NEWS AND EVENTS
Kritisk infrastruktur under press – slik tok IVAR IKS kontroll over OT-miljøet
Av Tor Ommund Ljosland, CSO i Securenok
Etter å ha jobbet med mange virksomheter og kunder innen OT-sikkerhet, er det én ting som har gjort spesielt inntrykk på meg i samarbeidet med IVAR IKS: De valgte å handle før de måtte.
IVAR leverer vann-, avløps- og renovasjonstjenester til rundt 360 000 mennesker i Rogaland. De forvalter med andre ord infrastruktur som ganske enkelt må fungere – hver dag.
De hadde allerede gjort mye riktig og jobbet systematisk med sikkerhet og NSMs grunnprinsipper. Men det jeg opplevde som spesielt fremoverlent med IVAR, var at de ikke slo seg til ro med at tiltakene var på plass. De ønsket å vite om bildet de hadde av OT-nettverket faktisk stemte med virkeligheten.
Det er blitt enda mer aktuelt med digitalsikkerhetsloven og digitalsikkerhetsforskriften, som stiller tydeligere krav til digital sikkerhet for samfunnsviktige tjenester. For vannforsyningen gjelder regelverket blant annet vannforsyningssystemer som leverer minst 2 000 m³ drikkevann per døgn, noe som grovt tilsvarer vannforsyning til rundt 10 000 mennesker.
For meg understreker dette at tiden for å sitte på gjerdet er forbi. IVAR valgte å skaffe seg faktisk innsikt i OT-miljøet: Ved hjelp av SNOK-teknologien kunne de «lytte» passivt til trafikken og få bedre oversikt over utstyret, kommunikasjonen og hva som faktisk foregikk i nettverket. Det er forskjellen på å tro at man har kontroll – og å kunne dokumentere hva man faktisk har kontroll på.
Behovet har bare blitt tydeligere
Etter arbeidet med IVAR har behovet for denne typen innsikt bare blitt enda tydeligere for meg. Samtidig som trusselbildet har blitt mer alvorlig og kravene til digital sikkerhet tydeligere, møter vi stadig flere kommuner og virksomheter som egentlig stiller det samme spørsmålet: Vi vet at vi må gjøre mer med OT-sikkerheten – men hvor begynner vi?
Det er et spørsmål jeg har stor forståelse for. Mange har allerede gjort mye riktig. De har brannmur, antivirus, segmentering, risikovurderinger og beredskapsplaner. Utfordringen er at OT-miljøene ofte er komplekse, ansvaret kan være fordelt mellom IT, automasjon og drift, og det er ikke nødvendigvis åpenbart hva neste steg bør være. Resultatet blir fort at man bruker mye tid på å diskutere hva man skal gjøre, mens selve arbeidet blir skjøvet foran seg.
Samtidig blir det stadig vanskeligere å argumentere for å vente. Vi har fått digitalsikkerhetsloven og digitalsikkerhetsforskriften med tydeligere krav til virksomheter som leverer samfunnsviktige tjenester. Og nesten samtidig får vi stadig flere påminnelser om hvorfor kravene kommer. Senest har vi sett cyberangrep mot vann- og avløpsanlegg i USA, mens vi her hjemme har Bremanger-saken, hvor uvedkommende fikk tilgang til styringen av et damanlegg og endret innstillinger i kontrollsystemet.
Dette kommer på toppen av et sikkerhetspolitisk bilde hvor kritisk infrastruktur kartlegges og ondsinnede og statstilknyttede aktører leter etter svakheter og muligheter for å etablere tilgang. For meg gjør det erfaringene fra IVAR enda mer relevante i dag enn da vi startet arbeidet sammen.
Det interessante med IVAR er at de ikke begynte med ambisjonen om å løse absolutt alt på én gang. De startet med det grunnleggende: å få kontroll på sitt eget miljø. Hvilket utstyr har vi egentlig? Hvordan kommuniserer det? Stemmer bildet vi har av nettverket med virkeligheten? Og hvor bør vi prioritere tiltak først?
Kanskje er nettopp det også svaret til mange av virksomhetene vi møter som nå lurer på hvor de skal begynne. Man trenger ikke ha hele planen ferdig før man starter. Men man trenger et godt bilde av virkeligheten for å kunne ta de riktige beslutningene videre.
IVAR valgte å skaffe seg den oversikten tidlig. De har gått opp mye av veien – og ved å dele erfaringene sine gjør de det nå enklere for andre vannverk og kommuner å følge etter.
