Hvorfor bedre synlighet i OT-miljøet ikke automatisk gir bedre sikkerhet

Se for deg et tenkt scenario: Et vannverk på Østlandet tar i bruk et nytt system for overvåking av OT-miljøet. Etter den første kartleggingen satt de igjen med 2 400 varsler. De hadde fått synligheten de ønsket. Men ikke nødvendigvis bedre kontroll.

For hvilke av funnene var faktisk kritiske for driften? Hvem hadde ansvaret for utstyret? Og hvem skulle sørge for at noe faktisk ble gjort?

Dette er en utfordring mange møter når de får bedre oversikt over OT-miljøet. Verktøyene kan vise hvilke enheter som finnes og hvilke kjente sårbarheter de har. Men de forteller ikke nødvendigvis hva funnet betyr for produksjonen eller hvem som eier risikoen. Og nettopp der stopper mye av sikkerhetsarbeidet opp.

Når et funn ikke har en naturlig eier

I mange OT-miljøer er ansvaret fordelt mellom flere parter. IT har ansvar for deler av infrastrukturen, OT for driften, mens leverandører ofte har ansvar for enkelte systemer og komponenter. Det fungerer så lenge grensene er tydelige. Problemet er at de sjelden er det lenger.

IT- og OT-systemer er tettere koblet sammen, leverandører trenger fjernaksess og data flyter mellom stadig flere systemer. Når en sårbarhet blir oppdaget i en PLC, en industriell switch eller en annen OT-enhet, er det derfor ikke alltid åpenbart hvem som skal gjøre noe med den. IT kan mene at utstyret tilhører OT. OT kan være avhengig av leverandøren. Leverandøren kan igjen kreve testing før en oppdatering gjennomføres.

Resultatet kan bli at alle kjenner til sårbarheten, men at ingen faktisk eier oppfølgingen. Da hjelper det lite at sårbarheten står tydelig markert i et dashboard.

Ikke alle sårbarheter bør behandles likt

Selv når ansvaret er avklart, gjenstår et annet spørsmål: Hvor viktig er funnet egentlig?

Her skiller OT seg tydelig fra tradisjonell IT. En kritisk sårbarhet i et IT-system kan ofte føre til at systemet patches raskt. I OT kan en tilsvarende oppdatering kreve et vedlikeholdsvindu, koordinering med drift og godkjenning fra leverandøren.

En PLC som styrer vanntrykket i et distribusjonsnett kan ikke nødvendigvis restartes midt på dagen fordi det har kommet en sikkerhetsoppdatering. Derfor er heller ikke en høy CVSS-score nok til å avgjøre hva som bør prioriteres først.

En sensor i et testmiljø og en PLC i en kritisk prosess kan ha samme tekniske sårbarhet, men konsekvensen dersom de kompromitteres er svært forskjellig. For å prioritere riktig må virksomheten derfor koble det tekniske funnet til det som faktisk betyr noe i OT: produksjon, tilgjengelighet, HMS, kvalitet og avhengigheter til andre systemer. Synlighet må med andre ord få kontekst.

Fra 2 400 varsler til en håndterbar arbeidsflyt

Når denne konteksten er på plass, blir det også mulig å gjøre noe mer nyttig med alle funnene. I stedet for én lang liste med sårbarheter kan virksomheten begynne å sortere:

Hva er kritisk for driften? Hva er eksponert? Hva kan håndteres med en gang? Hva må vente til neste vedlikeholdsvindu? Og hvem skal følge opp hvert enkelt tiltak?

For å få dette til må tre ting henge sammen.

Funnene må kobles til driften.
Det må være mulig å se hvilken rolle enheten har, hva den kommuniserer med og hvilke konsekvenser et bortfall eller kompromiss kan få.

Ansvaret må være tydelig.
Det bør være avklart hvem som tar beslutningen, hvem som følger opp leverandøren og hvem som sørger for at tiltaket blir gjennomført.

Tiltakene må inn i den eksisterende arbeidsflyten.
Sikkerhetsfunn bør ikke bli liggende isolert i et eget verktøy. De må kunne kobles til systemene og prosessene virksomheten allerede bruker for vedlikehold, endringshåndtering og oppfølging.

I OT betyr det også at tiltak må planlegges rundt produksjonen. Noe kan patches umiddelbart. Noe må vente. Og noen ganger er det riktigere å redusere risikoen på andre måter frem til en permanent løsning kan gjennomføres.

Teknologien kan finne problemet – organisasjonen må løse det

Moderne løsninger for asset discovery, nettverksovervåking og sikker fjernaksess gir virksomheter langt bedre innsikt i OT-miljøet enn tidligere. Det er en viktig utvikling.

Men teknologien kan ikke alene avgjøre hvilken PLC som er viktigst for produksjonen, hvem som kan godkjenne en endring eller når det er trygt å gjennomføre den. Det krever samarbeid mellom sikkerhet, IT, OT, drift og leverandører.

Derfor bør målet med bedre synlighet heller ikke være å finne flest mulig sårbarheter. Målet er å gjøre funnene håndterbare. Først når virksomheten vet hva et funn betyr, hvem som eier det og hva neste steg er, begynner oversikten å gi reell sikkerhetsverdi.

Synlighet er starten, ikke målet

Bedre synlighet er en forutsetning for bedre OT-sikkerhet. Men kontroll oppstår først når informasjonen faktisk fører til handling. Det betyr å gå fra Hva har vi? til Hva betyr dette for driften, hvem har ansvaret, og hva gjør vi med det?

I Last Mile hjelper vi virksomheter med å koble teknologi, drift og sikkerhet slik at funn ikke blir liggende som varsler i et dashboard, men blir satt i riktig kontekst, får en tydelig eier og kan følges opp i praksis.

For den største utfordringen er ikke alltid sårbarhetene virksomheten ikke kjenner til. Det kan like gjerne være de som allerede er funnet, dokumentert og flagget, men som fortsatt venter på at noen skal ta ansvar.

Vil du se hvordan dere kan gå fra bedre oversikt til bedre kontroll i OT-miljøet? Ta gjerne kontakt med oss i Last Mile, så ser vi på det sammen.