Säkerhet inom kraftbranschen blir därför allt viktigare att fokusera på. Kraftindustrins säkerhetsområden och några av de hot som är förknippade med dessa är:
Fysisk säkerhet: Byggnads- och anläggningssäkerhet, skydd mot väder och natur, passerkontroll, övervakning och kommunikationssäkerhet. De främsta hoten här är stöld, skadegörelse, sabotage, terrorism och hot från främmande stater.
Personsäkerhet: Identitetsskydd, resor, transporter, riskområden och utbildning. De främsta hoten här är olyckor i samband med resor eller arbete, dåligt utbildad personal och personal som fått fel tillgångar.
Informationssäkerhet: Säkring av fysisk och digital information, säkerhet i IT-system och cybersäkerhet. De viktigaste hoten är information som kommer på avvägar (exempelvis datastöld från främmande stater eller andra med dåligt uppsåt), intrång i IT-system för att hantera kraftproduktion eller distribution, integritetsintrång, överbelastningsattacker och ransomware.
Olika roller inom kraftbranschen, från högre chef till montör, från teknolog till administratör, har olika syn på säkerhet. Men det finns några huvudområden som du bör ta itu med oavsett din roll. Här listar vi åtta rekommendationer som är avgörande för ett framgångsrikt arbete med säkerhet inom kraftindustrin:
1. Högsta ledningens ansvar
Är ansvaret delegerat i verksamheten, till exempel till en kvalitetschef, ekonomichef eller liknande? Riskera inte att säkerheten försämras. Ansvaret ska ligga på högsta chefen, med rätt prioriteringar för verksamheten.
2. Inkludera hela organisationen
Det räcker inte att en hög chef, kvalitetschef eller säkerhetschef är motiverad och utbildad för att lyckas med säkerhetsarbetet. Alla medarbetare ska, inom sina arbetsuppgifter, både förstå, ha tillräcklig kunskap om och vara motiverade för att lyckas med säkerhetsarbetet. Skillnaden mellan en organisation som är väl involverad och en som inte är det är stor. Ett litet säkerhetsintrång hos dina anställda kan i slutändan få allvarliga konsekvenser.
3. Samarbete
Informationsbilden inom säkerhet förändras ständigt, och medför således ett stort behov av att ständigt hålla sig uppdaterad. Som enskilt företag kan det vara utmanande att hantera detta – även för de med tillräcklig kompetens och erfarenhet. Samarbete med centrala aktörer som KraftCERT, NSM med flera är därför nödvändigt och grundläggande. Samarbete mellan liknande verksamheter, och med säkerhetsleverantörer, är också viktigt för att lyckas med ett kontinuerligt säkerhetsarbete.
4. Uppdatera och modernisera
Äldre teknik är känt för att ha säkerhetsluckor och sårbarheter. Därför måste du som företag hålla dig à jour med den snabbt föränderliga utvecklingen inom säkerhetsteknik. Ta därför bort eller uppgradera dina äldre IT-system. Kom ihåg att ett öppet säkerhetshål i ett IT-system kopplat till internet kan vara vägen in i andra system bakom brandväggar.
5. Kontinuerliga säkerhetsutvärderingar
Utvärderingar är nödvändiga för att säkerställa god kvalitet på säkerhetsarbetet. Du kan göra de själv, eller använda extern hjälp. Ett exempel på utförande är simulering av händelser, så kallade ”pappersövningar” och penetrationsprovning. Du kan också genomföra aktiviteter som Riskbedömningar, Capture the flag eller Röd/Blå övningar. Du måste också se över säkerhetsrutinerna regelbundet. Alla sådana aktiviteter bidrar till hög medvetenhet om hot och sårbarhet.
6. Vad gör du tillgängligt på internet?
Dagens snabba utveckling inom IoT (Internet of Things) innebär ökad sårbarhet för säkerhetsbrott inom de mest kritiska områdena. Att koppla ihop OT (driftsteknik) och IT (informationsteknik) ger många affärsnyttor och värden, men ökar också sårbarheten avsevärt. Här ska din verksamhet vara nykter och noggrann inom vilka områden du knyter an.
7. Överlägsen bild och snabb respons
Insamling av information är väsentligt för att förstå sårbarheter, men också för att kunna agera snabbt vid hot eller aktiva incidenter. Men säkerhetsarbete i blindo ger lite värde. Kontinuerlig uppföljning av infrastruktur, IT och personal är därför viktigt. Dessutom måste du ha tillräcklig analys och filtrering för att få möjlighet att arbeta med det som är viktigast.
8. Ha planer tillgängliga för vad som ska göras vid incidenter
När händelsen inträffar blir det ofta en kaotisk situation där behovet av information är stort. Rätt aktörer måste mötas och rätt beslut måste fattas snabbt. Har du planer och struktur för sådana evenemang kommer arbetet igång snabbare, och tiden tills din verksamhet är tillbaka i drift blir kortare. Nyckelorden här är nödplaner, affärskontinuitet och katastrofåterställning.
Uppdaterade hot de senaste månaderna
Situationen i Europa de senaste månaderna har resulterat i ett markant ökat hot mot kraftindustrin. Här är en kort sammanfattning av de senaste händelserna:
- Installationer, som Equinor, övervakas av drönare. Det måste förutsättas att en kartläggning av kraftbranschens infrastruktur pågår, både med hjälp av öppna offentliga källor, kartläggning från drönare, fysiska inbrott och datastöld. Branschen bör vara medveten om sådana hot och implementera skydd i större utsträckning än tidigare.
- En av BKK:s transformatorstationer utsattes nyligen för sabotageförsök av egen anställd. Nyligen utsattes även järnvägsnätet i Tyskland för sabotage som ledde till flera timmars tågstopp i norra Tyskland. Den fysiska tillgången till central infrastruktur måste därför begränsas och kontrolleras i större utsträckning.
- Det sker en kraftig ökning av cyberoperationer mot infrastruktur i flera länder. Det antas att sådana operationer syftar till att både kartlägga, men också lägga grunden för senare möjliga aktiva attacker. Företag inom kraftbranschen rekommenderas därför att bygga ökad motståndskraft mot sådana attacker.