DEBATT | Thomas Havdal Rydland
Hva kan vi lære av franske kjøledisker?
Natt til mandag 12. oktober ble kjølesystemene i hundrevis av franske supermarkeder tatt over. Angriperne satte kjøle- og frysediskene i avrimingsmodus, og hos enkelte butikker lå temperaturen rundt 50 grader i flere timer, uten at alarmene gikk.
Det høres nesten ut som et konstruert eksempel fra en sikkerhetsøvelse, men hendelsen førte til at mat måtte kastes, driften ble forstyrret og nå etterforskes flere rapporterte branntilløp.
Hendelsen illustrerer også noe norske virksomheter bør ta på alvor. Når stadig flere fysiske funksjoner styres digitalt, blir også utstyr vi sjelden tenker på som IT en del av angrepsflaten.
Dette betyr absolutt ikke at vi skal bli redde for alt som kobles til nettet. Det hendelsen i stedet viser er viktigheten av å få oversikt og vite hva vi kobler til, hvem som har tilgang, hvordan det vedlikeholdes, og ikke minst, hva som skjer dersom noen andre får kontroll.
Det var ikke kjøleskapet som var problemet
Det er verdt å rydde litt i hva som skjedde i Frankrike. Dette var ikke vanlige smarte kjøleskap slik vi kjenner dem hjemmefra. Angrepet rammet styringssystemer for kommersielle kjøle- og fryseanlegg i franske supermarkeder.
Systemene er nyttige da de gjør det mulig å overvåke og styre blant annet temperatur, alarmer, tidsplaner og vedlikehold. Fjernstyring gjør det enklere å drifte mange lokasjoner effektivt og oppdage feil raskt. Likevel må vi være klar over at den samme tilkoblingen skaper en vei inn til en fysisk prosess.
Det franske cybersikkerhetsbyrået ANSSI har knyttet angrepet til kjølestyringsenheter fra danske Danfoss, og har senere utvidet varselet til å gjelde utstyr fra andre leverandører også. Ifølge Danfoss var mesteparten av det rammede utstyret eldre modeller som ikke lenger får sikkerhetsoppdateringer. Franske myndigheter har påpekt at slike styringsgrensesnitt ikke bør være tilgjengelige direkte fra internett.
Det er også rapportert om branntilløp, men franske myndigheter undersøker fortsatt om det er en direkte sammenheng mellom cyberangrepet og brannene.
Nøyaktig hvordan angriperne kom seg inn, er foreløpig ikke offentlig bekreftet. Men bildet som tegnes, er ikke en avansert og ukjent sårbarhet. Det er kjent, utdatert utstyr som har vært tilgjengelig fra internett. Sårbarheter i en nyere modell var allerede offentlig kjent, og Danfoss har tidligere selv rapportert om angrep mot det samme utstyret i russiske butikker i 2022.
Det er nettopp derfor hendelsen er så lærerik.
De fysiske konsekvensene av IT-sikkerhet
Vi forbinder ofte cyberangrep med datatyveri, løsepengevirus eller systemer som blir utilgjengelige. I Frankrike førte hendelsen til en fysisk endring. Temperaturen steg. Varer ble ødelagt. Butikker måtte håndtere konsekvensene.
De samme konsekvensene kunne skjedd i andre bransjer også.
I mange virksomheter er byggautomasjon, adgangskontroll, kameraer, ventilasjon, energistyring, sensorer, lagerløsninger og produksjonsutstyr koblet til nettverk. Noe administreres av virksomheten selv. Noe driftes av leverandører. Og noe har kanskje stått der så lenge at få lenger tenker over at det er koblet til nettet.
Det er dette miljøet av tilkoblede enheter hver enkelt virksomhet må få oversikt over.
Vet du for eksempel hva som er koblet til nettverket deres?
Vet du hvem som har ansvaret for det?
Det som fungerer, blir lett glemt
En av utfordringene med denne typen teknologi er at den ofte bare fungerer.
Et kjøleanlegg, et adgangssystem eller en ventilasjonsløsning kan stå i mange år uten å få oppmerksomhet. Så lenge døren åpner seg, temperaturen er riktig og ventilasjonen går, er det liten grunn til å tenke på systemet bak.
Det er likevel greit å huske at teknologien eldes selv om funksjonen fortsatt virker. Programvare går ut av support. Sikkerhetsoppdateringer stopper. Leverandører byttes. Ansatte slutter. Passord og tilganger blir stående. Nye systemer kobles på gamle.
