Erfaringen fra SecuriOT ApS er, at ansvaret for sikkerheden omkring OT – den operationelle teknologi, der styrer de fysiske processer – ofte er uklart placeret. Hvor IT-ansvaret typisk ligger hos en it-chef eller CISO, bliver det mere diffust, når det handler om produktionsmiljøet. Det betyder, at diskussionen om roller og prioriteringer nogle gange først for alvor tages, når hændelsen allerede har ramt.
Ifølge administrerende direktør Jørgen Hartig er det en grundlæggende misforståelse at betragte OT-sikkerhed som et rent teknisk spørgsmål.
”Det er altid ledelsen, der skal tage stilling til, hvor længe vi må stå stille. Må vi være nede i tre timer, et døgn eller en uge? Det er en forretningsbeslutning – og den skal træffes, før noget sker,” siger han.
Nedetid – ikke kun cyber – er den reelle risiko
I praksis viser arbejdet med forsyningssektoren, at direkte angreb mod OT-systemer fortsat er relativt sjældne. Ofte opstår nedbrud, fordi IT-systemer kompromitteres, og koblingen mellem IT og OT får produktionsmiljøet til at gå ned .
For en forsyning er forskellen imidlertid uden betydning. Når en SCADA-server ikke fungerer, eller forbindelsen til et centralt system afbrydes, påvirker det evnen til at levere varme, håndtere spildevand eller sikre vandforsyningen.
Derfor fylder beredskabsplaner, reservedelsstrategier og overblik over essentielle funktioner mindst lige så meget som klassiske sikkerhedstiltag. Arbejdet tager ofte udgangspunkt i konkrete trussels- og driftsscenarier: Hvad sker der, hvis en central server er utilgængelig i 24 timer? Hvad koster det – og hvad vil det koste at reducere risikoen?
Ved at koble sandsynlighed, konsekvens og investeringsbehov sammen får ledelsen et beslutningsgrundlag, der rækker ud over generelle anbefalinger.
Nye krav forstærker behovet for klarhed
Med NIS2 og øvrige compliancekrav oplever SecuriOT, at dialogen i stigende grad bliver mere konkret. Organisationer efterspørger dokumentation for roller, leverandørstyring, netværkssegmentering og monitorering af OT-miljøet .
Men regulering løser ikke i sig selv spørgsmålet om ansvar. Hvis ikke roller og prioriteringer er tydeligt forankret i ledelsen, risikerer arbejdet at blive fragmenteret mellem IT, drift og eksterne leverandører.
Samtidig udvides risikobilledet. Den digitale trussel kan ikke adskilles fra den fysiske infrastruktur. Adgangskontrol, fjernadgang og fysisk sikring indgår i stigende grad i den samlede vurdering af robusthed.
BREAKING