkerhetsarbetet måste omfatta hela verksamheten

Cybersäkerhet handlar allt mindre om att skydda enskilda datorer och allt mer om att skydda verksamhetskritiska funktioner. När digitala och fysiska system vävs samman blir konsekvenserna av ett angrepp mer konkreta och kan snabbt påverka både den egna verksamheten och samhällets försörjningsförmåga.

Kylsystem, fastighetsautomation och annan driftteknik kan därför inte betraktas som frågor enbart för tekniker och leverantörer. De är en del av verksamhetens säkerhet, resiliens och förmåga att fortsätta fungera när något oväntat inträffar.

Först när vi ser OT och IT som delar av samma riskbild kan vi bygga den motståndskraft som dagens hotbild kräver.