Nyhetsbrev OT-Säkerhet #78
Det är lätt att få en snygg säkerhetsarkitektur på papper. Lite svårare att förklara hur produktionen ska fortsätta när viktiga externa system försvinner, när någon manipulerar en fysisk process eller när det visar sig att säkerhetsövervakningen inte kan berätta vad som egentligen hänt.
I den här utgåvan av nyhetsbrevet kring OT-säkerhet blir det en hel del om sådana utmaningar. Jag tittar på hur AI förändrar förutsättningarna för angrepp mot industriella styrsystem, varför Purdue-modellen inte är någon säkerhetsarkitektur och vad det faktiskt innebär att bygga OT-miljöer som klarar sig utan externa beroenden. Det blir också nya riktlinjer från Offshore Norge och NIST, lärdomar från misstänkta cyberincidenter på fartyg, NIS2, CER, CRA och några riktigt intressanta internationella fynd.
En annan röd tråd är skillnaden mellan att uppfylla säkerhetskrav och att faktiskt kunna visa att oacceptabla konsekvenser är hanterade. Här finns en del att fundera på, inte minst när vi pratar riskanalyser, säkerhetsövervakning och förmågan att hantera incidenter.
Och så blir det förstås lite annat också! Bland annat en bok som jag tycker borde vara obligatorisk läsning för alla som försöker få IT och OT att fungera bra tillsammans.
Jag vill ge er ett stort tack för alla trevliga mejl jag får med frågor, förslag och uppmuntrande ord. Det här nyhetsbrevet är ju något som jag fortfarande tycker är väldigt roligt att skapa, vilket förstås är viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gärna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som läser, desto bättre möjligheter får jag att producera bra innehåll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsättningen är det bara att anmäla dig på www.ot-säkerhet.se eller dra ett mejl till mig på mats@ot-sakerhet.se. Jag lovar att din mejladress inte används till något annat än detta!
Du hittar alla tidigare utgåvor av nyhetsbrevet på www.ot-säkerhet.se. När det kommer nytt material så annonserar jag det på en massa ställen: min Linkedin-profil, i dess egen LinkedIn grupp, i Facebook-gruppen Säkerhetsbubblan, på Mastodon, på Bluesky, på X/Twitter, på W Social och på en egen Facebook-sida. Du kan också prenumerera via RSS på www.ot-säkerhet.se.
Ge mig gärna mothugg, frågor eller förslag på LinkedIn där den här utgåvan delades eller med ett mejl till mats@ot-sakerhet.se. Tänk på att du kan hjälpa mig, mer än du kanske tror, genom att trycka "like" på artikeln och genom att dela den vidare. Tack för hjälpen!
CWE gillar IEC 62443 och Top 20 Secure PLC coding
Om du använder CWE, "Common Weakness Enumeration" relaterat till OT så finns numera två views som kan vara användbara. Dels en som mappar kraven i IEC 62443 till CWE:er och dels en som tar hand om projektet "Top 20 Secure PLC coding practices". I det senare fallet är inte 100% mappning möjlig men ändå! Råkar man vara intresserad av the Securing Energy Infrastructure Executive Task Force (SEI ETF) så finns en sådan view också.
Besök verkligheten!
Jag läste artikeln "What a site visit is for" av Stuart King och måste understryka hur mycket jag håller med om nyttan med att besöka produktionssajter. Inte bara för att titta i apparatskåpen eller nätverksrummen utan ännu mer för att verkligen förstå verksamheten, hur medarbetarna beter sig och få en känsla för vad som faktiskt är viktigt i just den organisationen.
Men även ur ett rent tekniskt och säkerhetsmässigt perspektiv är det helt ovärderligt att regelbundet besöka sina sajter. Jag kommer nog aldrig sluta häpna över allt man "springer på" och alla fantastiska diskussioner man kan ha under tiden.
Är det så att du kommer "från IT-sidan" är det förstås ännu viktigare att både se och synas "på golvet". Det skapar en helt annan känsla för de verkliga utmaningarna i verksamhetens vardag. Det var precis så jag själv började min egen bana i OT-världen en gång i forntiden.
Numera tar jag tacksamt emot de flesta av de inbjudningar jag får till studiebesök hos producerande anläggningar. Handlar det istället om ett nytt uppdrag där jag kliver in som konsult eller rådgivare så är det jätteviktigt att tidigt få se "verkligheten"! Lustigt nog så behöver det absolut inte vara en speciellt exotisk eller annorlunda verksamhet för att besöket ska vara väldigt lärorikt och spännande. Det är dessutom en stor del av vad jag tycker är så roligt med OT-säkerhet, att få titta in bakom kulisserna i alla dessa intressanta anläggningar – oavsett om det handlar om dricksvatten, fartyg, kemisk industri eller Kalles mekaniska.
Produktion utan yttre beroenden?
En väldigt tydlig trend är att det ställs krav på att produktion som är viktig för samhället ska kunna klara sig utan kopplingar till system utanför verksamheten. Vi har sett exempel på detta i utspel från Australien, Nya Zeeland, Kanada, USA, Storbritannien, Danmark och Norge. Exempel på krav är att verksamheten ska kunna bedrivas utan yttre system i tre månader och att man ska ha förmågan att bygga upp alla system från grunden om de skulle förstöras fullständigt.
