Egen OT-plattform gör Vamas NIS-kompatibelt

Vatten & Avfall i Malung-Sälen AB, även kallat Vamas, omfattades initialt inte av NIS-direktivet.

2019 bjöd Vamas in Livsmedelsverket till ett förebyggande tillsynsbesök för att ta del av information, arbetssätt och framför allt för att kunna jobba proaktivt med att få information och arbeta med informationssäkerhet och teknik framledes.

Konstruktivt tillsynsbesök

Detta för att man stod inför eventuella övertag av relativt stora vattenverk, vilket förmodligen skulle medföra att man klev över tröskelvärdena för NIS-direktivet och därmed omfattas av lagstiftningen.

– Upplevelsen av tillsynsbesöket var väldigt konstruktivt, så när den påföljande rapporten väl kom in var det inga större överraskningar, men likväl en hel del åtgärder som behövdes ses över, på flera fronter.

– Den tekniska plattformen för driftövervakningen nådde inte upp till den kravbild som ställs på säkerhet, loggning och redundans, säger Eric Karlsson, IT-ansvarig på Vamas.

Ny OT-plattform

Kopplat till det drog Vamas igång två parallella projekt där man skulle ta fram en OT-plattform, innehållandes ett nytt datacenter, styrsystem och OT-nät. Sedan skulle man tekniskt migrera anläggningarna dit och då installera ett nytt driftövervakningssystem i form av Guard Automation.

Hur kom ni fram till att egna lösningar var det bästa alternativet?

– Att bygga en egen on-premises OT-lösning är en väl beprövad modell inom industrin och utility-sektorn. Detta möjliggör såväl ö-drift, alltså geografiskt begränsad elproduktion i så kallade mikronät, och ökade säkerhetskrav och med tanke på hur diskussioner och tolkningar gått gällande molnet, föll sig valet ganska naturligt.

Säkerhetsarbete kvarstår

Projektet har pågått i drygt ett år och Vamas börjar närma sig en mjuk driftsättning av det nya datacentret, styrsystemet och OT-nätet i sin helhet. Men nu börjar ett minst lika stort, om inte större, arbete enligt Eric Karlsson.

– Den nya OT-plattformen ger oss betydligt bättre tekniska förutsättningar, både för att bli ”NIS-compliant” och för tekniska effektiviseringar och säkerhet i allmänhet.

– Men sedan finns även alla mjuka värden och mycket informationssäkerhetsarbete kvar att göra. NIS handlar som sagt inte bara om teknik utan även om hur saker och ting hanteras.