Mange virksomheter har investert i sikkerhetsutstyr, gjennomført risikoanalyser og satt opp brannmurer mellom IT og OT. Likevel opplever de at sikkerheten ikke fungerer i praksis. Tiltak blir ikke fulgt opp, ansvar faller mellom stoler, og når noe haster, tar man snarveier som undergraver hele sikkerhetsopplegget. Problemet er sjelden teknologien. Problemet er at ingen har tatt et reelt eierskap for OT-sikkerheten.
I mange virksomheter oppstår det en gråsone mellom kontornettverket og produksjonen. Mens IT sikrer kontoret, sørger driftspersonellet for at maskiner og anlegg i OT-miljøet leverer som de skal. Utfordringen oppstår når sikkerhetstiltak skal rulles ut på tvers av disse to verdenene. Hvis en mistenkelig aktivitet oppdages eller en PLS må oppdateres, er det ikke alltid gitt hvem som skal ta styringen.
Uten tydelig ansvarsfordeling risikerer man at viktige tiltak stopper opp. For eksempel kan IT-avdelingen innføre løsninger som skaper problemer for produksjonen fordi de ikke kjenner driftsmiljøet. Andre ganger ligger ansvaret hos en driftsleder som mangler ressurser, eller hos en enkeltperson som organisasjonen er altfor avhengig av.
Når ansvaret er uavklart, blir sikkerhetsarbeidet reaktivt. Man ender opp med å håndtere hendelser etter at de har oppstått, i stedet for å ligge i forkant. Forskjellen er kritisk: Proaktivitet sikrer normal drift, mens en reaktiv tilnærming ofte fører til kostbar nedetid og brannslukking når skaden først er skjedd.
OT-sikkerhet handler om å beskytte produksjonen. Derfor må ansvaret ligge hos de som har ansvar for at produksjonen går. Det betyr at driftslederen eller produksjonslederen må være den som eier risikoen.
Driftslederen trenger ikke være ekspert på brannmurer eller kryptering, men må forstå hvilken risiko virksomheten står overfor og ha myndighet til å prioritere tiltakene som reduserer risikoen. Mens IT-avdelingen eller eksterne partnere leverer verktøyene og kompetansen, er det driftslederen som må definere hva som er viktigst å beskytte.
Denne rollefordelingen er hensiktsmessig fordi driftslederen kjenner konsekvensene av nedetid og har myndighet til å stanse produksjonen ved behov. Siden driftslederen allerede har ansvar for HMS, er sikkerhet i OT-miljøet en naturlig utvidelse av dette. Når driftslederen eier risikoen, blir sikkerhet en integrert del av den daglige driften.
OT-sikkerhet kan ikke håndteres av én person alene. Det krever et team med ulike roller som jobber sammen.
Driftsleder eller produksjonsleder:
OT-ansvarlig eller automasjonsansvarlig:
IT-sikkerhet eller ekstern sikkerhetspartner:
Operatører og driftspersonell:
Ledelsen:
Når disse rollene er tydelige, vet alle hva de er ansvarlige for. Sikkerhet blir noe hele organisasjonen jobber med, ikke bare én avdeling.
Digitalsikkerhetsloven og NIS2 plasserer ansvaret for sikkerhetsnivået direkte hos styret og toppledelsen, som nå må forstå risikoen aktivt for å kunne ta de rette beslutningene. For at dette skal være mulig, må rapporteringen om OT-sikkerhet knyttes direkte til forretningen og forklare hva tiltakene faktisk betyr for produksjonen, inntektene og omdømmet til selskapet.
I stedet for å presentere lange lister med tekniske tiltak, bør fokuset ligge på områdene med størst risiko der innsatsen gir mest effekt. Ledelsen trenger svar på hva som er virksomhetens største sikkerhetstrussel akkurat nå, hvordan den reduseres, og hva konsekvensene er dersom man lar være å handle. Når ledelsen får denne innsikten og selv begynner å stille disse spørsmålene, blir sikkerhet en naturlig og nødvendig prioritering.
Det som virkelig avgjør om sikkerhet fungerer, er kulturen. Hvis driftspersonellet ser på sikkerhet som noe som gjør jobben vanskeligere, vil de finne måter å omgå den på. Hvis de ser på sikkerhet som noe som beskytter jobben deres og anleggene de er stolte av, vil de ta eierskap for den.
For å lykkes må driftspersonellet involveres tidlig slik at de forstår formålet med tiltakene som innføres. Sikkerhet må gjøres enkelt i hverdagen fordi tungvinte løsninger ofte fører til at folk finner snarveier. Ved å anerkjenne god sikkerhetspraksis og lære av feil uten å plassere skyld, skaper man et miljø der sikkerhet blir en naturlig del av arbeidsdagen. Når denne kulturen er på plass, blir sikkerhet noe man gjør automatisk i stedet for noe som må håndheves.
Å organisere OT-sikkerhet handler ikke om å lage flotte organisasjonskart. Det handler om å gjøre det tydelig hvem som har ansvar, gi dem ressursene de trenger, og sørge for at sikkerhet blir en del av den daglige driften. Når driftslederen eier risikoen, når teamet rundt OT-sikkerhet har tydelige roller, når ledelsen stiller krav, og når driftspersonellet ser verdien av sikkerhet, da fungerer det.
I Last Mile jobber vi tett med virksomheter for å hjelpe dem med å organisere OT-sikkerhet på en måte som passer deres drift og kultur. Ønsker dere en uforpliktende prat om hvordan dere kan organisere OT-sikkerheten deres? Ta kontakt med oss.