Operativ teknik - utmaningar i ett föränderligt cybersäkerhetslandskap

Operativ teknik (OT) är det teknikområde som styr och övervakar fysiska processer och maskiner i industri och annan infrastruktur. Det är en särskilt utsatt del av organisationers teknikmiljöer.

OT som särskilt utsatt del av teknikmiljön

OT har under en tid identifierats som en särskilt utsatt del av organisationers teknikmiljöer och många har idag brister i sitt systematiska cybersäkerhetsarbete.

Ökad uppkoppling skapar nya risker

I takt med att systemen blir allt mer integrerade och uppkopplade skapas nya möjligheter till effektivare drift. Samtidigt är de särskilt sårbara, eftersom de
ursprungligen utformades för isolerade miljöer med fokus på tillförlitlig och långsiktig drift. Cybersäkerheten var inte prioriterad.

Tekniska sårbarheter och åldrande system

Uppkopplade OT-system är sårbara för utpressningsangrepp och andra verksamhetsstörande cyberangrepp. Den långa livslängden innebär att många system är föråldrade. Uppdateringar av programvara är en utmaning då det skapar driftsavbrott i produktionen. Dessutom använder systemen vissa äldre
protokoll som ibland saknar grundläggande cybersäkerhetskontroller. Kombinationen av hög ålder och ökande komplexitet i systemsammansättning ökar också risken för felkonfigureringar och mänskliga misstag.

Konsekvenser av angrepp mot OT-system

Konsekvenserna av lyckade angrepp mot OT-system kan bli produktionsbortfall, ekonomisk skada, fysisk skada om maskiner förstörs och andra störningar som även kan ge betydande samhällseffekter. Angrepp mot energisektorn eller vattenförsörjningen kan få konsekvenser för liv och hälsa eller skada vår miljö.

Bristande överblick och ökande komplexitet

Organisationer saknar ofta en tydlig överblick över vilka enheter som ingår i deras OT-system, vilket försvårar prioritering av skyddsåtgärder. Det är också en utmaning att snabbt och effektivt stärka skyddet utan att påverka produktionen. Samtidigt driver digitalisering och automatisering en ökad sammankoppling av system, där nya tekniker som AI och molntjänster införs. OT-system integreras alltmer med den övriga it-miljön och exponeras därmed mot gränsytor som de ursprungligen inte var utformade för.

Rekommendationer för beslutsfattare och organisationer

NCSC:s övergripande rekommendationer

Administrativa åtgärder

Organisationens ledning har ansvaret för OT-säkerhetsarbetet.
Säkerställ att det finns en uppdaterad hot- och riskanalys samt tydliga rutiner för tilldelning, ändring och borttagning av behörigheter. Ställ krav på OT-säkerhet vid inköp och upphandling, följ upp leverantörer och inkludera säkerhetskrav i systemutveckling, test, integration och driftsättning.
Inför ett arbetssätt för säker upphandling och säkra leveranskedjor inom OT, samt säkerställ att det efterlevs.
Dokumentera och underhåll en inventarielista över samtliga system och komponenter.

Tekniska åtgärder

Minska exponeringen av uppkopplade enheter genom att ha kontroll på vilka delar av miljön som är exponerad mot internet.
Härda OT-systemen genom exempelvis brandväggar, autentiseringsåtgärder och säker lösenordshantering, samt hantera uppdateringar enligt organisationens arbetssätt för patchhantering.
Säkerställ förmåga att detektera och logga säkerhetsavvikelser, händelser och incidenter. Loggning bör omfatta operativsystemhändelser (som omstarter och krascher), onormalt applikationsbeteende, okända eller obehöriga komponenter och programvaror, nya eller ohanterade sårbarheter
samt verksamhetsspecifika avvikelser.
Hantera incidenter i enlighet med organisationens arbetssätt för incidenthantering.

Fördjupade råd och rekommendationer för skydd av OT-miljöer kan du läsa här

Faktaruta

IT - informationsteknik

Hanterar data, kommunikation och affärssystem, t.ex. datorer, servrar,
databaser och molntjänster. Har en livslängd på cirka 3-5 år.

Fokus är att hantera information, konfidentialitet är viktigt (skydda
informationen).

OT - operartiv teknik

Styr och övervakar fysiska processer och maskiner i industri och infrastruktur. Exempel är SCADA-system, PLC:er (programmerbara styrsystem), industrirobotar, kraftnät, vattenreningsverk. Har en livslängd på cirka 15-30 år.

Fokus är att styra fysiska processer, tillgänglighet är viktigt (skydda processen).