Håkon Olsen Overingeniør Lloyd s Register Consulting Hvordan skal jeg forholde meg til trusler fra cyberspace? Working together for a safer world
Cybersikkerhet blåser det opp til storm?
Cybersikkerhet blåser det opp til storm? Sikkerhet som del av risikobildet for kontrollsystemer Risikokontekst for vindkraft Krav fra myndighetene Å forberede seg på det verste Et blikk i verktøykassen
Risikobildet: hvor passer cybersikkerhet inn? Vær Trusler fra cyberspace er villede handlinger Sannsynlighet ikke dekoblet fra konsekvens Cyberspace Risikofaktorer Utstyrsfeil Trusselen er økende NSM 2013: 51 alvorlige hendelser NSM 2014: 83 alvorlige hendelser Brann Menneskelige faktorer Bedriftene har ofte lavere kunnskap og manglende systemer, beredskap, etc.
Sikkerhet i kontrollsystemer Hackerangrep kan ha fysiske konsekvenser IT-systemene ofte dårlig sikret Andre begrensninger enn «vanlig IT» Tregere patch-syklus = større krav til andre sikringselementer Confindentiality Integrity Availability
Risikokontekst Hvem angriper oss? Hvorfor angriper de oss? Hva gjør oss attraktive for et angrep? Hvem rammer et angrep på oss? Hva er våre mest verdifulle ressurser? Hvordan påvirkes vi av politikk, økonomi og aktivistscene?
Et scenario angrep via leverandør med ekstern tilkobling Leverandør har hatt tilgang over VPN siden 2005 What could possibly go wrong? Kobler jevnlig opp for å hente ut driftsdata til bruk i egen virksomhet, uten avtale med eier John McAfee i sitt rette element
Leverandøren som angrepsflate Du har ikke kontroll over IT-sikkerheten hos leverandøren Spearfishing vanligste form for social engineering Leverandører er ofte veien inn til systemet
Hva kan trusselaktøren utrette på ditt kontrollnettverk? NSM: Risiko 2015
Hva krever myndighetene? Beredskapsforskriften Kapittel 2 + 6 + 7 angår sikring, og har bestemmelser som ditt kontrollsystem må oppfylle I praksis: integrere cybersikkerhet i risikostyringsprosess Forstå kontekst Identifiserer og evaluere risiko Planlegge tiltak og beredskap Overvåke og oppdatere Kritikalitet Sensitiv info? Klasse 1,2,3? Risikoanalyse Angrepsflate Scenarier Troverdighet og konsekvens Sikring og beredskap Sikring og overvåkning Beredskapsplan Øving Deteksjon er ideelt respons er en nødvendighet
Eksempel på viktige krav Strengere krav for mer kritisk utstyr med større samfunnsmessig betydning Jo større vindpark jo større krav til sikkerhet i lovverk
Når fi er inne på teigen. Hvordan oppdager du en inntrenger? Forensic Image Hvordan minimerer du skaden? Hvordan får du inntrengeren ut av nettverket? Online med overvåkning Dokumenter prosessen Isolering Hvordan gjenoppretter du normalsituasjon? Testing Oppretting Hvem involverer du underveis? Pacthing, tetting av hull
Skal du klare å håndtere en alvorlig hendelse, må du øve, øve, øve!
Et blikk i verktøykassen Sikkerhetsrevisjoner Penetrasjonstesting Responsøvelser Beredskap og trening Sikkerhetskultur CYSERA Trusselvurderinger Logging og analyse Segregering Applikasjonslisting Risikoanalyse Sikkerhet Tekniske løsninger Adgangskontroll Beredskapsplanverk Revisjoner Sikkerhetstrening Organisatorisk motstandsdyktighet Kontinuerlig forbedring
Vil du vite mer? Ta gjerne kontakt med meg eller en av mine kolleger direkte! Håkon Olsen Trondheim T +47 942 79 049 E hakon.olsen@lr.org Lloyd s Register Consulting www.lr.org/consulting Working together for a safer world Lloyd s Register and variants of it are trading names of Lloyd s Register Group Limited, its subsidiaries and affiliates. Copyright Lloyd s Register Consulting. 2014. A member of the Lloyd s Register group.