NEWS AND EVENTS
Hvorfor lærer vi ikke av de samme sikkerhetssvakhetene?
Den 13. oktober holdt vi innlegg under Attack-konferansen og stilte et spørsmål:
Vet du egentlig hvem som har tilgang til vannet vårt?
Spørsmålet handlet om de digitale systemene som styrer samfunnet vårt, og hvor god kontroll vi egentlig har over teknologien vi er blitt så avhengige av. Spørsmålet høres dramatisk ut, men dagen før konferansen ble vi minnet om hvor alvorlig dette spørsmålet faktisk er.
Natt til 12. oktober ble minst 350 dagligvarebutikker i Frankrike rammet av et omfattende cyberangrep mot kjøle- og frysesystemene. Angriperne manipulerte temperaturstyringen, og i enkelte butikker steg temperaturen til rundt 50 grader. Store mengder matvarer måtte kastes, og det ble rapportert om branner. Altså, et digitalt angrep hadde fått helt konkrete, fysiske konsekvenser.
Flere av de berørte anleggene benyttet styringssystemer med utdatert programvare, og enkelte hadde nådd slutten av sin støttede levetid. I etterkant advarte franske cybersikkerhetsmyndigheter om risikoen ved å eksponere slike kontrollsystemer direkte mot internett.
Det interessante med denne hendelsen er ikke hvor avansert eller sofistikert angrepet var, men at dette er et kjent risikobilde, og et mønster vi har sett før. Under Attack-konferansen trakk vi frem flere cyberhendelser rettet mot vannforsyning, både internasjonalt og her hjemme, med det samme mønsteret som gikk igjen på tvers av hendelsene.
Igjen, det var ikke spesielt avanserte angrepsmetoder som gjorde angrepene mulige, i flere tilfeller handlet det om langt mer grunnleggende forhold som svake passord, mangelfull tilgangskontroll, utilstrekkelig sikret fjernaksess og industrielle styringssystemer som var eksponert mot internett. Med andre ord, helt grunnleggende sikkerhetsmekanismer som enten manglet eller ikke var tilstrekkelig implementert.
Etter angrepet i Frankrike identifiserte britiske sikkerhetsforskere over 800 kjøle- og bygningsstyringskontrollere med administrasjonsgrensesnitt eksponert mot internett. Flere av systemene var koblet opp gjennom løsninger etablert for fjernservice. Samtidig viste undersøkelser at tusenvis av Danfoss-grensesnitt var synlige på internett globalt. At et system er tilgjengelig fra internett, betyr ikke automatisk at det er sårbart eller kompromittert og vi vet foreløpig ikke nøyaktig hvordan angriperne fikk tilgang til de franske kjøleanleggene.
Men funnene illustrerer en velkjent utfordring, teknologi som styrer fysiske prosesser, kan være tilgjengelig utenfra uten at virksomheten nødvendigvis har tilstrekkelig oversikt over tilgangen og risikoen den representerer. Vi snakker ikke her om ukjente sikkerhetsprinsipper eller utfordringer som først har oppstått med kunstig intelligens og stadig mer avanserte cybertrusler, men om grunnleggende sikkerhetstiltak vi har kjent til i mange år.
Industrielle kontrollsystemer har tradisjonelt vært relativt isolerte, men har i takt med digitaliseringen blitt stadig tettere koblet til andre nettverk. Fjernstyring, automatisering og tilgang for eksterne leverandører gir oss store effektivitetsgevinster, og skaper samtidig nye avhengigheter og nye innganger for mulige angripere. Mange av systemene ble utviklet i en tid da cybersikkerhet ikke var en like sentral del av designet. De kan ha en levetid på flere tiår, og det er ikke alltid enkelt å oppdatere eller endre dem uten å påvirke driften. Utfordringen er sjeldent mangel på sikkerhetstiltak eller dokumentasjon, utfordringen er at en ikke alltid vet hva en faktisk prøver å beskytte. For hvordan skal vi beskytte systemer vi ikke har oversikt over? Og hvordan skal vi oppdage et angrep dersom vi ikke vet hva som er normal aktivitet?
Gjennom vårt arbeid med OT-sikkerhet i norsk industri og kritisk infrastruktur ser vi hvor krevende det kan være å etablere full oversikt over disse miljøene. Eldre systemer som fortsatt er i drift, nettverk som har utviklet seg over mange år, eksterne leverandører med behov for fjernaksess eller utstyr og kommunikasjonsforbindelser som ikke nødvendigvis inngår i virksomhetens ordinære sikkerhetsovervåking. Samlet kan de skape et risikobilde som er vanskelig å forstå og kontrollere.
