Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
Kritisk infrastruktur er på alles læber for tiden – og med god grund. For accelerationen af den fjerde industrielle revolution, også kaldet Industry 4.0, er i fuld gang.
Her digitaliserer virksomheder bl.a. processer, tilslutter flere enheder til deres netværk og overvåger systemer via sensorer.
Det har skabt en ny virkelighed på OT-sikkerhedsområdet (Operations Technology), hvor virksomhedernes angrebsflader er blevet udvidet markant.
Stigningen i antal enheder og størrelsen af angrebsflader er en udfordring for en lang række virksomheder inden for produktion, sundhed, finans samt energi og forsyning.
Særligt de virksomheder, der har ansvaret for dele af den kritiske infrastruktur i Danmark, skal være opmærksomme på udfordringerne.
Udviklingen har på flere måder overhalet rigtig mange virksomheder indenom. Jeg oplever bl.a., at virksomheder mangler viden om og erfaring med, hvordan de sikrer de nye angrebsflader.
Desuden er mange i tvivl om, hvor ansvaret for beskyttelse af kritisk infrastruktur egentlig skal placeres.
Der er derfor en risiko for, at det falder ned mellem tre stole:
Først er der producenterne af industrielle kontrolsystemer (ICS) og systemer til styring af produktionsanlæg mv.
Dernæst er der naturligvis forsyningsvirksomheder, produktionsvirksomheder og andre, der anvender ICS-løsningerne i dagligdagen, og endelig er der de statslige organer inden for cybersikkerhed.
Historisk set har det ikke være nødvendigt at tænke digital sikkerhed ind i industrielle systemer, maskiner mv., fordi de ikke hverken var tilsluttet internettet eller forbundet med hinanden.
Men virkeligheden er i dag en anden. It og OT er smeltet sammen og har skabt en digital infrastruktur med milliarder af internetforbundne enheder, som tilsammen udgør store dele af samfundets kritiske infrastruktur – og antallet stiger eksponentielt.
Hvis virksomhederne tilmed ikke har synlighed over samtlige enheder og deres potentielle sårbarheder, kan det give hackere direkte adgang til den kritiske infrastruktur, vi alle er afhængige af.
OT-sikkerhed bliver nedprioriteret
Vi ser vi desværre ofte, at en del virksomheder, f.eks. inden for produktion, prioriterer driften højere end OT-sikkerheden.
Det kan hænge sammen med, at de har svært ved at se behovet for sikkerhedsløsningerne til hverdag, da systemerne historisk set ikke har været udsatte i forhold til den klassiske it-infrastruktur.
Eller også skyldes det, at de har tillid til, at ICS-producenterne har tænkt sikkerheden ind i alle områder af deres løsninger.
Det er imidlertid langt fra tilfældet. ICS-producenterne har nemlig primært fokus på systemernes funktionalitet, og tager ikke nødvendigvis højde for sikkerhedsaspektet.
Samtidig oplever vi, at ressourcestærke grupperinger af cyberkriminelle målrettet går efter virksomheders OT-miljøer for at ramme landes kritiske infrastruktur og dermed lamme store dele af samfundet.
Kombinationen af den nye virkelighed på OT-området, virksomhedernes erfaringsniveau, og de cyberkriminelles evne til at udføre avancerede angreb, kræver derfor, at det står klart, hvem der har ansvaret for OT-sikkerheden.
Synlighed over enheder er afgørende
Ansvaret ligger, i mine øjne, hos virksomhederne, som ejer og anvender OT-miljøerne til hverdag – ligesom ansvaret for vedligeholdelsen også påhviler dem.
Statslige institutioner som Center for Cyber Sikkerhed (CFCS) udgiver godt nok vejledninger på tværs af brancher, men det er desværre min erfaring, at vejledningerne ikke altid bliver fulgt.
På samme måde kan en alarmvirksomhed heller ikke sikre et hus, hvis ejerne glemmer at slå alarmen til, eller konsekvent forlader huset med åbne vinduer.
Hvis denne tendens fortsætter, vil vi i yderste konsekvens se en øget regulering fra staten, hvilket vil betyde mindre fleksibilitet, et smallere handlerum og et mere bureaukratisk system at navigere i.
De danske virksomheder, der bygger og driver kritisk infrastruktur, er for det første nødt til at tage ansvaret for OT-sikkerheden på deres skuldre.
Dernæst skal de i fremtiden blive bedre til at skabe total synlighed over alle deres OT-enheder, som er forbundet til netværket og identificere de største sårbarheder i hver enkelt enhed.
Kun på den måde kan vi opnå et mere modstandsdygtigt samfund og sikre OT-miljøer – for der er ingen tvivl om, at vi vil se endnu flere avancerede angreb de kommende år.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.