Inom EU finns liknande krav även om de inte är lika tydliga som några av ovanstående exempel. Ett tydligt sådant är från riktlinjerna till CER-direktivet där man exempelvis säger att man ska kunna "köra manuellt" om automationen lägger av. Det är ett riktigt tufft krav att möta. Inkluderar man digitala komponenter i stil med frekvensarna som kör pumpar och fläktar krävs förberedda elektriska alternativ att köra dem. CER uppfattas ofta som "NIS2 fast utan cybersäkerhet" vilket helt uppenbarligen är fel. Här vill det verkligen till att kunna ha flera tankar i huvudet samtidigt och se till att arbetet kring NIS2 inte sätter krokben för CER – eller vice versa!
Man ska förstås inte överdriva hur man tolkar dessa krav och det är viktigt att åtgärderna fokuserar på rätt saker. Ett område som jag ofta får frågor om är vilka förmågor som är olämpliga att köpa från externa tjänsteleverantörer. Det är lätt att hamna i tanken att "vi måste göra allt själva" för att vara oberoende och ha rådighet över vårt säkerhetsarbete. I praktiken blir det ekonomiskt orimligt om man väger in hur man praktiskt ska bemanna under en säkerhetsincident. Ett exempel är att inte sätta sina egna säkerhets- och OT-ingenjörer som SOC-analytiker. De måste ut och rädda system när incidenten kommer och då tappar man hela lägesuppfattningen från övervakningsfunktionen!
Andrew Ginter på Waterfall Security hade ett intressant webbinar nyligen som anknyter till det här ämnet.
Purdue som säkerhetsmodell?
Det känns äntligen som insikten om att Purdue-modellen inte alls är användbar i säkerhetssammanhang börjar sätta sig lite bredare. Bob Radvanovsky har skrivit två intressanta dokument på ämnet som verkligen slår in de sista spikarna i kistan men som även tittar på vad de andra modellerna ger.
Är du en av dem som fortfarande använder orden "Segmentering" och "Purdue" i samma mening så rekommenderar jag att läsa Bobs första dokument som reder upp varför Purdue fick ett rykte om sig att vara en säkerhetsmodell. Han rekommenderar istället en konsekvensstyrd användning av "Zones & Conduits"-modellen från IEC 62443-3-2.
I Bobs andra dokument går han istället igenom hur några olika ramverk hanterar 14 olika säkerhetsförmågor. Det är förutom Purdue även IEC 62443, NIST SP 800-82r3, INLs CCE och Zero Trust enligt NIST SP 800-207.
Och om du undrar så är det alltså inget fel på Purduemodellen egentligen – men den ska användas till det den är tänkt för. Den passar inte som en säkerhetsarkitektur.
"Security by obscurity" har fungerat ganska bra!
Det pratas mycket AI nu. Nya modeller och nya sätt att använda dem vänder upp och ner på cybersäkerhetsbranschen. Både angriparsidan och försvararna arbetar frenetiskt med att skaffa sig fördelar och minska motståndarens övertag. Kring OT-säkerhet är detta förstås precis lika relevant som för IT-sidan men med en del intressanta skillnader.
Att hitta nya tekniska sårbarheter i mjukvara har blivit otroligt mycket mer effektivt med AI. För OT betyder det att infrastrukturen och systemen som skyddar våra OT-miljöer inte är lika pålitliga lägre. För den mer klassiska OT-tekniken i sig, är oftast skillnaden mycket mindre. Dessa system är sällan byggda med avsikten att de ska kunna försvara sig själva i alla fall. Där ligger fokus på stabil funktion. Då behövs sällan en teknisk sårbarhet för att manipulera processen, det räcker med att använda den "riktiga" funktionaliteten som redan är tillgänglig.
Framåtlutade verksamheter inom tillverkning eller andra områden med komplexa OT-baserade processer utforskar just nu kunskapsgrafer för att föda AI-verktygen med insikter om verksamhetsprocesser och dess underliggande komponenter. Den som har provat vet att det är oerhört kraftfulla verktyg för underhåll, felsökning, verksamhetsutveckling och så vidare. Men hur skulle liknande verktyg fungera i händerna på en angripare?
Alla i säkerhetsbranschen vet att begreppet "Security by obscurity" är ett skällsord. Det är något man absolut inte ägnar sig åt. Att försöka skapa säkerhet genom att låta sina system vara lite svåra att förstå och genom att hålla skydden i sig hemliga. Men det är faktiskt precis det som OT-världen levt på i många år. Vi har system som "vanliga hackers" inte förstår, annorlunda kommunikationsprotokoll som vanliga hackerverktyg inte kan utnyttja och anläggningar som är svåra att ställa till det i eftersom den fysiska processen är svår att förstå sig på om man inte är processingenjör.
Nu faller hela det skyddet samman, här är AI ett helt makalöst verktyg för angriparen. Kommer man över anläggningsdokumentation är det ingen match för en AI-hacker att förstå hur man ställer till det rejält... Dessutom finns ofta anläggningsdokumentationen på "IT-sidan" där en angripare kan komma över den, analysera den och planera nästa steg i angreppet mot den fysiska processen.
