Genom att surfa vidare godkänner du att vi använder cookies. Jag förstår

Nominerad till
Publishingpriset 2017

En smartare it-nyhetssajt

Nominerad till
Publishingpriset 2017

Infrastruktur på liv och död

Att skydda de kritiska samhällsfunktionerna är något som hamnat lite i skymundan när det pratats om it-säkerhet, men den tiden är förbi nu. I värsta fall kan det handla om liv och död, menar Fredrik Johansson på Check Point.

Text Fredrik Adolfsson Foto Adobe Stock 9 oktober 2017 säkerhet

 Det är fortfarande vanligt att företag skyddar kontorsnätverken men har sämre koll på tillverknings- och processnäten inom kritisk infrastruktur, förklarar Fredrik Johansson, security expert team leader, Check Point. 

Med kritisk infrastruktur menas de grundläggande infrastrukturer som får dagens samhälle att fungera, vilket omfattar exempelvis el, vatten, belysning och järnväg.

 Om en attack sker i elnätsproduktionen kan man stänga av elnäten. Eller om man tar sig in i vattenreningsverken och vattenreningen kan man se till att vatten inte renas och en hel befolkning blir magsjuk. Det är kanske inte helt otroligt att krigföring framöver först kommer slå ut el och vatten istället för att springa in med soldater. Så den här typen av miljöer måste vi börja skydda på ett bättre sätt.

Fredrik Johansson, security expert team leader på Check Point.

Jul utan el

Ett exempel på när hackare kom åt kritisk infrastruktur var i västra Ukraina 2015 då 230 000 personer fick fira jul i mörkret efter att elnätet slagits ut. Ett annat exempel är när produktionsnäten i Göteborgs hamn slogs ut i somras, hamnen stod stilla i flera dagar och kostade staden ungefär 230 miljoner kronor. 

 Det skulle kunna bli ännu allvarligare än så också. Om man hackar landstingen så finns det självklart massa maskiner i sjukvården som man kommer åt, röntgenmaskiner, hjärt- och lungvårdsdatorer och så vidare. Om man slår av dem stannar sjukhusen av och personer kan i värsta fall dö, säger Fredrik Johansson. 

NIS-direktivet ska öka fokus

För att säkerhetstänket runt kritiska samhällsfunktioner ska bli bättre har också EU infört det nya NIS-direktivet som börjar gälla under 2018. Och då är ju frågan: Nu när det redan skett incidenter och att EU till och med infört ett nytt direktiv kring detta, varför är inte skyddet bättre redan nu?

 Dessa system är ofta inte designade för säkerhet, och utrustningen som sitter där är tillverkad för 20-25 år sedan. Förut var de inte uppkopplade alls men nu är de uppkopplade mot kontorsnäten – och det har skapat en ny attackyta. Det finns en stor osäkerhet i de systemen när de kopplas mot andra nät än vad som tidigare varit tänkt.

 Många företag har också helt olika team för kontorsnäten och processnäten och i den sistnämnda gruppen har inte it-säkerhet varit prioriterat alls.

Dessa system är ofta inte designade för säkerhet, och utrustningen som sitter där är tillverkad för 20-25 år sedan.

Fredrik Johansson , security expert team leader, Check Point

Vad borde företag tänka på och hur ska de skydda sig då? Enligt Fredrik Johansson borde alla först och främst fokusera på tre olika saker: segmentera, identifiera och begränsa.

 Skapa brandväggar där du kan segmentera och kontrollera vad som får kommunicera med vad inom vilka områden och vilka värden. Arbetar man med kärnkraft ska kanske inte de systemen kunna kommunicera med de traditionella kontorsnätverken. 

 Identifiera vad som är ett normalflöde i kommunikationen mellan systemen. Ha en djupgående appkontroll och se baselinen. Om det är en pump till exempel kanske inte den får ha ett högre värde än 50-100 varv per minut. Var detaljerade i den faktiska kommunikationen på den typen av system.

 Och sist men inte minst begränsa kommunikationen. System får kommunicera med varandra inom vissa områden men inte inom andra – där kanske information bara får läsas av men inte skrivas. Bara övervakningssystem får läsa vissa saker och ska man ändra något får man byta system. Då kontrollerar vi vad vi får skriva ifrån och vilka vi får läsa av ifrån. 

Rekommenderad läsning

Efter GDPR - nu kommer NIS-direktivet

1 mar 2017 säkerhet

EU:s nya NIS-direktiv innebär att alla viktiga samhällsaktörer nu måste visa upp att de kontinuerligt arbetar med säkerheten i sina it-system - allt på grund av den ökade hotbilden utifrån. 

Automatisering lyfter Umeå universitet

6 maj 2016 digit

ITS vid Umeå universitet har tillsammans med Atea skapat nya flöden för självbetjäning och automatisering med hjälp av virtuella servrar.

Ny vårdapp gör hemtjänsten säkrare

12 maj 2016 digit

I appen Viva omsorg finns all information hon behöver om de vårdtagare hon ska besöka. Sedan i höstas är vårdappen navet i Vadstena kommuns omsorgsverksamhet.

Vägvalet

17 maj 2016 digit

Smedjebackens kommun stod vid ett vägskäl. Att förnya och bygga ut sitt datacenter på egen hand var en möjlighet, om än kostsam. Valet blev att outsourca. Här är deras erfarenheter.

Så löste Flash flaskhalsen för Bilia

13 maj 2016 digit

Sensommaren 2015 blev Bilias it-system segt som sirap. Det kunde ta 30 minuter att logga in och frustrationen bland de 3 000 medarbetarna växte.

Bilias it-avdelning säljer tjänster

13 maj 2016 digit

Bilias it-verksamhet är så kompetent att den knoppats av i ett dotterbolag som ska sälja tjänster till andra bilåterförsäljare. Även om it-avdelningen utvecklar egna service- och bokningssystem, så är driftmiljön för medarbetarna viktigast.

Digital omsorg ger mer tid åt dem som behöver det

16 maj 2016 digit

Vadstena kommun har genom ett nytt digitalt verktyg lyckats kapa bort fyrtio minuters administration från personalen inom hemtjänsten varje dag. Det får både personalen och brukarna att må bättre när det finns mer tid att till exempel ta en kaffe.

Säkerhet som nummer ett

24 maj 2016 digit

Läkarna och sjuksköterskorna på Akademiska sjukhuset i Uppsala märker inte om en server går ned. Med en virtualiserad lösning kopplas automatiskt andra servrar in och tar över driften.

Därför valde riksförbundet trådlöst

24 maj 2016 digit

Bättre täckning, en ökad rörlighet samt att it-avdelningen slipper tänka på drift och support. Det är de främsta skälen till att Riksidrottsförbundet valde en trådlös och molnbaserad it-tjänst, säger Fredrik Larsson, it-chef på Riksidrottsförbundet.