Dette gjorde Lillehammer kommune for å få en tryggere VA-drift

Stadig flere av Norges vann- og avløpsanlegg styres digitalt. Mange av disse systemene for fjernstyring ble bygget i en annen tid, og møter ikke dagens krav til sikkerhet og stabilitet. Når eldre infrastruktur som mobilkommunikasjon, servere og brannmurer må byttes ut, står mange kommuner overfor et viktig valg: Skal man bare erstatte det gamle, eller bruke anledningen til å bygge noe tryggere og mer fremtidsrettet?

Lillehammer kommune VA valgte det siste. Nå deler de erfaringene sine og gir råd til andre som står foran samme avgjørelse. Vi har tatt en prat med Knut Olav Bakke, automasjonsingeniør, og Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp i Lillehammer kommune.

Når fjernstyring ikke lenger er sikkert nok

Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp i Lillehammer kommune, så tidlig at den «gamle» VPN-baserte fjernaksess løsningen med et enkelt passord ikke holdt mål lenger når det gjelder å oppfylle nye myndighetskrav (NIS2). Kommunen styrer i dag rundt 80 pumpestasjoner og anlegg via fjernaksess, og risikoen for angrep er blitt for høy.

“Vi vet at andre vann- og avløpsvirksomheter i Norge har blitt utsatt for angrep. Det er en virkelighet vi må forholde oss til,” forteller Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp i Lillehammer kommune.

Med den nye Zero trust løsningen på plass, har de fått bedre kontroll og økt trygghet i hverdagen.

“Den største forskjellen nå er at vi sover litt bedre om natta. Vi vet at vi har en tryggere løsning,” sier Olaussen om samarbeidet med Last Mile.

Fra gammel teknologi til en løsning for fremtiden

Som i mange andre kommuner, har teknologien i Lillehammer utviklet seg over lang tid. Automasjonsingeniøren Knut Olav Bakke forteller om en reise fra personsøkere på 90-tallet til en enkel løsning for fjernstyring rundt 2010. I starten handlet det mest om å få bedre oversikt og gi samarbeidspartnere fjerntilgang til kommunens OT-ressurser. Nå handler det i større grad om å sikre en stabil og sikker drift.

 Da de likevel skulle oppgradere mye av infrastrukturen, grep de muligheten til å gjøre noe mer. Kravet om bedre sikkerhet kom samtidig, og kommunen bestemte seg for blant annet å minimum sette krav om å innføre tofaktor-pålogging for all fjerntilgang. Etter et tidligere mislykket forsøk med en annen leverandør, ble valget av rett samarbeidspartner helt avgjørende.

Derfor valgte Lillehammer kommune et samarbeid med Last Mile 

Lillehammer kommune VA hadde fra før et godt samarbeid med Last Mile, blant annet om løsninger for drift og kontrollsystemer (OT). Denne tilliten, kombinert med teknisk forståelse, ble avgjørende da de valgte Last Mile og Cyolo-løsningen for sikker fjernaksess.  

“Vi valgte Cyolo først og fremst fordi det var Last Mile som tilbød det,” sier Bakke. “De har god innsikt i hvordan vi jobber og hvilke behov vi har og forstår både teknologien og hverdagen vår.”

I driftsteknologi finnes det ingen "one-size-fits-all". En løsning for fjernpålogging som fungerer på et kontor, er ikke nødvendigvis god nok for et anlegg som skal levere vann døgnet rundt. Da trenger man løsninger som er laget for driftskritiske operasjonelle miljøer – og folk som faktisk forstår hvordan de skal brukes i praksis.

Hvordan Lillehammer kommune VA sikret en vellykket overgang

Måten Lillehammer kommune VA gjennomførte byttet på, er et godt eksempel på hvordan man kan gjøre overgangen trygg og få med alle på laget:

1. Drift i parallell: Den gamle løsningen ble beholdt som en reserveløsning mens den nye ble rullet ut.
2. Stegvis utrulling: I stedet for å lære opp alle på en gang, ble ansatte prioritert og lært opp én etter én.
3. Enkel opplæring: Hver person brukte kun inntil to timer på å bli trygg på det nye systemet.

Tryggere hverdag – uten ekstra arbeid

Den praktiske endringen for de ansatte er liten: Nå bruker de en vanlig nettleser samt telefonen for å bekrefte pålogging. Men forskjellen i sikkerhet og oversikt er stor:

• Bedre sikkerhet: Tofaktor-pålogging beskytter mot at uvedkommende (både eksternt og internt) kommer seg Dette gir også en supervisor funksjon som gjør at du kan overvåke hele sesjonen.
• Full oversikt: En ny loggfunksjon gir full kontroll på hvem som har vært pålogget hvilket utstyr, og når. I tillegg får du også kontroll på at eksterne filer ikke inneholder virus, via systemets interne kontrollsystem og vask av data.
• Stabil løsning: Systemet har fungert uten problemer og brukerne logger seg på med en vanlig nettleser.
• Enklere fremtid: Løsningen gjør det mulig å feilsøke mye enklere ved å kunne koble seg direkte på utstyr ute på stasjonene, noe som sparer oss mye tid.
• Økt sikkerhet: Cyolo er en «on-prem» løsning slik at all informasjon og data blir værende og lagret i vårt OT-nett, sammenlignet med andre løsninger hvor data for eksempel blir lagret i en sky løsning. Ved installasjon behøvde vi heller ikke endre oppsett på eksisterende infrastruktur som for eksempel brannmurer. Sikkerhetsmessig er løsningen også i henhold til nye myndighetskrav som NIS2, ISO27001, og IEC62443.
• Integrasjoner: Løsningen har mange muligheter med åpne APIer mot andre applikasjoner som for eksempel logging, SIEM/SOC løsning samt AD og IAM løsninger, noe som gjør det enkelt å integrere mot eksisterende løsninger i kommunen.

Lillehammers råd til andre kommuner

Basert på sine erfaringer, har Lillehammer kommune VA noen klare råd til andre i samme situasjon:

• Undersøk markedet: Start med å høre hvor andre har lykkes og hvem de har lykkes med.
• Kjenn dine egne systemer: Det er lurt å vite hvor sårbarhetene dine er og hva som er viktigst å beskytte.
• Start forsiktig: Begynn i det små, test løsningen og bli trygg på den før den rulles ut til alle. Lag en god plan for opplæring internt.

Vurderer du en tryggere løsning for fjernaksess?

Mange VA-virksomheter sitter med løsninger som ikke lenger holder mål. Vi hjelper dere med å finne trygge og praktiske tiltak videre – enten dere skal starte i det små, eller ønsker å ta større grep. Ta gjerne kontakt med oss i Last Mile for en uforpliktende prat på denne siden. Vi gleder oss til å høre fra deg!