Det är lätt att tro att svaret på AI-hotet bara är mer AI i "försvaret". Att AI gör försvaret snabbt nog för att reagera på AI-drivna angrepp. Delvis stämmer det men i grunden handlar det om samma gamla genomtänkta och riskdrivna säkerhetsarbete som tidigare. Däremot måste vi ta vara på möjligheten att med hjälp av AI göra säkerhetsarbetet mycket bättre och mycket effektivare.
För OT är min absoluta favorit fortfarande "The Five ICS Cybersecurity Critical Controls" från SANS kryddat med en smula konsekvensfokuserat tänk a la CIE. Det påverkas inte av AI-epoken vi gått in i. Bygg först bort dina värsta fysiska konsekvenser på andra sätt än med "Cyber", sedan utgår du från vad du behöver för att hantera tänkbara incidenter när du bygger en infrastruktur som går att försvara ("Defensible Architecture") och där sätter du sedan in en OT-anpassad säkerhetsövervakning värd namnet.
En övervakning är inte värd speciellt mycket om det inte finns en snabb och effektiv metod att agera när man upptäcker att något är på väg att hända. Det här är den svagaste delen av många mogna OT-säkerhetsprogram och det är här möjligheterna till förbättring finns. Förberedda åtgärder som bygger på förståelse för anläggningen och som helst med automatik kan utlösas när övervakningen reagerar på någonting.
Samtliga steg går redan idag att göra både bättre och snabbare med stöd av AI. Jag säger inte att det är lätt men det är mer framkomligt än någonsin tidigare!
Dimensionerande hot
Tim Roxey ger oss en intressant artikel kring "Design basis" som tar avstamp i situationen i kärnkraftverket Zaporizhzhia som behöver hantera restvärmen i kraftverket nu när det är helt isolerat från elnätet.
Jag är själv mer van vid IAEA:s definition av DBT, "Design Basis Threat", som framför allt handlar om vilka förmågor angriparen antas ha, och vilka skyddsåtgärder som krävs för att möta dessa. Roxey går ett steg vidare och frågar vad som händer med själva anläggningens säkerhetsfunktioner när en sådan angripare lyckas orsaka skador. Han introducerar därför begreppet DBA-MA (Design Basis Accident under Military Action).
Skillnaden kan väl sammanfattas ungefär så här:
- DBT/DHB/DAF: Vilken antagonistisk förmåga ska vi kunna stå emot?
- DBA: Vilka olycksförlopp ska anläggningen vara konstruerad för att klara?
- DBA-MA: Vilka olycksförlopp måste vi kunna hantera när en intelligent angripare medvetet orsakar, kombinerar och förlänger störningarna?
Oavsett vilken definition man väljer så är det en intressant artikel som kan överföras på andra situationer där antagonistiska angrepp kännetecknas av samma faktorer:
Intentionality – angriparen väljer sina mål.
Persistence – angreppen kan fortsätta under lång tid.
Precision – angriparen kan slå mot specifika komponenter.
Denial – angriparen kan förhindra reparation och återställning.
Vill du sätta pricken över i:et så läser du Sarah Fluchs kommentar till texten.
Gratulerer, Norge – dette er svært bra!
Jag vet precis hur svårt det är att producera kravdokument som ställer vettiga krav som går att förstå men som samtidigt också går att auditera mot och balanserar tydlighet med onödig detaljstyrning. Efter att på senare tid ha varit med i utformningen av svenska föreskrifter under Cybersäkerhetslagen och i ENISAs krav på certifiering av cybersäkerhetstjänster vet jag hur det snabbt blir komplext – speciellt när många viljor är inblandade!
Med det i åtanke blir jag ännu mer imponerad av Offshore Norges riktlinje "104 – Recommended guidelines on cyber security baseline requirements for Operational Technology (OT) systems". De är en industriorganisation för över 100 företag i den norska olje- och gasindustrin.
Man har tagit inspiration från strukturen i NIST CSF och kombinerat med pedagogiken i ISO 27002, OT-perspektivet i IEC 62443-2 och ambitionen i NERC CIP att vara enkel att granska mot. Resultatet blir väldigt tydligt och användbart. Bravo!
Det här är ett klockrent dokument att luta sig mot oavsett vilken bransch man är i! Det finns ingenting i det som är specifikt för offshore-världen. Det märks mest i ett ganska högt fokus på processäkerhet och barriärtänk – men det passar i många andra sammanhang också! Andra starka delar är kraven kring fortsatt drift när man blir isolerad ("Ö-drift"), koppling mellan fjärråtkomst och arbetsplanering och kritikalitetsbedömningar.
Japanska klassningssällskapet ClassNK har kommit med en rejäl uppdatering av "Guidelines for Cyber Security Management System for Ships" som man kan jämföra med om man vill. Också användbart men det är en helt annan typ av dokument som har ett annat syfte.
NSM hever det nasjonale cyberrisikonivået til HØYT
Den norska nationella säkerhetsmyndigheten NSM höjde nyligen hotnivån till den näst högsta nivån på deras femgradiga skala. De anger fyra särskilt viktiga skäl:
Tredubbling av framgångsrika cyberoperationer mot norska verksamheter under det senaste halvåret. NSM specificerar inte vilka sektorer som står för ökningen.
Samhällskritisk infrastruktur är särskilt utsatt, liksom försvarsindustrin, försvarssektorn, rymdsektorn och leverantörer till säkerhetskänsliga verksamheter.
