Hvor modent er OT-miljøet ditt?

Når jeg sier et modent OT-miljø (operativ teknologi), så legger jeg flere ting i det. Det er kanskje naturlig å tenke sikkerhet, og det er helt riktig at det er en viktig del. En annen viktig del er muligheten til å hente ut data for å bli datadrevet og optimalisere prosesser for å bli enda mer effektiv. En tredje del, og den viktigste, er pålitelighet: At OT-systemene dine er tilgjengelig og fungerer når du trenger de. La oss se på delene fra toppen:

1. Sikkerhet

Siden OT-maskiner før i tiden typisk ikke var nettverkstilkoblet, var ikke cybersikkerhet et så viktig aspekt. Man måtte fysisk stå ved PLS-en (programmerbar logisk styring) og plugge i en seriell-kabel for å omprogrammere den. Det er i de siste tiårene at ethernet har gjort sitt inntog i OT-miljø, hvor OT-maskiner blant annet programmeres og styres via virksomhetens nettverk og klient-PCer. Kommer ondsinnede aktører seg inn på nettverket, så kommer de seg ofte inn på OT-maskinene.

Ifølge Dragos (Dragos 2023 OT Cybersecurity Year in Review) finnes det et 20-talls identifiserte hackergrupper globalt som målrettet angriper OT-miljø. Det kan være blant annet for sabotasje, tyveri av data og intellektuell eiendom, eller økonomisk vinning.

Til sammenligning sporer MITRE (Groups | MITRE ATT&CK®) finnes det et 150-talls identifiserte hackergrupper globalt, dog har en del av disse flere alias. Dette inkluderer både grupper som angriper OT og IT.

• Når du skal vurdere hvor modent sikkerhets-aspektet ved OT-miljøet ditt er, er det lurt å stille seg følgende spørsmål:
• Er det segmentert (brannmurskille) mellom IT-miljøet og OT-miljøet?
• Vet jeg hva som finnes i OT-miljøet mitt, og hvilken trafikk som går der?
• Bruker jeg trusselvurderinger for å jobbe proaktivt med å sikre OT-miljøet mot nye trusler og å redusere sårbarheter?
• Har vi en skriftlig beredskapsplan for cyberhendelser, og gjenopprettelse av OT-miljøet, som også er øvd på?
• Har vi kontroll på leverandørers tilganger?
• Logger vi trafikk i OT-miljøet slik at vi kan dokumentere og rapportere hendelser?

PS: Flere av disse kommer som krav i NIS2-lovverket.

Hvis svaret er nei eller usikkert på disse spørsmålene, så er nok modenheten på cybersikkerhet i OT-miljøet lav. Et sted å begynne, er å bruke rammeverk, hvor det mest kjente for OT er IEC62443.

2. Datadrevet

«Digital Transformasjon» er kanskje et kjent begrep. Mange virksomheter jobber med det den dag i dag, for blant annet å hente ut data og optimalisere prosesser. Ved å samle inn data og analyserer den i sammensatte datasett, kan man identifisere flaskehalser og finne ut om produksjonen kan bli enda mer effektiv og lønnsom.

Den fjerde industrielle revolusjonen, ofte kalt Industri 4.0, startet for en del år tilbake. Denne brakte med seg blant annet IoT (Internet of Things), Digital Tvilling, og Smarte Fabrikker. Alle disse teknologiene går ut på å hente ut og utnytte mer data i virksomheten, for å bli enda mer effektiv og lønnsom.

Når du skal vurdere hvor moden utnyttelsen av data er, så kan man stille seg noen flere spørsmål:

• Bruker vi data og trender som ligger i SCADA (Supervisory Control and Data Acquisition)-systemene våre, til analyse i for eksempel i Power BI?
• Har vi all data fra produksjonen vår som vi ønsker?
• Er systemene våre integrert på tvers?

3. Pålitelighet

Du har kanskje hørt om CIA-modellen innen IT. Den står for Confidentiality (konfidensialitet), Integrity (integritet), og Availability (tilgjengelighet). For et støttesystem for IT er dette en god modell. Innen OT derimot, hvor produktet som virksomheten selger produseres, må man snu CIA-modellen på hodet.

Tilgjengelighet blir høyeste prioritet. Konfidensialitet og integritet er fortsatt viktige, men ikke viktigst. For hver time produksjonsmaskinene er utilgjengelig eller defekt, taper virksomheten penger.

Når du skal vurdere hvor moden påliteligheten av OT-miljøet er, kan du stille deg disse spørsmålene:

• Jobber vi prediktivt med vedlikehold, eller kun reaktivt?
• Har vi reservedelslager?
• Har systemene våre redundans?
• Har vi backup av alle program og dokumentasjon/konfigurasjon?
• Har vi SLA (service level agreement) med alle kritisk viktige leverandører?

4. Governance

Og til slutt, ikke glem at det må gode styringssystemer på plass. Gå systematisk til verks med å få helhetlig kontroll på alt dette, og så jobb med kontinuerlig forbedring og jevnlig kontroll.

Har du alt dette på plass, er OT-miljøet på god vei til å bli modent.