En virksomhet kan ha investert betydelig i cybersikkerhet, etablert gode rutiner og ha god kontroll på sitt tradisjonelle IT-miljø. Men betyr det at den også har kontroll på styringssystemene i produksjonen? På vannpumpene? På kjøleanleggene? På leverandørenes fjernaksess?
Vi kan tro at vi har kontroll fordi vi har sikkerhetssystemer på plass, uten å ha tilstrekkelig innsikt i de systemene som faktisk styrer den fysiske driften.I et OT-miljø er det heller ikke nok å vite at noen har fått uautorisert tilgang. Vi må forstå hva tilgangen kan brukes til, og hvilke konsekvenser manipulering av en fysisk prosess kan få. En kommando som i utgangspunktet er en helt legitim del av driften, kan få alvorlige konsekvenser dersom den utføres av feil person, på feil tidspunkt eller med feil hensikt.
Et angrep mot et kjøleanlegg kan føre til ødelagte matvarer og økonomiske tap.Et angrep mot et vannverk kan påvirke vannforsyningen.Et angrep mot et industrielt produksjonsanlegg kan stanse produksjonen eller i verste fall skape farlige situasjoner. Fellesnevneren er at digitale angrep kan få konsekvenser langt utenfor den digitale verden.
I mange virksomheter er ansvaret for operasjonell teknologi fordelt mellom flere aktører. IT-avdelingen har ansvar for informasjonssikkerheten, driftsavdelingen har ansvar for produksjonen, eksterne leverandører installerer, drifter og vedlikeholder utstyret, og ofte ser vi en utfordring med hvem som har det samlede risikobildet. Hvem vet hvilke systemer som er tilgjengelige utenfra? Hvem har oversikt over leverandørenes tilganger? Og hvem har ansvar for å sikre at uønsket aktivitet faktisk blir oppdaget?
Dette er spørsmål som bør være høyt oppe på ledergruppen og styrets agenda. Styret og øverste ledelse vil ikke ha anledning til å forstå alle tekniske detaljer, men bør kunne forstå hvilke konsekvenser manglende kontroll kan få for virksomheten.
I dag snakker vi mye om kunstig intelligens, autonome cyberangrep og en trusselutvikling som går stadig raskere, som er viktige diskusjoner, samtidig må vi ikke miste av syne det grunnleggende. For hva hjelper det å forberede seg på morgendagens avanserte trusler dersom vi fortsatt har systemer tilgjengelige fra internett uten tilstrekkelig sikring? Hva hjelper det å investere i avansert sikkerhetsteknologi dersom vi ikke vet hvilke enheter som finnes i nettverket, hvem som har tilgang til dem, eller om vi vil oppdage uønskede endringer?
Vi må selvfølgelig fortsette å utvikle sikkerhetsarbeidet i takt med trusselbildet, og samtidig også sørge for at de grunnleggende mekanismene faktisk er på plass. Det begynner med oversikt over egne systemer og kommunikasjonsforbindelser, kontroll på tilganger og fjernaksess, tydelig ansvar, nødvendige sikkerhetsoppdateringer og evnen til å oppdage aktivitet som avviker fra det normale.
Når vi ser de samme grunnleggende sikkerhetssvakhetene gå igjen, på tvers av bransjer og landegrenser, er det på tide å slutte å behandle hver hendelse som en overraskelse.
Kilder:
Reuters, 13. oktober – Omfang, berørte systemer, utdaterte oppdateringer og etterforskning.
Cooling Post, 14. oktober – ANSSIs advarsel og informasjon om flere berørte kontrollsystemer.
UK Cyber Defence, 12. oktober – Kartleggingen av over 800 internetteksponerte kontrollere.
Le Monde, 13. oktober – Rapportering om manipulering av avrimingssykluser og konsekvensene i butikkene.
Insights from Norway’s cybersecurity experts
Min første Attack-konferanse: Golf, gode samtaler og et mer alvorlig bakteppe
Hvordan presenterer man et cybersikkerhetsselskap for potensielle kunder når man fortsatt er i ferd med å lære det selv? Det fikk jeg øve på da jeg deltok på min aller første konferanse, Attack-konferansen, sammen med SecureNOK 13. oktober.
SNOK Helsesjekk skyter fart – vi leverer OT-oversikt på løpende bånd
Hvilket utstyr er koblet til OT-nettverket, og hvem kommuniserer med hvem? Etter flere prosjekter med SNOK Helsesjekk ser jeg hvor nyttig det er å få svar på disse spørsmålene før man bestemmer seg for neste sikkerhetstiltak.