Kartläggning och komprometteringar förekommer kontinuerligt. NSM lyfter även ransomware och överbelastningsangrepp.
AI påverkar riskbedömningen, men NSM säger uttryckligen att den beskrivna användningen av språkmodeller och agentisk AI vid cyberoperationer ännu inte har dokumenterats i Norge.
För en OT-nörd är det riktigt glädjande att se att NSM redan i texten som annonserar höjningen talar "OT-språk" i rekommendationerna. Zones & Conduits nämns. Man hänvisar till IEC 62443, NEK 820 och NIST SP 800-82. Det talas om förmåga till degraderad drift så att man säkerställer att någon nivå av leverans alltid ska vara möjlig. Ett föredöme där NSM, bra gjort!
Internationella fynd!
På samma tema som de två norska texterna ovan har jag insett hur mycket spännande material jag missar i och med att jag normalt sett bara letat efter texter på svenska och engelska. I dessa tider av AI-agenter och fantastiska översättningsverktyg är det dags att ändra på det. Till en början, här är ett par spännande artiklar på andra språk som jag är säker på att den automatiska översättningen i din browser kommer hjälpa dig läsa:
Misure urgenti di verifica e mitigazione per operatori della distribuzione alimentare e della filiera del freddo
En text från Toscanas CSIRT kring attackerna mot frysanläggningar runt om i Europa. Det som är intressant är att de på flera ställen ger riktigt bra råd med fokus på den angripna fysiska processen – inte bara cyberåtgärder. I det här fallet pratar de exempelvis om processparametrar och det faktum att man kan ha förstått och hanterat händelser cybermässigt men ändå förstört den obrutna kylkedjan i livsmedelshanteringen.
MODELO DR2 (Decisiones con Roles y Responsabilidades)
En text från spanska CCI, Centro de Ciberseguridad Industrial, kring hur man som organisation ska se till att beslut som fattas tas på rätt grunder och att man inte i onödan riskerar att missa viktiga konsekvenser eller framtida problem som är svåra att genomskåda idag. Om din browser inte översätter pdf:er automatiskt får du ge filen till exempelvis Google Translate.
CCI är för övrigt en intressant organisation som även erbjuder en gratis certifiering i OT-säkerhet. Jag har själv CPN, "Centro de Ciberseguridad Industrial, Profesional, Negro" - deras tuffaste nivå, nummer 188.
Cyber-Informed Engineering
Idaho National Labs har inlett en serie med 12 videos som går igenom de 12 principerna i CIE. Alla är inte klara ännu men de som finns kan vara användbara redan ändå. Det ser riktigt lovande ut och kan bli ett fantastiskt sätt att ta till sig de sunda idéerna i CIE.
Vad kan andra branscher lära av hackade fartyg?
I samband med ett konsultuppdrag hos ett rederi har jag tittat närmare på ett antal OT-incidenter med stora fartyg från de senaste månaderna. Man kan dra några intressanta lärdomar för både den maritima världen och alla andra typer av verksamheter där OT är viktigt.
Sjöfarten har historiskt varit lika omogen som nästan alla andra branscher när det gäller OT-säkerhet. Det har framstått som lite märkligt eftersom branschen ändå får anses vara duktiga på säkerhet och Safety i många andra sammanhang. För några år sedan höjde branschen sin ambition rejält efter nya krav från FN/IMO och IACS/klassningssällskapen. Sedan dess kämpar man vilt med att höja nivån men tyvärr går det otroligt långsamt – i mina ögon på grund av det märkliga förhållandet mellan leverantörer och klassningssällskap. Men det är en annan historia...
Men vad kan vi lära oss av några aktuella incidenter? Jag tar upp tre som exempel: oljesupertankern VL Prosperity, LPG-tankern Kohaku och LNG-tankern Vivit Africa. I inget av fallen finns speciellt mycket information om exakt vad som hänt tillgänglig ännu. Det är i alla fall på ytan mycket allvarliga incidenter där det bland annat talas om eventuellt förlorad kontroll över LNG-trycktankar och framdrivningssystem. Oavsett vad som faktiskt hänt i dessa tre fall finns saker att ta till sig.
Exemplen illustrerar hur svårt det är att skilja en "vanlig" driftstörning från ett cyberangrepp. Att förstå vad som faktiskt hänt genom att titta i systemens egna loggar är otroligt komplicerat och tar väldigt mycket resurser. Det finns dessutom inga garantier att loggarna inte manipulerats om det nu var ett angrepp.
I nästa steg illustrerar det den oftast bortglömda sidan av riktig säkerhetsövervakning i OT – att man har kvar en samlad historik som inte är påverkad och som går att hitta mönster i. Det är lätt att se säkerhetsövervakning enbart som ett "larm" som ska säga till när något otrevligt händer. Minst lika viktigt är "backspegeln" som vi kan titta i efter incidenten! Skaffa gärna IDS-system – de är bra, men se till att bygga en riktig övervakningsförmåga runt tekniken, annars blir det lite som att skaffa ett inbrottslarm som ingen reagerar på...
Jag får återkomma till dessa exempel när mer information kommer fram!
Finns PHP i dina OT-prylar?
