NSM har sett aktivitet rettet mot digital infrastruktur knyttet til vannindustri, demningsanlegg og liknende i Norge. NSM har en klar oppfordring til norske virksomheter: Ha tydelige beredskapsplaner og øv på disse.
Oppfordringen kommer frem i en pressemelding fra NSM publisert 21.05
Bakgrunnen for oppfordringen er aktivitet NSM har sett rettet mot digital infrastruktur knyttet til vannindustri, damanlegg og liknende i Norge. NSM er også kjent med tilfeller av uønsket aktivitet i det fysiske domenet.
Norsk Vann oppfordrer alle virksomheter innen vann og avløp om å være årvåkne og gå gjennom egen digital sikkerhet. Merk at det skal være lav terskel for å varsle NSM om uønskede cybersikkerhetshendelser, sier Kjetil Furuberg, avdelingsleder Vanntjenester i Norsk Vann.
Anbefalinger fra NSM
NSM har i sin informasjon pekt på tiltak som må innføres hvis de ikke allerede er implementert.
NSM oppfordrer norske virksomheter til å sjekke at tiltakene under er innført i egen virksomhet. Innfør tiltak som ikke allerede er på plass.
- Det bør etableres god logging i digital infrastruktur knyttet til industrielle kontrollsystemer og OT.
- Komponenter av OT- eller industrielle kontrollsystemer bør ikke ha direkte fjerntilgang over internett. OT- og IT-nettverk bør segmenteres.
- Digitale flater som er eksponert mot internett bør ha oppdatert programvare, fastvare og maskinvare. Unødvendig funksjonalitet skal være avskrudd. Geoblokking bør brukes der dette er mulig.
- Det bør påkreves strenge autentiseringskrav og aksesskontroll med bruk av phishingresistent flerfaktor som for eksempel FIDO2 og/eller biometri.
- Virksomheter bør etablere og øve på planer for hendelseshåndtering for å redusere negative konsekvenser.
- Virksomheter som forvalter infrastruktur med industrielle kontrollsystemer og OT bør etablere en plan for å opprettholde tilstrekkelig kompetanse innen fagfeltet industriell cybersikkerhet.
- Slike virksomheter bør ha kjennskap til standarder som NEK 820:2021 «Cybersikkerhet for industrielle automatiserings- og kontrollsystemer» og/eller NIST SP 800-82 rev. 3 «Guide to operational technology (OT) security».
- Norske virksomheter innen olje-, gass-, og vannforsyning som forvalter verdier som er skjermingsverdig etter sikkerhetsloven må oppdatere risikovurderingen sin, og iverksette nødvendige tiltak for å møte risikoen.
- Virksomheter skal ha lav terskel for å varsle NSM eller sektorvise responsmiljøer om uønskede cyberhendelser
Veiledninger på området
Norsk Vann rapporter med sjekklister for sikkerhet i OT-systemer;
- Norsk Vann Rapport (2013) «Veiledning for sikkerhet av driftskontrollsystemer for VA-systemer»
- ROS og beredskap på norskvann.no; her kan du laste ned informasjon og veiledninger for blant annet ROS-analyser
- SINTEF rapport (2015) utarbeidet for Norsk Vann. Sjekkliste finnes i Vedlegg 1.
- NSM grunnprinsipper for IKT—sikkerhet;
https://nsm.no/regelverk-og-hjelp/rad-og-anbefalinger/grunnprinsipper-for-ikt-sikkerhet/ta-i-bruk-grunnprinsippene/ - NSM risikovurdering av IKT-systemer
https://nsm.no/getfile.php/136603-1718717207/NSM/Filer/Bildegalleri/Bilder%20til%20grunnprinsipper/Risikovurdering%20av%20IKT-systemer.pdf - Dansk kortveiledning for OT-systemer
https://www.cfcs.dk/globalassets/cfcs/dokumenter/vejledninger/cfcs-beskyttelse-af-ot.pdf
Bistand fra CERTene
Digital sikkerhet – fremmede stater kartlegger vår kritiske infrastruktur og leter etter sårbarheter
Årets trusselvurderinger fra EOS-tjenestene er lagt fram. De slår fast at Russland, Kina, Iran og Nord-Korea gjennomfører cyberangrep mot norsk virksomheter. Fremmede stater kartlegger vår kritiske infrastruktur, identifiserer sårbarheter og driver informasjonsinnhenting. Informasjonen de innhenter kan blant annet utnyttes til digital sabotasjeaktivitet.
Trusselbildet er kartlagt, og vi må sette søkelys på hvilke tiltak som må gjøres for å redusere risiko. NSM er krystallklare; vi må ta sikkerhet og beredskap på alvor og vi må sikre våre verdier bedre enn hva vi gjør i dag og vi må redusere sårbarheter.
For informasjon se: https://www.infracert.no/ eller ta kontakt på info@infracert.no
For mer informasjon se: https://www.nhn.no/helsecert/ eller ta kontakt på post@helsecert.no
