Sådan tackler vandselskaber cybertruslen
Der er flere måder at sikre sig mod den voksende cybertrussel på. Typisk har større selskaber med egen IT-afdeling bedre mulighed for at sikre sig selv på basis af egne kompetencer og opgradere, hvor det er nødvendigt. Andre selskaber er ikke store nok til at magte opgaven selv og køber løsninger eksternt eller søger ind i samarbejder med lignende selskaber.
Jesper WithAarhus Vands indsats omkring cybersikkerhed er kun gået én vej: opad. Det gælder interne ressourcer i form af tid, udgifter og viden (specialkompetencer), og det gælder indkøb af specialløsninger hos leverandører.
Selskabets IT-afdeling har ansatte med de nødvendige kompetencer til at stå for de fleste opgaver. Men dertil har man outsourcet varetagelsen af specialsystemer til specialister, der er klar til at handle, hvis der konstateres en risiko.
”Vi forsøger at sikre os bedst muligt ved at have mange lag af sikkerhed, så det bliver så svært som muligt at trænge igennem til følsomme områder,” siger Keld Nygaard, der er CISO (chief information security officer) i Aarhus Vand.
Men hvordan sørger Aarhus Vand for at være helt opdateret i forhold til de seneste trusler og risikovurderinger?
”Vi skal hele tiden være på vagt og forbedre os, hvor det er muligt. Mange tiltag foretager vi selv, andre får vi eksterne leverandører, som vi stoler på, til at stå for. For skal man gøre alt selv, kræver det VIRKELIG store muskler. Tilvæksten af nye trusler er så massiv og foranderlig, at vi er nødt til at arbejde sammen med mange forskellige samarbejdspartnere, både for at forstå det trusselsbillede, der er relevant for os, men også for at lave den rigtige beskyttelse. Tror man på, at det er nok at holde systemerne opdateret og beskytte sig med antivirus, så bliver man sandsynligvis straffet på et tidspunkt.” siger Keld Nygaard.
"Opdager vi fx en sårbarhed i en løsning, vi bruger, er det nogle gange timer, det handler om."
Keld Nygaard, CISO i Aarhus VandEt samlet trusselsbillede
Center for Cybersikkerheds (CFCS) rapport om trusselsniveauet mod vandsektoren fik mange op af stolen.
Hos Aarhus Vand var der dog ikke meget nyt i den, fordi selskabet længe har forholdt til sig til den første generelle trusselsrapport fra CFCS, der gjaldt for alle sektorer indenfor kritisk infrastruktur.
”I rapporten for vandsektoren ligger vi på et enkelt sikkerhedsområde lidt lavere, end hvad vi vidste i forvejen. Jeg synes bestemt rapporten er vigtig, men den ændrer ikke trusselsbilledet for os. Vi har længe brugt den første rapport som grundlag. Samtidig bruger vi en række andre kilder til at skabe vores trusselsbillede. Vi bruger både Open Source kilder og nogle mere specifikke - bl.a. den fra SektorCERT. Andre vurderinger har vi bestilt via faste samarbejder med leverandører,” siger Keld Nygaard.
Nogle trusler ændrer sig langsomt og stabilt over tid og de kalder på længerevarende initiativer. Men der kan også være nogen, som man skal handle på pludseligt.
”Opdager vi fx en sårbarhed i en løsning, vi bruger, er det nogle gange timer, det handler om. Det har vi så en procedure for i IT-afdelingen. Det betyder, at man straks stopper det, man er i gang med og forholder sig til truslen,” siger Keld Nygaard.
Han glæder sig over, at NIS2 nu skal implementeres, da det på europæisk plan vil skubbe tingene i den rigtige retning. Det indebærer bl.a. en koordineret deling af viden på sektorniveau, så man kan lære af hinandens erfaringer.
”Der er selvfølgelig en del arbejde i det, og der er bestemte måder, vi skal gøre tingene på, som kræver ændringer af alle. Men de ting, vi skal arbejde med, er sund fornuft. NIS2 vil gøre sektoren stærkere og dermed bliver vi mindre interessant for hackere. NIS2 er for IT-sikkerhed, hvad GDPR har været for sikring af persondata. Det er et stort fremskridt,” siger Keld Nygaard.
SamAqua-samarbejde skal styrke sikkerheden
Som mindre forsyningsselskab ser Assens Forsyning det som en vanskelig opgave at skulle tackle de voksende sikkerhedstrusler selv. Det kræver både tid, penge og kompetencer, som man ikke selv har. Flere selskaber køber ekstern hjælp hos private aktører – en mulighed man også har overvejet i Assens.
Men selskabet er endt med at lægge opgaverne omkring IT og OT-sikkerhed over i SamAqua-samarbejdet – et fællesskab bestående af selskaber på Fyn og i Sydjylland, der har de nødvendige kompetencer til at sikre selskaberne mod cybertrusler.
Selskaberne er primært små og mellemstore – med undtagelse af VandCenter Syd, der er klart størst og som dermed sørger for at give samarbejdet større muskler.
”Vi var i forvejen med i SamAqua-fællesskabet men kørte selv IT- og OT-driften ved hjælp af eksterne konsulenter. Vi har længe mærket den stigende kompleksitet, og implementeringen af NIS2 ville betyde endnu større krav og kompleksitet. Derfor var det oplagt for os at indtræde i SamAquas IT-fællesskab, som stod med kompetent hjælp til at stå for sikkerheden omkring servere, support og 24/7 overvågning. Opgaverne er så komplekse - også på driftsansvar - at vi bliver mere robuste på den måde,” siger direktør i Assens Forsyning, Henrik Boesen.
Han forklarer, at SamAquas specialister overvåger, som om det var en intern vagt, der holdt øje med alle overvågningssystemer. Assens Forsyning er for lille til at magte så stor en opgave. Eller man ville skulle bruge så store ressourcer, at kerneopgaverne måtte skubbes til side. Desuden vil det være en udfordring at fastholde specialister.
Vi bliver mere robuste
Med NIS2 bliver der lagt et større ansvar på ledelsens og bestyrelsens skuldre. Man skal stå til regnskab for sikkerheden på en måde, så det kan ende med bødestraf, hvis man ikke lever op til sit ansvar.
”Ansvaret er fortsat vores, selvom IT-sikkerheden varetages af folk udenfor vores matrikel. Men da vi er medejer af SamAqua, er der ikke tale om, at vi har uddelegeret opgaven. Og vi er selvfølgelig meget opmærksomme på, at der ikke opbygges et bureaukrati mellem os og IT-funktionerne, så IT-sikkerhed bliver kerneopgaven. Vi skal også fortsat selv være vågne i forhold til fx forsøg på phishing, ligesom awareness-arbejdet ikke stopper, bare fordi driften konstant er sikkerhedsmæssigt opdateret,” siger Henrik Boesen.
Kravene vil ikke blive mindre med tiden, og der kommer formentlig også en NIS3, vurderer han. Samarbejdet i SamAqua har derfor givet ham mere ro i maven. Men han er klar over, at man aldrig kan være helt sikker på, at hackere ikke finder vej ind i selskabets systemer. Måske har de allerede været der?
