Sikkerhetskultur for kritisk infrastruktur og energi: Møt hybride cybertrusler

En reguleringsventil i et vannverk som slutter å svare, en transformatorstasjon koblet ut midt i en sprengkuldeperiode, eller en PLS (programmerbar logisk styring) fjernstyrt og omprogrammert av uvedkommende. For sikkerhetsteam i samfunnskritiske virksomheter og sektorer omfattet av Digitalsikkerhetsloven (NIS 2-rammeverket), er dette på ingen måte en teoretisk øvelse. Den økende konvergensen mellom administrative IT-nettverk og industrielle driftsteknologiske miljøer (OT) har forvandlet tidligere isolerte anlegg til høyt eksponerte mål.

Samtidig intensiverer statssponsede aktører og kriminelle nettverk sine metoder. De nøyer seg ikke lenger med å teste brannmuren: De retter angrepene direkte mot det menneskelige leddet via skreddersydd sosial manipulasjon. Når nasjonal forsyningssikkerhet, fysisk trygghet og samfunnets kritiske funksjoner hviler på vurderingsevnen til en SCADA-operatør eller en driftstekniker, strekker ikke standard e-læring til. Det er tvingende nødvendig å etablere en levende og operativ krisekultur.

Konvergens mellom IT og OT: Hvor oppstår de reelle sårbarhetene?#

Kort oppsummert: Sammensmeltingen av IT og OT eksponerer tidligere lukkede industrielle kontrollsystemer for sosial manipulasjon og løsepengevirus. I samfunnskritisk infrastruktur ligger den største sårbarheten i menneskelige rutiner: utilstrekkelig sikret fjernaksess, ukontrollerte USB-enheter under serviceoppdrag og spredning fra vanlige kontor-PC-er over til driftsnettverket.

Fysisk luftgap (air gap) tilhører i realiteten fortiden. Behovet for fjernvedlikehold, sanntidsovervåking og energieffektivisering krever kontinuerlige koblinger mellom bedriftsnettverket og de industrielle styresystemene. Trusselaktører utnytter disse flatene målrettet:

• Spredning via kontornettverket: Et målrettet spydfiskingangrep mot en prosjektingeniør kan gi angripere legitime innloggingsdetaljer, som deretter fungerer som et springbrett inn i SCADA-miljøet.
• Kompromittering av leverandørkjeden: Eksterne leverandører og servicepartnere har ofte direkte fjernaksess uten tilstrekkelig streng flerfaktorautentisering, noe som gjør dem til et opplagt angrepspunkt.
• Fysisk sosial manipulasjon og flyttbare medier: I vannbehandlingsanlegg eller trafostasjoner er bruk av uautoriserte USB-minnepinner til oppdatering av styreenheter en innarbeidet vane som bare kan endres gjennom praktisk trening.

I møte med sammensatte hybride trusler som kombinerer sabotasje, spionasje og desinformasjon, må driftspersonell ha innarbeidede ryggmargsreflekser: evne til å stusse over uvanlige instrukser, isolere mistenkelige systemer og varsle sikkerhetsledelsen uten opphold.

Hvordan strukturere cybersikkerhetstrening for samfunnskritiske virksomheter?#

Kort oppsummert: Et opplæringsprogram for virksomheter med kritiske samfunnsfunksjoner må kombinere engasjerende mikrolæring for driftspersonell med realistiske krisesimuleringer for ledelsen. Målet er å oversette kravene fra NSM og Digitalsikkerhetsloven til målbare, praktiske ferdigheter i hele organisasjonen.

Etterlevelse av NSMs grunnprinsipper for IKT-sikkerhet og nasjonale krav i Digitalsikkerhetsloven kan ikke reduseres til en administrativ sjekkliste. Opplæringen må gjenspeile den krevende hverdagen ute i drift.

1. Beveg dere forbi passiv e-læring

Lange, generiske videokurs blir ofte oversett eller klikket raskt gjennom av teknikere i turnus. Moderne sikkerhetsopplæring bygger på korte, engasjerende interaksjoner. Ved å bruke konkrete scenarier tilpasset energibransjen eller vannforsyningen, bygger man reell situasjonsforståelse og tester reaksjonstid under kontrollerte former.