Vannforsyning på agendaen da Danmark samlet seg om totalforsvar under årets Homeland Security Conference i København
Hva skal til for å holde samfunnet i gang når kritisk infrastruktur blir utsatt for angrep og forstyrrelser? Det spørsmålet sto sentralt da jeg deltok på Homeland Security Conference i København 7. oktober sammen med Norwegian Cybersecurity Cluster.
Halvveis i OT Roadshow – tid til samtalene som ofte må vente
Trondheim, Bergen og Stavanger er gjennomført, og vi er halvveis i OT Roadshow. For meg er dette en verdifull anledning til å løfte blikket fra teknologiutviklingen og diskutere sikkerhet med dem som kjenner industriens hverdag.
Fullt hus da IVAR IKS delte sine erfaringer med OT-sikkerhet
Interessen for webinaret med IVAR IKS ble større enn vi hadde våget å håpe på. Gjennom vår oktoberkampanje på helsesjekk i V/A-anlegg gjør vi det nå enklere for flere virksomheter å ta det samme første steget mot bedre oversikt og kontroll i egne OT-miljøer.
Mattilsynets nye veileder gjør én ting tydelig: Nå må vannverkene ta OT-sikkerhet på alvor
Mattilsynet har nå publisert den første offisielle veilederen til digitalsikkerhetsforskriften for drikkevann. Det er en viktig milepæl for norsk vannforsyning — og et tydelig signal om at myndighetene nå intensiverer arbeidet med digital sikkerhet i sektoren.
OT-sikkerhet i matindustrien starter med innsikt
Som prosjektleder i OT-sikkerhetsprosjekter møter jeg ofte det samme utgangspunktet hos industribedrifter: Man vet mye om produksjonen, prosessene og utstyret – men langt mindre om hvordan den digitale infrastrukturen faktisk ser ut i praksis.
Norskutviklet OT-sikkerhetsteknologi for industri og kritisk infrastruktur
Norsk industri blir stadig mer digitalisert. Produksjonslinjer, prosessanlegg, energisystemer og kritisk infrastruktur kobles tettere sammen med moderne IT-systemer, eksterne leverandører og digitale tjenester. Samtidig øker behovet for cybersikkerhetsløsninger som faktisk er utviklet for industrielle miljøer.
Sterk oppslutning rundt OT-konferansen 2026 – samler ledende fagmiljøer i Stavanger
OT-konferansen 2026 går av stabelen 29. april i Stavanger, og årets utgave peker seg allerede ut med et program som samler noen av de mest sentrale aktørene innen OT-sikkerhet og industriell digitalisering.
Økt behov for kontroll i komplekse automasjonsmiljøer i olje og gass
Digitaliseringen av olje- og gassindustrien har de siste årene gitt betydelige gevinster i form av effektivisering, bedre datagrunnlag og økt fleksibilitet. Samtidig har utviklingen ført til en betydelig økning i kompleksitet – og dermed også i risiko.
Hvordan få kontroll på OT-miljøet i praksis – erfaringer fra IVAR
For IVAR IKS er stabil drift ikke bare et mål – det er en forutsetning for at samfunnet skal fungere. Som leverandør av vann- og avløpstjenester til rundt 360 000 innbyggere på Nord-Jæren, forvalter virksomheten kritisk infrastruktur der konsekvensene av svikt er umiddelbare og omfattende.
Beredskapsåret 2026: Er vann og avløp i norske kommuner godt nok sikret?
Kommunal vannforsyning er blant samfunnsfunksjonene som omfattes av digitalsikkerhetsloven. Loven trådte i kraft 1. oktober 2025 og stiller grunnleggende krav til digital sikkerhet i virksomheter med særlig betydning for samfunnet. Regelverket innebærer også at ansvaret for digital sikkerhet er tydelig plassert hos virksomhetens øverste ledelse.
Stricter Security Requirements for Critical Services from 1 October 2025 under theDigital Security Act
O nFriday, 20 June, the Norwegian government decided in a Council of State meeting that the Digital Security Act will enter into force on 1 October 2025. At the same time, the Digital Security Regulation was adopted, entering into force concurrently with the Act.
Bremanger Breach: Lessons from a Norwegian Dam Hack
Earlier this year, unidentified hackers breached the control system of a Norwegian dam at Risevatnet, in Bremanger. The hackers discovered that the dam had a Human Machine Interface (HMI) exposed on the Internet and was able to gain access by exploiting a weak password.p
Digitalization: Opportunities and New Risks
Digitalization offers enormous opportunities for efficiency, but it also introduces new risks. When OT systems (Operational Technology) are connected to the internet, vulnerability to attacks increases—attacks that threaten not only data, but also lives, health, and critical societal functions.