IKT- sikkerhet og HMS i fremtiden hvordan håndtere sikkerhet og usikkerhet?

IKT- sikkerhet og HMS i fremtiden hvordan håndtere sikkerhet og usikkerhet? Torleif Husebø Petroleumstilsynet Tor Onshus NTNU 1

Innhold Integrerte operasjoner Perspektivet IKT sikkerhet Hvordan ta høyde for det usannsynlige HMS i et IO perspektiv Hvordan kan IO bidra til å bedre HMS 2

Integrerte operasjoner mer bruk av informasjonsteknologi endrede arbeidsprosesser Bedre ressursutnyttelse og HMS Bilder: The Economist og Baker 3

Integrerte operasjoner - det scenariske perspektivet (olf) Potensial Integrasjon mellom land og hav Integrasjon mellom selskaper Generasjon 2 Integrering mellom operatørenes og tjenesteleverandørenes kompetansesentra Sterkt automatiserte prosesser Døgn- og ukekontinuerlige operasjoner (24/7) Begrenset integrasjon Generasjon 1 Integrering mellom sentra offshore og på land Kontinuerlig støtte fra land Tradisjonelle prosesser Frittstående felt Spesialiserte enheter på land Periodisk støtte fra land 2005 2010 2015 Tidshorisont 4

Reguleringen Petroleumsloven - 10-1 om forsvarlig virksomhet RF 8 Forsvarlig petroleumsvirksomhet RF 9 Prinsipper for risikoreduksjon Styringsforskriften Styring av risiko Styringselementer Ressurser og prosesser.. Innretnings- og aktivitetsforskriften Tekniske systemkrav Operasjonelle krav 5

IKT sikkerhet Bilde: CNN

Lover og forskrifter IR 31-33: SIS Systemet skal kunne utføre tiltenkte funksjoner uavhengig av andre systemer IR 32: NAS Fra det sentrale kontrollrommet skal det være mulig å manuelt aktivisere funksjoner som bringer innretningen til en sikker tilstand ved svikt i de programmerbare delene av systemet. 7

8 Digital Infrastruktur sokkelen - oversikt Stavanger Ula Ekofisk Valhall Bergen Troll Draupner Sleipner Gullfaks Oseberg Veslefrikk Huldra Snorre Visund Kvitebjørn Statfjord Brage Kollsnes Kårstø Heimdal Everest Forties Aberdeen Grane East of Shetland West of Sleipner Heimd FCC FCC NSC NSC Aberdeen 6340 6320 6320 6320 6320 6320 6320 6320 6340 6310 6340 Kilde: OLF

Ende til ende kompleksitet Statoil-opererte fiberkabel stamnett på norsk sokkel Harstad Skarv Norne A Rig Owner LAN Radio Link (OilCompany, TampNet++) Snorre Sleipner Åsgard Kristin (2005) Kvitebjørn Gullfaks + Statfjord og Visund Heidrun Troll + Veslefrikk/ Huldra Oseberg Heimdal Grane Draupner Stjørdal Trondheim Tjeldbergodden Kollsnes Stavanger Ekofisk, Ula, Valhall Status: Draft England 1 Bergen Kårstø Oslo Internet(Song,Telenor,BKK,Catch++) SOIL Extranet (Song, Telenor,BKK,BaneTele,Catch++) Oil Company LAN/fiber (Tampnett,Telenor,BaneTele,NSC,WestNet,Telia Sonera++) Service Company Service Company WAN/LAN B Opp til 7-8 aktører involvert I kjeden fra A til B Alt utstyr, inkludert linjer må overvåkes 24/7/365 Systemet må ha tilstrekkelig security, pålitelighet og regularitet Kilde:OilCamp 9

Jo mer detaljer jo mer komplisert? CISCO Virtual LAN PCS CISCO Virtual LAN 10

Teknisk nett, historisk tilfeldighet og kaos? S@W Teknisk system i kontornett. Bypass av brannvegg. Alle ser alle i et flatt teknisk nett, uavhengig av funksjon og kritikalitet. 11

Nettverket bryter sammen 20. juni 2006 Katastrofealarm Ett døgn uten IKT-støtte i nytt papirløst sykehus Én uke uten trådløs IP-telefoni Én uke med skjerpet beredskap Stort kommunikasjonsbehov Internt Eksternt 12

Dette skjer vel ikke hos oss? Plattform nede på grunn av nettverkstilkobling Laget for bare å lese.. Stengte ned plattform fra land Valgte feil nettnummer HMS relaterte? Ikke noen som er rapportert som IKT problem Er IKT hendelser bedriftshemmeligheter? 13

