Artikkelen tar deg gjennom hvorfor cybersikkerhet i vann- og avløpssektoren ikke lenger er et "nice-to-have", men en forretningskritisk nødvendighet.
Forestill deg at du kommer på jobb mandag morgen og finner ut at ditt vannbehandlingsanlegg ikke lenger responderer på kommandoer. Pumpene står, SCADA-systemet viser feilmeldinger, og du vet ikke om vannet som pumpes ut til innbyggerne er trygt å drikke. Dette er ikke science fiction – det er virkeligheten for stadig flere VA-anlegg verden over.
I februar 2021 klarte hackere å fjernstyre et vannbehandlingsanlegg i Florida og øke natriumhydroksidnivået til farlige verdier. Kun årvåken operatørarbeid forhindret en katastrofe. I Norge har vi så langt vært forskånet for større hendelser, men truslene er de samme – og konsekvensene kan være enda mer alvorlige i våre tett befolkede områder.
Som teknisk leder i VA-sektoren har du ansvaret for både leveringssikkerhet og personsikkerhet. Mens IT-systemer kan være nede i noen timer uten katastrofale følger, kan manipulering av ditt OT-system (operasjonell teknologi) true liv og helse innen minutter.
Vann- og avløpsanlegg er særlig sårbare av flere grunner:
Kritisk samfunnsfunksjon: Angrip vannforsyningen, og du påvirker hele lokalsamfunnet. Dette gir stor politisk og mediaoppmerksomhet – akkurat det cyberkriminelle og statlige aktører søker.
Ofte utdatert teknologi: Mange VA-anlegg kjører på systemer som ble installert før cybersikkerhet var et tema. SCADA-systemer og PLS-er som er 10-20 år gamle mangler ofte grunnleggende sikkerhetsfunksjoner.
Fjernoverføring og automatisering: For å drive effektivt har mange anlegg fjernaksess og automatiserte styringssystemer. Hver fjernforbindelse er en potensiell inngangsport for angripere.
Begrenset sikkerhetskompetanse: Mens din kompetanse på vannkjemi og prosessteknologi er høy, har mange VA-bedrifter begrenset kompetanse på cybersikkerhet – særlig for OT-miljøer.
God OT-sikkerhet hviler på tre grunnpilarer: Prevent (forebygg), Detect (oppdag) og Respond (responder). La oss se på hva dette betyr i praksis for ditt VA-anlegg:
Segmentering av nettverk Det viktigste tiltaket du kan gjøre er å skille OT-nettverket ditt fra kontornettverket (IT). Tenk på det som å ha låste dører mellom rommene i huset ditt – selv om tyven kommer seg inn hovedinngangen, kan han ikke bevege seg fritt.
Praktisk eksempel: SCADA-systemet ditt skal ikke kunne "snakke" direkte med e-postserveren eller internett. All kommunikasjon skal gå gjennom kontrollerte passasjer med brannmurer som kun tillater nødvendig trafikk.
Tilgangsstyring og autentisering Hver person som skal ha tilgang til OT-systemene dine må ha:
Oppdatering og patching Dette er utfordrende i OT-miljøer fordi du ikke kan ta produksjonen ned for hver oppdatering. Løsningen er en planlagt tilnærming:
Selv med gode forebyggende tiltak vil noen trusler slippe gjennom. Da er det avgjørende at du oppdager dem raskt.
Overvåkning av nettverkstrafikk Installer systemer som kontinuerlig overvåker datatrafikken i OT-nettverket ditt. Disse kan oppdage:
Logging og hendelseskorrelasjon Samle logger fra alle kritiske systemer på ett sted:
Anomali-detektering Moderne overvåkningssystemer kan lære normal adferd i ditt anlegg og varsle når noe er annerledes:
Når du oppdager en hendelse, er rask og korrekt respons avgjørende for å minimere skade.
Beredskapsplan for cyberhendelser Du trenger en spesifikk plan for cyberhendelser som er forskjellig fra vanlige driftsforstyrrelser:
Isolering og innkapsling Ha forhåndsdefinerte prosedyrer for å:
Gjenoppretting og læring Etter en hendelse må du:
Som VA-leverandør er du pålagt å følge flere regelverk:
NIS2-direktivet (implementert i Norge 2024) Dette pålegger deg som kritisk infrastruktur å:
Vannforsyningsloven og drikkevannsforskriften Stiller krav om at du skal sikre trygg vannforsyning, noe som inkluderer beskyttelse mot sabotasje og manipulering.
Internkontrollforskriften Krever systematisk oppfølging av risiko, inkludert cyber-risiko.
Praktisk tips: Start med en risikovurdering som dokumenterer dine sikkerhetsutfordringer og tiltak. Dette vil både hjelpe deg prioritere riktig og tilfredsstille regulatoriske krav.
Lillehammer kommune VA er et utmerket eksempel på hvordan man kan modernisere OT-sikkerheten uten å skape kaos i driften. Med over 80 pumpestasjoner og anlegg under fjernkontroll, var de i samme situasjon som mange andre norske kommuner.
Lars Philip Olaussen, prosjektleder og sikkerhetskoordinator for vann og avløp, så tidlig at deres "gamle" VPN-baserte fjernaksess med enkelt passord ikke holdt mål lenger. Med NIS2-kravene som kom, og økt bevissthet om trusler mot norske VA-anlegg, trengte de en tryggere løsning.
"Vi vet at andre vann- og avløpsvirksomheter i Norge har blitt utsatt for angrep. Det er en virkelighet vi må forholde oss til," forteller Olaussen.
I stedet for å bare erstatte den gamle infrastrukturen, grep kommunen muligheten til å bygge noe mer fremtidsrettet. De valgte en Zero Trust-løsning som ga dem:
Tofaktor-pålogging: All fjerntilgang krever nå bekrefting via telefon Full logging: Komplett oversikt over hvem som har vært pålogget hvilket utstyr, og når Virusscanning: Automatisk kontroll av at eksterne filer ikke inneholder virus Stabil drift: Løsningen har fungert uten problemer siden implementering
Les hele caset med Lillehammer kommune her.
Måten Lillehammer gjennomførte overgangen på er lærerikt for andre kommuner:
"Den største forskjellen nå er at vi sover litt bedre om natta. Vi vet at vi har en tryggere løsning,"sier Olaussen.
De konkrete fordelene inkluderer:
Uke 1-2: Kartlegging
Uke 3-4: Akutt sikring
Måned 2-3: Strukturert utbedring
Måned 4-6: Modenhet og kontinuerlig forbedring
Basert på sine erfaringer har Lillehammer kommune VA noen klare råd:
Undersøk markedet: Start med å høre hvor andre har lykkes og hvem de har lykkes med
Kjenn dine egne systemer: Det er lurt å vite hvor sårbarhetene dine er og hva som er viktigst å beskytte
Start forsiktig: Begynn i det små, test løsningen og bli trygg på den før den rulles ut til alle
Velg riktig partner: I driftsteknologi finnes det ingen "one-size-fits-all" – du trenger leverandører som forstår både teknologien og hverdagen din
OT-sikkerhet handler ikke bare om å unngå det verste. Gode sikkerhetstiltak gir deg:
Som Lillehammer kommune viser, er det mulig å bygge god OT-sikkerhet uten å skape kaos. Hvert tiltak du implementerer gjør anlegget ditt sikrere og mer robust.
Er du klar til å ta neste steg?
Har du spørsmål om OT-sikkerhet for ditt anlegg? Kontakt våre eksperter for en uforpliktende diskusjon om dine utfordringer og muligheter.