Under oktober fick vi annonseringen av två rejäla säkerhetshål i PHP. Det kan tyckas som mindre viktigt i OT-sammanhang, men som OTPulse visar i en artikel finns PHP under huven i många prylar som är viktiga för den tekniska OT-säkerheten. De verkar uppdatera texten löpande i takt med att fler leverantörer annonserar om de påverkas eller inte.
Svenska kraftnät pekar på hoten
SvK, Svenska kraftnät, har släppt en uppdaterad öppen hotbildsanalys.
Den innehåller väl egentligen ingenting som förvånade mig men är väl värd att läsa även om du inte sysslar med elförsörjning.
Något jag tyckte var bra är att man talar om det (tycker jag) underskattade problemet med attacker som inte leder till omedelbar påverkan. Att exempelvis etablera ett fotfäste i känsliga system som används långt senare när det geopolitiska läget "är rätt". Eller att man manipulerar information från OT-system så att fel beslut fattas. Det är dessutom angrepp som är mycket svårare att hitta i efterhand än när de först sätts på plats, här är OT-anpassad säkerhetsövervakning helt avgörande!
...exempelvis hoten mot solenergi?
Ruben Santamarta har tittat närmare på de närmast pinsamma sårbarheterna i SunGrows produkt iSolarCloud. Vansinnigt intressant om du är berörd av deras produkter men minst lika intressant som illustration för hur illa det kan vara även i andra leverantörers produkter.
Från avdelningen smarta människor: Pilroth
Vi har fått en ny text från Mattias Pilroth! Titeln är "Compliance Has a Working Range" och den utvecklar den tidigare texten "The Coverage Trap". Precis som Mattias tidigare texter är den utmanande att läsa. Inte för att den är svårläst – tvärtom, men den är så hårt packad med insikter och kloka tankar att det är ansträngande att ta till sig allihop!
Om du funderar på att åka på S4-konferensen i februari så finns ett bra skäl nu! Mattias kommer nämligen att hålla en presentation på S4 i februari, "Verifying safety independence". Det är verkligen något att se fram emot!
Mattias vägrar hårdnackat illustrera sina texter så då provar jag att göra det själv:
Begreppet ”Working range” är nog den största nya tanken. I Nyhetsbrev #68 skrev jag att det inte finns någon backup på den fysiska transformatorn, på kollegan Bengt eller på abborrarna i sjön. Mattias lägger till den bit som saknas: att detta samtidigt definierar gränsen för vad traditionell cybersäkerhet rimligen kan förväntas bevisa. Innanför gränsen får patchning, SOC, backup, MFA osv vara probabilistiska och ofullkomliga. Utanför den måste man kunna visa ett faktiskt stopp.
Nästa stora poäng är "target gap". En perfekt NIS2-/IEC 62443-/ISO-revision kan visa att du gjort exakt allt som krävdes och ändå inte ha ställt frågan om kravmassan över huvud taget skyddar mot det utfall som inte får inträffa. Mattias skiljer elegant mellan ”vi misslyckades med att implementera kraven” och ”kraven var otillräckliga redan från början”. Det är egentligen den gamla hederliga poängen att det absolut inte räcker att ”bocka av åtgärder i IEC 62443 eller ISO 27002”.
Den tredje stora poängen är hans attack på residual risk acceptance. Vi vet nog alla att det inte fungerar att räkna med sannolikheter för mänskliga motståndare. Mattias invändning är mer fundamental än så: för oacceptabla konsekvenser behöver du inte en bättre uppskattning av sannolikheten — du behöver visa att konsekvensen är hanterad och begränsad.
Slutsatsen blir att det inte handlar om ”compliance kontra riktig säkerhet”. Det är två i grunden helt olika säkerhetsproblem med två olika beviskrav.
Köp den nu!
VARNING! Det här är inte en bok specifikt om säkerhet! Men den handlar om det som är helt avgörande för att säkerhetsarbetet ska fungera – hur vi får en organisation att fungera och hur vi bygger en teknisk OT-plattform som möter de behov verksamheten faktiskt har.
Den absolut vanligaste diskussionen inom OT och OT-säkerhet är relationen med IT. Hur hanterar man att krav och behov är fullständigt olika, samtidigt som både systemen och människorna bakom dem måste samverka? Utmaningarna blir ständigt tydligare och viktigare i takt med att beroendet av information från den fysiska verksamheten ökar – inte minst på grund av användningen av AI. Nu finns det ultimata stödet för dig som försöker navigera detta.
Även om du egentligen inte är intresserad av organisationen och enbart bryr dig om att bygga system så är detta ändå boken för dig. Du behöver nämligen hantera konsekvenserna av Conways lag, den som säger att strukturen i applikationer och system alltid kommer att spegla organisationens struktur. Dvs om du inte hanterar den sidan först kommer dina system också att "drabbas" att samma utmaningar som organisationen. Och det har konsekvenser även för säkerheten!
Men om du tror på din organisation och faktiskt bara vill bygga en riktigt bra teknisk plattform så hittar du magi i den andra halvan av boken. Hur får vi en hållbar hantering av dataflöden i produktionen? Oavsett om ni pratar om kunskapsgrafer, ontologier, Unified Namespace eller gamla hederliga ISA-95 så hittar du grunderna i hur man får till bra resultat i den här boken!