Den ene produktserien som ble rammet i Frankrike, gikk formelt ut av støtte allerede i 2023, og kundene var varslet. Likevel sto den fortsatt koblet til nettet. Slik ender virksomheter opp med utstyr som er viktig for driften, men som ingen lenger har et tydelig sikkerhetsansvar for.
Fem spørsmål virksomheter bør stille seg
Hendelsen i Frankrike gir oss noen ganske konkrete læringspunkter som tydeliggjør fem spørsmål enhver virksomhet bør stille seg selv i dag.
1. Vet vi hva som er koblet til?
Det er vanskelig å beskytte noe du ikke vet du har, så god sikkerhet begynner med oversikt.
Dere må selvfølgelig ha oversikt over PC-er, servere og mobiltelefoner, men også kameraer, sensorer, adgangssystemer, byggautomasjon og annet utstyr med en IP-adresse.
For hver enhet bør noen vite hva den gjør, hvem som eier den, hvilken programvare den kjører og om den fortsatt støttes. Kanskje det aller viktigste du må få oversikt over er også hvilket utstyr som kan nås direkte fra internett? Det er ofte det første en angriper leter etter, og det er noe dere kan sjekke selv.
2. Hvem kan komme inn utenfra?
Fjernadministrasjon er nyttig, og noe vi ikke bør blir skremt bort fra å bruke. Leverandører må kunne vedlikeholde systemer, rette feil og følge opp utstyr.
Det er likevel viktig å huske på at en ekstern tilgang bør behandles som en privilegert vei inn i virksomheten. Det betyr blant annet å begrense hvem som har tilgang, unngå delte kontoer, bruke sterk autentisering der det er mulig og fjerne tilganger som ikke lenger er nødvendige.
3. Hva gjør vi når utstyret blir gammelt?
Et system slutter ikke nødvendigvis å fungere den dagen produsenten slutter å støtte det. Det er nettopp derfor dette kan være vanskelig.
Virksomheter trenger en plan for hele livsløpet til teknologien de er avhengige av. Når kommer siste sikkerhetsoppdatering? Hva gjør vi etterpå? Kan systemet isoleres? Finnes det andre tiltak som reduserer risikoen? Når må det erstattes?
Dette bør være en del av sikkerhetsarbeidet allerede når teknologien kjøpes inn.
4. Hvor langt kan en angriper komme?
Vi må også tenke på hvordan nettverkene er bygget. Et kompromittert kamera, en sensor eller et styringssystem bør ikke automatisk gi tilgang til andre deler av virksomheten.
Segmentering handler om å bygge skott. Hvis én del av miljøet blir kompromittert, skal ikke angriperen uten videre kunne bevege seg videre. Det er et enkelt prinsipp, men et viktig bidrag til motstandsdyktighet.
5. Vet vi hva vi gjør hvis det skjer?
Til slutt må vi planlegge for at forebygging ikke alltid er nok.
Kan systemet kobles fra ekstern tilgang? Kan kritiske funksjoner fortsatt styres lokalt? Hvem kontakter leverandøren? Hvem tar beslutningen dersom et digitalt problem begynner å påvirke fysisk drift?
For systemer som styrer fysiske prosesser, holder det heller ikke nødvendigvis å overvåke innlogginger og datatrafikk. Uventede endringer i temperatur, energiforbruk eller driftsmodus kan også være sikkerhetssignaler.
God beredskap og motstandsdyktighet betyr ikke bare å få IT-systemene tilbake, men å legge til rette for at virksomheten kan fortsette å fungere mens hendelsen håndteres.
Vi skal ikke koble fra
Det er lett å lese en historie som denne og konkludere med at problemet er at vi kobler stadig flere ting til nettet.
Men det blir en altfor enkel forklaring.
Tilkoblede systemer gir store gevinster. De gjør driften mer effektiv, gir bedre oversikt, reduserer energibruk og gjør det mulig å oppdage feil før de får store konsekvenser.
Utfordringen er at tilkoblingen ofte går raskere enn sikkerhetsarbeidet rundt den. Ingen kan garantere at ingen kommer seg inn. Det som lar seg bygge, er virksomheter som tåler at noe skjer. Virksomheter som oppdager hendelser tidlig, begrenser skaden og kommer raskere tilbake til normal drift.
Det er dette som ligger i motstandsdyktighet.
Noen ganger skal det bare en kjøledisk på 50 grader til for å minne oss på hvorfor det er viktig.
