Vannbransjen forvalter kritisk infrastruktur. Ivaretagelse av datasikkerheten er svært viktig for å sikre gode og stabile tjenester. Nedenfor er det samlet materiell som kan være nyttig i dette arbeidet.

Digitaliseringen av vannbransjen har ledet til mer effektivitet, men samtidig har digitaliseringen introdusert nye digitale trusler som må håndteres. For vann- og avløpsvirksomheter er beskyttelsen av selve infrastrukturen viktig, men i økende grad også informasjonen om abonnentene og deres personlige data.

Det er viktig å være oppmerksom på at IKT-sikkerhet innen vannbransjen er svært tett knyttet til sikkerheten i de kommunale IKT-systemene. Erfaringene fra løsepengevirus-angrepet på Østre Toten kommune viste dette i all tydelighet. Samtidig er vann og avløp kritisk infrastruktur som skal driftes kontinuerlig med svært høy grad av driftssikkerhet. Slike driftskontrollsystemer krever en annen tilnærming og forståelse enn administrative datasystemer. Dialog omkring ansvar, grensesnitt og forståelsen for driftskontrollsystemer og krav til sikkerhet i disse, må være god mellom de ulike avdelingene i kommunen.

Råd og anbefalinger innen digital sikkerhet er ferskvare. NSM, Kommune-Csirt og KraftCERT gir oppdatert informasjon og veiledning. Det anbefales å knytte seg til et miljø som raskt kan varsle om nye trusler, sårbarheter og hendelser som er relevant for vannbransjen. Sjekk med din IKT-avdeling om dette er ivaretatt.

I arbeidet med digital sikkerhet er det også viktig å ikke glemme fysisk sikring. Adgangskontroll og å hindre uønsket tilgang til bygninger og annen infrastruktur er viktige elementer i en helhetlig sikring.

Kompetanse hos medarbeiderne på egen adferd og trusler i en digital arbeidshverdag er også svært viktig. Hvilke lenker kan jeg ikke trykke på? Sikkerhetskultur med kontinuerlig fokus på kunnskap og holdninger er et viktig stikkord.

Hvor skal jeg starte?

Gå gjennom anbefalinger fra NSM og følg opp NSMs grunnprinsipper. 
Norsk Vanns rapport 238 «Informasjonssikkerhet og skybaserte tjenester for vannbransjen» har tatt utgangspunkt i de samme prinsippene. Rapporten gir en oversikt over nasjonale føringer og eksempler på digitale trusler som er relevante for vannbransjen. Som rammeverk for å analysere informasjonssikkerheten tar rapporten utgangspunkt i et rammeverk utviklet av NSM. Dette inkluderer også et system for verdivurdering av vann- og avløpsinformasjonen. Bruk av skytjenester har stort fokus i Norge, og rapporten inneholder en egen sjekkliste som kan brukes av vann- og avløpsvirksomheter som ønsker å bruke skytjenester i forbindelse med drift av sin infrastruktur.

Ferske anbefalinger fra NSM

NSM ønsker at det varsles om sikkerhetstruende hendelser, les mer her.
NSM har også utarbeidet en sjekkliste over prioriterte tiltak virksomheter bør iverksette i en skjerpet sikkerhetssituasjon.
De ugraderte risikorapportene fra NSM anbefales å lese. Disse oppdateres årlig. Aktuelle rapporter er Risiko 2022 og Nasjonalt Digitalt Risikobilde 2021.

Veiledningsmateriale fra Norsk Vann

Norsk Vann har arbeidet systematisk med veiledningsmateriell knyttet til fysisk sikring, sikkerhetskultur og datasikkerhet. Rapportene, kombinert med oppdatert informasjon fra NSM og andre ressurser, vil gi dere et godt grunnlag for helhetlig arbeid med sikkerhet:

• 195 – Sikkerhet og sårbarhet i driftskontrollsystemer for VA-anlegg
• 213 – Sikkerhetsstyring for vannbransjen
• 229 – Sikring av vannforsyning mot tilsiktede uønskede hendelser
• 238 – Informasjonssikkerhet og skybaserte tjenester for vannbransjen
• SINTEF for Norsk Vann: Eksempel på mal for risikovurdering knyttet til informasjonssikkerhet og driftskontrollsystem for vann og avløp

Andre ressurser

• NSM – Hovedsiden for digital sikkerhet

Aktuelle temasider

• Skadevare og løsepengevirus
• Sky og sikkerhet
• Kommune-CSIRT  – støtter kommuner og fylkeskommuner med relevant informasjon om trusler, hendelser og sårbarheter i det digitale domenet. CSIRT-en er et ressurssenter for praktisk rådgivning og støtte ved cyberhendelser og andre digitale utfordringer i kommunesektoren.
• KraftCERT – er sektor-cyberresponsmiljø for kraftsektoren, og ellers består målgruppen av petroleumsselskap, prosessindustri, og vann- og avløpssektoren samt energigjenvinning.