Det här är en riktigt bra och viktig bok! Det jag verkligen gillar är att den inte försöker lura i oss att alla organisationer är likadana eller att alla situationer går att hantera på samma sätt. Tvärtom är författarna noga med att visa på alternativen, hur de bäst kan passa i olika sammanhang och hur man förflyttar sig över tid i takt med att organisationens förutsättningar förändras. De gör också skillnad på om du som läsare är från IT eller OT och du får olika råd beroende på vilken typ av roll du har. Det gör innehållet lättare att ta till sig och att hitta sin egen väg framåt. De lyckas dessutom göra det på bara 200 sidor.
De två författarna David Ariens och Willem van Lammeren, har även podden "The IT/OT Insider Podcast with David and Willem" som är väldigt intressant, de driver utbildningen "IT/OT Academy" och har en hel del nyttiga resurser på sin hemsida.
Jag köpte själv den här boken som ljudbok på Audible, vilket fungerar alldeles utmärkt om man gillar ljudböcker. Vill man titta på bilderna i boken så finns de med i en pdf. Men jag blev så imponerad av boken att jag även köpte ett pappersexemplar för att enklare kunna bläddra i framtiden!
Det här är årets julklapp för alla ledare och chefer!
Hoten inom EU
ENISA har släppt sin "ENISA Threat Landscape 2026" där de beskriver hur de uppfattar läget inom EU när det handlar om cyberattacker och påstådda angrepp.
För en läsare med fokus på OT-säkerhet finns det ovanligt mycket att fundera kring. De ser en kraftig ökning av påstådda angrepp mot OT men väldigt lite verifierade konsekvenser.
En intressant sida är att myndigheterna har väldigt lite information om hur de faktiska angreppen verkligen gick till. Min personliga tolkning är att det till stor del hänger ihop med att det fortfarande är extremt ovanligt med riktig säkerhetsövervakning inom OT. Utan strukturerad insamling av loggar och nätverkshändelser kommer det vara väldigt svårt att förstå vad som hände efter en incident. Även om man har tagit vissa steg, exempelvis någon av de OT-fokuserade IDS-lösningarna så är typiskt fokuset där asset-hantering och larm kring konstiga beteenden snarare än att samla en komplett lägesbild.
En annan intressant aspekt som blir tydlig är att många verksamheter gör sig väldigt beroende av lite väl ömtåliga yttre faktorer. Fokuset på att bygga resiliens behöver verkligen öka men utan att man går i fällan och försöker göra allting själv.
Kommer vargen?
Vår bransch tenderar tyvärr att ibland överdriva lite när vi beskriver hot eller händelser från vår omvärld. Jag tänker att vi får se upp med det för att ha en chans att framstå som seriösa och undvika att ropa "vargen kommer". Vi ska naturligtvis prata om händelser och vad de illustrerar kring riskerna men på ett sansat sätt.
Ett kul exempel är den hackade dammen i norska Bremanger förra året. Det var ett angrepp som tillskrivs pro-ryska hackers och som fick mycket uppmärksamet i media. Sensationella artiklar berättade hur farligt detta var och illustrerade detta med bilder på enorma dammluckor som släpper fram enorma vattenkaskader.
Jag blev nyfiken och ville förstå vad som egentligen hade hänt – och vad som skulle kunna ha hänt? I nästan alla artiklar jag har sett låter det som att angriparna fick kontroll över gigantiska dammluckor och släppte ut hysteriska mängder vatten på ett farligt sätt.
I verkligheten verkar det vara en relativt liten damm helt utan dammluckor men som har en ventil för att dammen alltid ska släppa igenom lite vatten för att vara snäll mot fiskarna i fisktrappan. Den ventilen ställde någon på max. Fiskarna och journalisterna blev väldigt glada, men ingen annan brydde sig egentligen. Flödet var några hundra liter i sekunden under fyra timmar vilket i sammanhanget är ingenting.
Men det är fortfarande ett bra exempel på att digitala angrepp kan få fysiska konsekvenser. Och på att man får vara försiktig med mediarapportering...
Exploits för PLCer med AI?
Forescout beskriver i en intressant artikel hur de använde Claude Code för att migrera en fungerande exploit i en WAGO 750-852 till en WAGO 750-831. Även om man inte är intresserad av exploitutveckling eller AI så ger texten en del intressanta insikter om vad vi behöver se upp med i våra processnära nätverk.
Defaultlösenord för OT-prylar?
Scadastrangelove har släppt en uppdatering av deras lista över lösenord som OT-prylar levereras med. 107 leverantörer och 341 rader med defaultlösenord... Det här är förhoppningsvis något som CRA kommer lösa på 30 års sikt men tills dess kan det vara användbart...
VA-bibeln på webben
Svenskt Vatten publicerar numera sin "P118 Säkerhetshandbok för VA-verksamhet" öppet på webben. Väldigt användbar som generell arbetsmetod oavsett vilken typ av verksamhet man bedriver!
Lagstiftning och sånt!
Sedan 1 oktober gäller samtliga föreskrifter som NCSC och dess föregångare tagit fram för NIS2 och Cybersäkerhetslagen. NCSC har utlovat att det ska finnas vägledningar till alla föreskrifterna innan året är slut.