2. Tren ledergruppen og styret på realistiske krisescenarier

Et løsepengevirus som rammer styringssystemene krever umiddelbare og krevende vurderinger: Må strøm- eller vanndistribusjonen stenges med fare for sykehus og beredskap, eller kan hendelsen håndteres i drift? For å forberede kriseledelsen på dette tidspresset, tilbyr Brain Security krisesimulatoren Cybersecurity is not a game (CINAG), som plasserer beslutningstakere i et skreddersydd, dynamisk hendelsesforløp med høyt operativt press.

3. Forankre gode sikkerhetsvaner i den daglige driften

Krisehåndtering krever kontinuerlig repetisjon. Gjennom korte utfordringer, interaktive øvelser og praktiske eksempler lærer driftsoperatører å fange opp svake signaler: unormal forsinkelse på en industriell databuss, uvanlige varsler i kontrollsystemet eller henvendelser fra ukjente aktører som utgir seg for å være utstyrsleverandører.

Brobygging mellom ingeniører, IT og driftsteknikere#

For å sikre varig motstandsdyktighet må industriell IKT-sikkerhet etableres som et felles ansvar på tvers av fagmiljøer:

• Knytt cybersikkerhet til fysisk HMS: Driftsoperatører følger strenge prosedyrer for personsikkerhet og anleggssikkerhet. Digital sikkerhet må integreres naturlig i denne etablerte HMS-kulturen.
• Skap en åpen avvikskultur uten frykt for sanksjoner: En operatør som har satt inn en ukjent minnepinne eller åpnet et mistenkelig e-postvedlegg, må trygt kunne varsle IT-sikkerhetssjefen umiddelbart. Rask rapportering er avgjørende for å begrense skadeomfanget.
• Mål reell fremgang: Ved å kartlegge rapporteringshastighet, identifisering av trusler og deltakelse i øvelser, kan sikkerhetsledelsen kontinuerlig tilpasse tiltakene der risikoen er størst.

BRAIN SECURITY I PRAKSIS · Cybersecurity is not a game

Bygg operativ robusthet i kritisk infrastruktur#

Vann- og energiforsyningen danner selve grunnmuren i det moderne samfunnet. Mot dedikerte trusselaktører som utnytter enhver glipp i kommunikasjon eller rutiner, må tekniske barrierer forsterkes av årvåkne medarbeidere som vet nøyaktig hvordan de skal opptre når alarmen går.

Ønsker dere å teste beredskapen i ledergruppen eller fornye treningsmetodene for driftspersonell mot avanserte trusler? Ta kontakt for en uforpliktende samtale for å se hvordan våre praktiske treningsformater styrker sikkerheten i deres virksomhet.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Cybersikkerhet for HR og rekruttering: Avdekk infiserte cver og falske kandidater (Industries & Roles) : Lær hvordan HR og rekrutterere beskytter virksomheten mot infiserte cver, skadelige lenker og deepfake kandidater under jobbintervjuer.
• Farmasøytisk industri og bioteknologi: Sikre patenter og kliniske data mot spionasje (Industries & Roles) : Beskytt immaterielle rettigheter og kliniske studier mot industrispionasje med målrettet sikkerhetskultur for forskere og FoU-team.
• Industriell cybersikkerhet IT og OT: Sikre produksjonslinjer og drift (Industries & Roles) : Fra infiserte USB-minnepinner til fjernvedlikehold: Slik bygger du en sterk sikkerhetskultur blant operatører i industriell produksjon og OT-miljøer.
• Dobbel og trippel utpressing: Når løsepengevirus rammer kundene deres (Cyber Crisis & Ransomware) : Ved dobbel utpressing og løsepengevirus holder det ikke lenger med sikkerhetskopier. Lær hvordan ledergruppen forbereder seg på krisen.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Cybersecurity is not a game : Interaktiv krisesimulering og beslutningsøvelse (Cybersecurity is not a game) for ledergrupper og sikkerhetsteam.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)