Fördjupande material inom industriella informations- och styrsystem
På den här sidan presenteras ett urval av de rapporter som tagits fram på uppdrag av Myndigheten för civilt försvar med fokus på cybersäkerhetsaspekter inom industriella informations- och styrsystem.
På den här sidan
Cybersäkerhet för fordon
Standard IEC62443
Industriella protokoll i Sverige
Monitorerings- och övervakningssystem
Beroenden till industriella informations- och styrsystem
Regelverk
Åldrande ICS-utrustning
Industriella informations- och styrsystem i kris och krig
Cybersäkerhet för fordon
Myndigheten har som ett led i sitt arbete med cybersäkerhet för samhällsviktiga styr och kontrollsystem analyserat modern fordonstrafik.
Detta har bland annat lett till en analys av styrande lagar och regelverk, och en rapport om cybersäkerhet i tunga fordon. En slutsats är att det är viktigt att höja beställarnas cybersäkerhetskompetens.
Memo- Kartläggning av elektroniska styrsystem i tunga fordon
Rapport om cyberfysiska sårbarheter i tunga fordon
Rapport om lag och cybersäkerhet i smart vägtrafik på foi.se
Vägledning: Cybersäkerhet i tunga räddningsfordon
Standard IEC62443
ISA/IEC 62443 är en standard med fokus på industriella informations- och styrsystem (ICS) och har sitt ursprung i tillgänglighets- och riktighetsaspekterna snarare än konfidentialitetsaspekten. Den här rapporten ger en övergripande bild av standarden, dess olika delar och relation till andra standarder samt belyser hur den används i Sverige.
Även en jämförelse med Norge görs. Rapporten riktar sig till operatörer, leverantörer och tillverkare av samhällsviktiga styrsystem. Den kan läsas av de som vill få en inblick i standarden eller användas som underlag för dialog mellan operatörer och leverantörer, exempelvis vid upphandling.
Faktablad om standard ISA/IEC 62443
Rapport om standard ISA/IEC 62443
Industriella protokoll i Sverige
Rapporten vänder sig till dig som vill veta mer om de kommunikationsprotokoll som i Sverige är vanligt förekommande i industriella informations- och styrsystem. Generella egenskaper, säkerhetsaspekter, varianter och datamodeller beskrivs för de ingående protokollen, likaså referenser till specifikationer i de fall dessa är tillgängliga. Exempel på protokoll som beskrivs i rapporten är IEC60870-5, Modbus och OPC.
Rapport om industriella protokoll i Sverige på foi.se
Monitorerings- och övervakningssytem
En kategorisering och översikt av IDS-teknik inom industriella informations- och styrsystem. I rapporten skapas ett ramverk som används för att på en övergripande nivå beskriva de olika delarna av funktionaliteterna i en IDS samt vad som påverkar dessa delars funktionalitet. Utifrån ramverket beskriver studien även aktuella trender för forskningen inom området samt fokus för marknaden. Studien kan fungera som stöd tidigt i en införskaffningsprocess av intrångsdetektionssystem för att visa på de tekniska möjligheter som finns.
Beroenden till industriella informations- och styrsystem
I förstudien Beroenden till industriella informations- och styrsystem läggs grunden till ett ramverk för identifiering och analys av samhällsviktiga verksamheters beroenden till ICS. Studien fokuserar på vilka utmaningar som kan förväntas när beroendeanalyser tillämpas på verksamheter med ett starkt inslag av ICS.
Slutsatsen är att själva identifieringen av beroendena (beroendekartläggningen eller systemanalysen), är möjlig att göra, men att den försvåras eftersom ICS finns ”överallt” i verksamheterna och eftersom de interna beroendena ofta är mycket komplexa.
Komplexiteten hänger ihop med det starka inslaget av mjukvara. Detta försvårar även värderingen av beroendena – till exempel blir förhållandet mellan funktionella beroenden och sårbarheter svårare att förutsäga. Om man dessutom vill kvantifiera sårbarheterna finns sällan bra data att utgå ifrån.
Regelverk
Myndigheten publicerade 2012 en rapport kring regelverk och krav som styr säkerhetsarbetet med industriella informations- och styrsystem. Den uppdaterades 2015.
Rapporten omfattade sektorerna: elproduktion och eldistribution, dricksvatten, fjärrvärme och fjärrkyla, kemisk processindustri, spårbunden trafik, samt elektroniska kommunikationer.
Regelverk och krav som styr säkerhetsarbetet med industriella informations- och styrsystem har sedan förändrats genom omfattande reformer.
Detta gäller i synnerhet med antagandet av NIS-direktivet, cybersäkerhetsakten och nya säkerhetsskyddslagen.
I denna rapport redovisas resultatet från en uppföljande studie med målet att på övergripande nivå beskriva nu gällande regelverk och krav för industriella informations- och styrsystem, genom att inkludera de förändringar som genomförts efter den 1 december 2015.
Förutom tidigare kartlagda sektorer har denna rapport från 2021 utökats med sektorn hälso- och sjukvård.
Rapporten beskriver både relevanta regelverk och krav för respektive utpekad sektor och centrala sektorsövergripande regelverk och krav.
Rapporten ger även exempel på ett antal lagar och bestämmelser inom andra områden som kan påverka både krav som generellt ställs på informationssäkerhet, såväl som på informations- och styrsystem.
Åldrande CIS-utrustning
I denna studie undersöks synen på, och hanteringen av, åldrande industriella informations- och styrsystem (ICS) inom några samhällsviktiga verksamheter i Sverige. Resultatet visar att det inte är åldrande i den traditionella meningen, det vill säga att något degenererar tills det slutar fungera, som utgör den stora utmaningen. Utmaningarna är i stället kopplade till relativt åldrande, att tekniska lösningar åldras relativt omgivningens krav.
Kraven är en direkt effekt av den snabba utvecklingen som sker inom informations- och övervakningssystemen, med resultat att ny automationsutrustning snabbt uppfattas som omodern. I första hand är det leverantörernas allt kortare supporthorisont som är gränssättande.
En generell tendens är att ICS närmar sig IT med allt vad det innebär av möjligheter och utmaningar – uppkopplat och billigt, men med ökad exponering mot Internet. En tendens är också mindre av customlösningar och mer av färdiglösningar vilket går hand i hand med lägre grad av djup kunskap om hur systemen fungerar, och ett allt starkare leverantörsoligopol.
Konsekvenserna kan bli sårbarheter i form av ”svarta lådor” och ”lapptäcken” av lösningar som både försvårar underhåll, planering och möjligheter att få support. Det blir också svårare att skydda sig mot IT-attacker av olika slag.
Industriella informations-och styrsystem i kris och krig
Resurstillgången hos leverantörer och aktörer som är beroende av industriella informations- och styrsystem (ICS) upplevs god vid normalförhållanden och mindre störningar, men planeringen av resurser är inte byggd för allvarliga samhällsstörningar. Målen för denna studie har varit att kartlägga regelverk samt att fånga utmaningar och problem med prioritering och fördelning av ICS-relaterade resurser när det råder brist i kris eller krig.
OM NCS3
Sedan 2007 stödjer vi Totalförsvarets forskningsinstitut (FOI) i uppbyggnaden av kompetens och en teknisk samverkansplattform inom området. Under 2012 inrättades arbetet under namnet Nationellt centrum för säkerhet i styrsystem för samhällsviktig verksamhet (NCS3).