Jag har sett en del internationell debatt kring Indiens nya krav på elsektorn, där man bland annat kräver rapport om cyberincidenter inom 6 timmar, vilket lyfts fram som ett tufft krav. Intressant nog har vi i EU egentligen ett tuffare krav i de så kallade "Nätkoderna" för elbranschen där det är 4 timmar som gäller. (Även om de två inte är exakt jämförbara.) Däremot finns en del annat som är intressant i de indiska kraven. Man ställer riktigt tuffa krav på isolering från Internet, IT och andra system där remote access ska behandlas som ett undantag. Allra mest speciellt är de personliga kraven på en CISO, exempelvis minst 15 års erfarenhet i branschen, ha ingenjörsutbildning och inte får ha andra ansvar än cybersäkerhet.
I Tyskland ska nu BSI börja "jaga" organisationer som inte anmält sig enligt NIS2-reglerna. De uppskattar att det är ungefär 10 000 organisationer, vilket är en tredjedel av det antal som förväntades anmäla sig! Jag har inte sett något motsvarande i Sverige men vi vet ju att det delades ut väldigt många sanktionsavgifter för just detta under det första NIS-direktivet...
ENISA har en enkät ute som vänder sig till små och medelstora företag som utvecklar eller säljer produkter med digitala komponenter, dvs de som träffas av CRA. Ge din syn på kraven och de investeringar som ni behöver göra!
Krav på sjöfarten
OT-säkerhet i maritima sammanhang är ett av mina personliga favoritområden att jobba med. Det är ett utmanande område där kravställningen utvecklats mycket på några få år medan varven, produkttillverkare och fartygsägare kämpar för att göra framsteg i praktiken.
Nyligen publicerade US Coast Guard sin vägledning för att uppfylla "Maritime Transportation Security Act" för fartyg och hamnanläggningar. Kan vara intressant även om man inte arbetar inom området själv.
Något som det är stort fokus på i branschen är autonoma fartyg, alltså fartyg som helt eller delvis framförs utan mänsklig inblandning eller som styrs på distans. FN-organet IMO publicerade tidigare i år "International Code of Safety for Maritime Autonomous Surface Ships (MASS Code)". IMO utvecklar också en "Maritime Cyber Code" som ska vara klar 2028.
Från min egen LinkedIn
Jag kunde ju inte låta bli att kommentera på den svenska frysincidenten. Det följdes direkt av ett par inlägg från Nackademin och IT-KARRIÄR där jag fick uttala mig om behovet av att utbilda fler med OT-säkerhetskompetens.
Ja, det här är ännu ett inlägg om hackade frysar! Förlåt!
Ja, det som hänt är förstås hemskt för drabbade handlare! Ingen tvekan där!
Ja, man kan lära sig något av det inträffade! Ta chansen!
Om man inte rör sig i OT-säkerhetsvärlden kan det inträffade kanske vara lite svårt att ta till sig. Men det är en nästan perfekt illustration av varför OT-säkerhet är annorlunda än IT-världens skydd av information.
När IT drabbas av ett angrepp är vi vana vid att det handlar om stulen information eller information som blir otillgänglig. Här är det ett system som någon fått att göra fel. Ingen information är stulen. Inget system gjordes otillgängligt. Systemet i sig fungerar egentligen fortfarande perfekt. Men någon sade åt systemet att köra femtio graders avfrostning i åtta timmar. Är du uppväxt inom informationssäkerhet så förklarar detta varför I:et i CIA-triaden väldigt ofta är det viktigaste i OT-världen. Integritet! Att det verkligen blir rätt resultat i den fysiska processen. En process som stannar är ofta att föredra framför en process som aktivt körs åt ett farligt håll!
Jag hör ofta frågor i stil med ”Varför skulle någon vilja smälta vår glass?” när organisationer gör riskanalyser. Det är tyvärr fel fråga att ställa sig när man bedömer OT-risker. Rätt frågor är snarare ”Hur viktigt är det att ingen kan smälta vår glass?” och ”Hur snabbt kan vi upptäcka att någon smälter vår glass?” Lite mer fokus på konsekvenser och incidenthantering alltså snarare än på uppsåt och sannolikhet! OT-säkerhet handlar ju ytterst om att skydda den fysiska verksamheten, inte bara de digitala systemen.
Och om det är samma system som både styr frysarna och ska larma när något går fel, hur vet vi då att vi kan lita på larmen?
IEC 62443-4 och CRA
Sarah Fluchs är tillbaka med en riktigt bra och utförlig artikel som går igenom hur del 4 av IEC 62443 kan hjälpa dig som är tillverkare av digitala produkter inom OT-världen att möta CRA, Cyber Resilience Act. På köpet lär du dig om harmoniserade standarder, "presumption of conformity" och en massa andra viktiga komponenter kring CRA-lagstiftningen.
Vad sägs om en CRA-konferens?
EUs cybersäkerhetsmyndighet ENISA organiserar en konferens kring CRA den 11:e december. Från programmet:
Progress towards CRA implementation and the evolving regulatory landscape
Security-by-design and product cybersecurity in practice
Emerging technologies and AI-supported compliance
Cooperation between industry, ENISA, the European Commission and Member State authorities
AI i attacker mot OT?
Frenos har givit oss en rapport kring hur dagsläget ser ut för AI-modeller och deras förmåga att användas i attacker mot OT-världen.