Få innsikten fra IVAR IKS – før det er for sent
Det er nettopp derfor jeg mener erfaringene fra IVAR er verdt å dele. De har allerede gjort mye av jobben mange kommuner og vannverk nå står foran, og de er åpne om både hvorfor de startet, hvordan de gikk frem og hva de lærte underveis.
I vårt webinar får du høre IVAR fortelle historien selv og se hvordan de jobbet sammen med Securenok for å få bedre oversikt over OT-nettverket og et bedre faktagrunnlag for videre sikkerhetsarbeid. Målet er at du skal sitte igjen med konkrete erfaringer du kan ta med tilbake til egen virksomhet – og et tydeligere bilde av hvor dere selv kan begynne.
For det viktigste er ikke å ha løst alt.
Det viktigste er å komme i gang mens man fortsatt har muligheten til å gjøre det på egne premisser – og ikke etter at en hendelse har gjort det nødvendig.
Meld deg på webinaret og lær av erfaringene til IVAR.
Insights from Norway’s cybersecurity experts
Mattilsynets nye veileder gjør én ting tydelig: Nå må vannverkene ta OT-sikkerhet på alvor
Mattilsynet har nå publisert den første offisielle veilederen til digitalsikkerhetsforskriften for drikkevann. Det er en viktig milepæl for norsk vannforsyning — og et tydelig signal om at myndighetene nå intensiverer arbeidet med digital sikkerhet i sektoren.
OT-sikkerhet i matindustrien starter med innsikt
Som prosjektleder i OT-sikkerhetsprosjekter møter jeg ofte det samme utgangspunktet hos industribedrifter: Man vet mye om produksjonen, prosessene og utstyret – men langt mindre om hvordan den digitale infrastrukturen faktisk ser ut i praksis.
Norskutviklet OT-sikkerhetsteknologi for industri og kritisk infrastruktur
Norsk industri blir stadig mer digitalisert. Produksjonslinjer, prosessanlegg, energisystemer og kritisk infrastruktur kobles tettere sammen med moderne IT-systemer, eksterne leverandører og digitale tjenester. Samtidig øker behovet for cybersikkerhetsløsninger som faktisk er utviklet for industrielle miljøer.
Sterk oppslutning rundt OT-konferansen 2026 – samler ledende fagmiljøer i Stavanger
OT-konferansen 2026 går av stabelen 29. april i Stavanger, og årets utgave peker seg allerede ut med et program som samler noen av de mest sentrale aktørene innen OT-sikkerhet og industriell digitalisering.
Økt behov for kontroll i komplekse automasjonsmiljøer i olje og gass
Digitaliseringen av olje- og gassindustrien har de siste årene gitt betydelige gevinster i form av effektivisering, bedre datagrunnlag og økt fleksibilitet. Samtidig har utviklingen ført til en betydelig økning i kompleksitet – og dermed også i risiko.
Hvordan få kontroll på OT-miljøet i praksis – erfaringer fra IVAR
For IVAR IKS er stabil drift ikke bare et mål – det er en forutsetning for at samfunnet skal fungere. Som leverandør av vann- og avløpstjenester til rundt 360 000 innbyggere på Nord-Jæren, forvalter virksomheten kritisk infrastruktur der konsekvensene av svikt er umiddelbare og omfattende.
Beredskapsåret 2026: Er vann og avløp i norske kommuner godt nok sikret?
Kommunal vannforsyning er blant samfunnsfunksjonene som omfattes av digitalsikkerhetsloven. Loven trådte i kraft 1. oktober 2025 og stiller grunnleggende krav til digital sikkerhet i virksomheter med særlig betydning for samfunnet. Regelverket innebærer også at ansvaret for digital sikkerhet er tydelig plassert hos virksomhetens øverste ledelse.
Stricter Security Requirements for Critical Services from 1 October 2025 under theDigital Security Act
O nFriday, 20 June, the Norwegian government decided in a Council of State meeting that the Digital Security Act will enter into force on 1 October 2025. At the same time, the Digital Security Regulation was adopted, entering into force concurrently with the Act.
Bremanger Breach: Lessons from a Norwegian Dam Hack
Earlier this year, unidentified hackers breached the control system of a Norwegian dam at Risevatnet, in Bremanger. The hackers discovered that the dam had a Human Machine Interface (HMI) exposed on the Internet and was able to gain access by exploiting a weak password.p
Digitalization: Opportunities and New Risks
Digitalization offers enormous opportunities for efficiency, but it also introduces new risks. When OT systems (Operational Technology) are connected to the internet, vulnerability to attacks increases—attacks that threaten not only data, but also lives, health, and critical societal functions.