Håkon Olsen Overingeniør Lloyd s Register Consulting

Transkript

1 Håkon Olsen Overingeniør Lloyd s Register Consulting Hvordan skal jeg forholde meg til trusler fra cyberspace? Working together for a safer world

2 Cybersikkerhet blåser det opp til storm?

3 Cybersikkerhet blåser det opp til storm? Sikkerhet som del av risikobildet for kontrollsystemer Risikokontekst for vindkraft Krav fra myndighetene Å forberede seg på det verste Et blikk i verktøykassen

4 Risikobildet: hvor passer cybersikkerhet inn? Vær Trusler fra cyberspace er villede handlinger Sannsynlighet ikke dekoblet fra konsekvens Cyberspace Risikofaktorer Utstyrsfeil Trusselen er økende NSM 2013: 51 alvorlige hendelser NSM 2014: 83 alvorlige hendelser Brann Menneskelige faktorer Bedriftene har ofte lavere kunnskap og manglende systemer, beredskap, etc.

5 Sikkerhet i kontrollsystemer Hackerangrep kan ha fysiske konsekvenser IT-systemene ofte dårlig sikret Andre begrensninger enn «vanlig IT» Tregere patch-syklus = større krav til andre sikringselementer Confindentiality Integrity Availability

6 Risikokontekst Hvem angriper oss? Hvorfor angriper de oss? Hva gjør oss attraktive for et angrep? Hvem rammer et angrep på oss? Hva er våre mest verdifulle ressurser? Hvordan påvirkes vi av politikk, økonomi og aktivistscene?

7 Et scenario angrep via leverandør med ekstern tilkobling Leverandør har hatt tilgang over VPN siden 2005 What could possibly go wrong? Kobler jevnlig opp for å hente ut driftsdata til bruk i egen virksomhet, uten avtale med eier John McAfee i sitt rette element

8 Leverandøren som angrepsflate Du har ikke kontroll over IT-sikkerheten hos leverandøren Spearfishing vanligste form for social engineering Leverandører er ofte veien inn til systemet

9 Hva kan trusselaktøren utrette på ditt kontrollnettverk? NSM: Risiko 2015

10 Hva krever myndighetene? Beredskapsforskriften Kapittel angår sikring, og har bestemmelser som ditt kontrollsystem må oppfylle I praksis: integrere cybersikkerhet i risikostyringsprosess Forstå kontekst Identifiserer og evaluere risiko Planlegge tiltak og beredskap Overvåke og oppdatere Kritikalitet Sensitiv info? Klasse 1,2,3? Risikoanalyse Angrepsflate Scenarier Troverdighet og konsekvens Sikring og beredskap Sikring og overvåkning Beredskapsplan Øving Deteksjon er ideelt respons er en nødvendighet

11 Eksempel på viktige krav Strengere krav for mer kritisk utstyr med større samfunnsmessig betydning Jo større vindpark jo større krav til sikkerhet i lovverk

12 Når fi er inne på teigen. Hvordan oppdager du en inntrenger? Forensic Image Hvordan minimerer du skaden? Hvordan får du inntrengeren ut av nettverket? Online med overvåkning Dokumenter prosessen Isolering Hvordan gjenoppretter du normalsituasjon? Testing Oppretting Hvem involverer du underveis? Pacthing, tetting av hull

13 Skal du klare å håndtere en alvorlig hendelse, må du øve, øve, øve!

14 Et blikk i verktøykassen Sikkerhetsrevisjoner Penetrasjonstesting Responsøvelser Beredskap og trening Sikkerhetskultur CYSERA Trusselvurderinger Logging og analyse Segregering Applikasjonslisting Risikoanalyse Sikkerhet Tekniske løsninger Adgangskontroll Beredskapsplanverk Revisjoner Sikkerhetstrening Organisatorisk motstandsdyktighet Kontinuerlig forbedring

15 Vil du vite mer? Ta gjerne kontakt med meg eller en av mine kolleger direkte! Håkon Olsen Trondheim T E hakon.olsen@lr.org Lloyd s Register Consulting Working together for a safer world Lloyd s Register and variants of it are trading names of Lloyd s Register Group Limited, its subsidiaries and affiliates. Copyright Lloyd s Register Consulting A member of the Lloyd s Register group.