Harry Thomas, CTO på Frenos, säger i en artikel:
“These models still need the right context and an experienced human behind them to do real work. They’re not hacking industrial systems on their own, and when an attacker using AI slips up, it’s noisy and easy to catch. But frontier models are getting there fast. My estimate is about two years before this is a reliable capability in any attacker’s hands. Critical infrastructure operators should treat that as the time they have to prepare, not as a reason to wait.”
Booz Allen gjorde något liknande. De gör det tyvärr lite löjligt genom att använda det töntiga begreppet "Super Intelligence" i artikeln för att sedan använda AI i själva rapporten.
Ta hand om dina safety-system!
Marc Ayala samlar kloka tankar kring SIS-system och deras skydd. Det här är speciella system med speciella förutsättningar som förtjänar speciell uppmärksamhet!
Ny revision av NIST SP 800-82 på gång!
Amerikanska NIST har släppt ett utkast av NIST SP 800-82r4. Det här är ett OT-fokuserat ramverk av rekommendationer som vänder sig till användning av OT i alla typer av branscher och verksamheter.
Skillnader som man lyfter fram är ökat fokus på exempelvis fastighetsautomation, vatten, avlopp, livsmedel och sjöfart. Konvergens med molnbaserad infrastruktur är också ett viktigt område. Man har förstås justerat innehållet till version 2 av NIST CSF, Cybersecurity Framework genom att framför allt knyta samman riskhantering med området "Govern" i CSF men också hur man kan ta hand om NIST RMF, Risk Management Framework.
Jag gillar hur NIST skriver de här dokumenten. De tenderar att vara en ovanligt läsbar kombination av lärobok, ramverk och kravmassa. De är väldigt användbara för den som är ny inom ett område men även som stöd i samband med specifika utmaningar. Väl värda att använda.
Om du vill skicka in dina åsikter så har du till sista november på dig!
Dags att köpa din biljett till S4!
Agendan till S4-konferensen i februari är ute och biljetterna är halvvägs slutsålda.
Det här är i mitt tycke den i särklass mest intressanta och framåtlutade OT-säkerhetskonferensen i världen. Om inte det räcker som argument så får du dessutom umgås med mig och har chansen att lyssna till svenska stoltheten Mattias Pilroth som är tidigt uppe på scen 3! Vi brukar vara ett ganska stort gäng med svenskar som dyker upp.
En klassisk S4-presentation: Stuxnet
2012 presenterade Ralph Langner kring S7-delarna av Stuxnet. Presentationen passerade nyligen 100 000 visningar på YouTube vilket gör den värd att lyfta som den mest sedda S4-videon någonsin. Ralph var redan då intressant och rolig.
Någon som vill ha PCAP-filer?
För den som vill djupdyka i nätverkstrafik kring OT-system är trafikdumpar i form av pcap-filer värda sin vikt i guld! (De väger förvisso inte så mycket...) Mike Holcomb listar ett gäng platser där man kan hitta dem. Bland dem finns även Erik Hjelmviks samling på NETRESECs sida.
Se upp med pålitliga applikationer!
Det finns många sätt för angripare att ge sig på våra system. Ett av alla dessa beskrivs i en kort artikel där en legitim installation av Siemens Software Center används för att köra angriparens kod. Ytterligare information finns i en artikel från Siemens som tyvärr inte ger så användbara IOC:er, ip-adresser, domännamn och filhashar är lite för enkelt att ändra.
Vem är Mats?
Jag är till vardags konsult och säkerhetsrådgivare kring OT på Sectra. Det här nyhetsbrevet ger jag ut helt privat baserat på mitt intresse för området och utifrån att det verkar matcha ett behov av information kring OT-säkerhet på svenska.
Innan jag blev konsult för några år sedan spenderade jag det mesta av mitt arbetsliv inom kärnkraftsbranschen. Det är härifrån som jag har fått mitt intresse för OT-säkerhet, fysiskt skydd, human performance och säkerhetsskydd.
Jag har ett grundmurat intresse för alla former av säkerhetsfrågor och kanske i synnerhet när det knyter samman kul teknik med utmanande frågor runt hur vi människor hanterar tekniken. På senare år är det nästan uteslutande OT-säkerhet och till viss del säkerhetsskydd som jag arbetat med. Båda två år områden där det är väldigt viktigt att hantera tekniska och mänskliga utmaningar tillsammans.
Jag är alltid väldigt tacksam för alla former av kontakt eller återkoppling från dig som läser detta. Det är intresset från mina läsare som gör det roligt och meningsfullt att hålla liv i nyhetsbrevet. Hör gärna av dig till mats@ot-sakerhet.se !
Det här nyhetsbrevet vänder sig till personer som är intresserade av säkerhet inom OT. Det produceras av Mats Karlsson Landré och får spridas vidare fritt.
Tanken är att det ska innehålla tips om intressanta resurser kombinerat med mina egna tankar om aktuella händelser. Återkoppla gärna med egna idéer eller funderingar till mats@ot-sakerhet.se! Förslag till ämnen eller innehåll tas förstås emot med tacksamhet!
Om du önskar få nyhetsbrevet direkt till din inkorg i fortsättningen kan du gärna kontakta mig på mats@ot-sakerhet.se. Jag lovar att din mejladress inte används till något annat än detta!
Du hittar tidigare nyhetsbrev på ot-säkerhet.se.