Er løsningene robuste mhp? Det vi ikke har tenkt på Klarer vi å holde oversikten Uønsket nettrafikk Tekniske grensesnitt og integrasjon Har vi en plan B? Hva er egentlig risikoen? Er vi enige om det? 14

Hvilke gap ser vi? Hva gjør vi? Forskjellige miljøer og kulturer Kunnskap Samarbeide Sikkerhet Produksjon 15

Standarder og Retningslinjer OLF-104: Information Security Baseline Requirements for production, Safety, and Support ICT Systems ISBR har16 krav til PCSS/ICT Mest på administrative tiltak Åpen på tekniske tiltak SeSa: Secure safety (PDS-Forum) Tekniske tiltak NISCC: National Infrastructure Security Co-ordination Centre Good Practice Guide - Process Control and SCADA Security USA: Roadmap to Secure Control Systems in the Energy Sector 16

Process network OPC Client DMZ WinXP OPC server OS OS HS status server Control room Access approval SAS network (duplicated) Work permit PS ESD VxWorks PCS All trenger ikke tilgang til alt SIS 17

HMS i et IO perspektiv

HMS i et IO perspektiv Petroleumsvirksomheten i Norge skal være verdensledende på HMS Også innføringen av integrerte operasjoner må sees i et HMS perspektiv hvordan skal HMS best forbedres gjennom integrerte operasjoner? Noen utfordringer Implementeringen av IO går raskt Store endringer i arbeidsprosesser raskt Verden blir mindre kulturelle forskjeller Hvordan ta tilstrekkelig høyde for det usannsynlige? 19

Sosio-tekniske system endringer hvordan møter myndighetene utfordringen? System endringer næringen Globalisering og IKT: Outsourcing Samarbeid I sann tid Integrasjon av informasjon I sann tid Kompetanse Kompetanse Arbeidsprosesser Oppfølging ytelse og kultur Organisatoriske/ tekn. løsninger Tilsyn og veiledning System endringer myndigheter Implementering av teknologi Strategier for samarbeid Utvikling av arbeidsprosesser 20

Hvorfor vurderer Ptil integrerte operasjoner som en sosio-teknisk endring Innebærer store endringer i organisasjon, teknologi og hvordan mennesker som ressurs benyttes større fokus på MTO begrepet Frekvente, raske og parallelle endringer av arbeidsprosessene både på land og på sokkelen Utløser et potensial for spesifikke risikoreduserende tiltak (HMS nivå) Mange usikkerheter relatert til hvordan IO vil påvirke HMS nivået Roller og ansvar Arbeidsprosesser - HMS styringssystemer Kultur Kompetanse 21

HMS relaterte utfordringer: Styre endringen Endre styringen Kontrollere HMS konsekvensene: Klare og konsistente mål for endringsprosessene inkludert ny teknologi IO mål HMS mål HMS nivå Forbedre HMS styringen: Benytte IO prinsippene, metodene og løsninger for å forbedre HMS styringen, selskapsinternt og i samarbeid med leverandørene IO i HMS ledelse Menneske Teknologi - Organisasjon HC- lekkasjer Brønn integritet Vedlikeholds styring Personskader 22

Endre styringen ved hjelp av IO Risiko identifikasjon Risiko analyse og beslutnings grunnlag Endringsledelse Styring av informasjon Kvalitetssikring Proaktiv og effektive beslutninger Økt samhandling Økt tillit og utvikling av partnerskap Tverrfaglig Nye IKT løsninger Sanntids data Data med større verdipotensial Optimalisert aktivitetsstyring Data kontroll Målsetting og planlegging Ressurs styring - Kompetanse - Personell - Systemer Barriere kontroll Sikkerhets kritiske aktiviteter 23

HMS i et IO perspektiv Klare HMS mål må etableres på et strategisk nivå Redusere risikopåvirkende forhold Trepartssamarbeid Utnytte implementeringen av IO som et verktøy i forbedret HMS styring Sette klare mål for IKT sikkerhet og identifisere og implementere nødvendige tiltak Økt fokus på relevant FOU 24

PTILS rolle Haleheng eller Gallionsfigur? arkitekt, entusiastisk pådriver eller kritisk tilskuer Trengs det endringer i forskriftene? Kommer Ptil til å koordinere andre IKT tilsyn? Kommer OLF-104 inn i regelverket? 25

Takk for oss! Det er sannsynlig at noe usannsynlig vil skje Aristoteles, 384-322 f.kr. Aristoteles, 384-322 f.kr. 26