DEBATT | Stein Ove Røv
Dronetrusselen er også digital
Et vannverk kan være fullt av sensorer, trådløse nettverk og digitale styringssystemer. En tunnel kan overvåkes og styres digitalt. En havn kan være avhengig av kameraer, sensorer og trådløs kommunikasjon.
Men hvem følger med på dronen som flyr over området?
Det viser en utfordring vi ikke er godt nok rigget for: Det fysiske og digitale domenet smelter sammen. Problemet er ikke bare mangel på teknologi. Vi organiserer fortsatt sikkerheten etter skiller som trusselaktøren for lengst har sluttet å bry seg om.
Vi har brukt mange år på å bygge digital sikkerhet. Vi overvåker nettverkstrafikken og leter etter tegn på kartlegging og angrep. Ser vi systematisk kartlegging av kritiske digitale systemer, reagerer vi. Men en drone kan gjøre mye av den samme kartleggingen i den fysiske verden. Den kan observere bygninger, innganger, kameraer og tekniske installasjoner. Med egnet utstyr kan den også registrere trådløse signaler og kartlegge wifi-nettverk, IoT-sensorer og andre radiosystemer.
En drone trenger ikke krysse gjerdet eller koble seg til nettverket for å kartlegge.
Angrepsflaten stopper ikke ved gjerdet
I cybersikkerhet snakker vi mye om angrepsflaten. Men hvor stopper den for et vannverk, en havn, en tunnel, et jernbaneanlegg eller et datasenter? Ikke ved gjerdet.
Luftrommet, sjøen, undervannsmiljøet og det elektromagnetiske miljøet må også inn i sikkerhetsbildet. Ubemannede farkoster kan observere og kartlegge infrastruktur både over og under vann. Det betyr ikke at enhver drone er en trussel. Vi betrakter heller ikke enhver nettverkspakke som et angrep. Poenget er å kjenne normalen og reagere når noe avviker.
Systemene som beskytter fysisk infrastruktur, er også blitt digitale. Adgangskontroll, alarmer, sensorer og kameraer er avhengige av nettverk, radio, programvare og skytjenester. Da blir også leverandørkjeden en del av sikkerhetsbildet. Hvem har produsert teknologien, hvor behandles dataene, og hvilken jurisdiksjon er leverandøren underlagt?
Teknologien som skal beskytte infrastrukturen, kan bli en del av angrepsflaten. Trådløs teknologi er også en del av driften. IoT-sensorer og industrielle nettverk inngår i styrings- og kontrollsystemer.
Med riktig utstyr kan en drone bringe teknologi tett på et anlegg og forsøke å forstyrre trådløs kommunikasjon. Det kan gjøre kommunikasjonen ustabil, sensordata mindre pålitelige eller begrense driften.
I en krise kan kritiske funksjoner allerede være svekket. Forstyrres samtidig kommunikasjon, sensorer eller styringssystemer, kan situasjonen bli vesentlig verre. En angriper trenger ikke ødelegge infrastrukturen. Det kan være nok å sette kritiske funksjoner ut av spill når samfunnet trenger dem mest.
Vi logger det digitale. Hvorfor ikke luftrommet?
Når noen kartlegger den digitale infrastrukturen vår, logger vi og ser etter mønstre. Hvorfor skal ikke droneaktivitet rundt kritisk infrastruktur behandles på samme måte?
En fersk hendelse i Finland illustrerer utfordringen. I september ble et ubemannet luftfartøy funnet i Pellinge-skjærgården. Ifølge grensevakten ser det ut til å være en Geoscan 701, brukt av både statlige og sivile aktører. Myndighetene undersøker hvor den kom fra og hvem som opererte den. Det reiser et større spørsmål: Hvor godt situasjonsbilde har vi egentlig av droneaktiviteten rundt kritisk infrastruktur? Når risikoen tilsier det, bør vi bygge et tilsvarende situasjonsbilde. Når ble dronen sett? Hvor fløy den? Har den vært der før?
En drone som passerer én gang, kan være uinteressant. En som kommer tilbake eller følger systematiske ruter, er noe annet. Det kan være legitim aktivitet, men også kartlegging. Hvorfor skulle vi analysere en drones flymønster mindre systematisk enn trafikkmønsteret gjennom den digitale brannmuren?
Sikkerhetslogikken kjenner vi allerede: oppdage, identifisere, analysere, varsle og håndtere.
Trusselaktøren har ingen siloer
Tenk deg dette: SOC-en ser digital rekognosering. Drift ser en sensorfeil. OT ser kommunikasjonsproblemer. Vakten ser en drone. Hver observasjon kan ha en naturlig forklaring. Men hva dersom de henger sammen?
Problemet oppstår når hver funksjon ser sin hendelse, men ingen ser helheten. Den digitale hendelsen ligger i SIEM-systemet, sensorfeilen i driftssystemet og droneobservasjonen hos vaktsentralen. Alle gjør jobben sin. Likevel ser ingen hele hendelsen. Trusselaktøren bryr seg neppe om organisasjonskartet vårt.
Min erfaring er at de vanskeligste hendelsene sjelden holder seg til ett fagområde. Fysisk sikring kan ligge ett sted, cybersikkerhet et annet, og OT, personellsikkerhet og beredskap andre steder igjen. Hvert fagmiljø kan være dyktig. Men i overgangene mellom dem ligger ofte den største sikkerhetsmessige blindsonen.
Hvem vurderer helheten? Og hvem har mandat til å reagere? Det er ikke nødvendigvis et teknologiproblem. Det er et styringsproblem.
Planverk er ikke beredskap
EU og norske sikkerhetsmyndigheter har løftet dronesikkerhet og motstandskraft på agendaen. Utfordringen er ikke mangel på planer og rammeverk, men om de gir operativ evne når noe skjer. Vi er blitt gode til å dokumentere sikkerhet. Det betyr ikke nødvendigvis at vi er godt sikret.
Her peker NIS2 i en viktig retning. Det holder ikke å dokumentere at sikkerhetstiltak er gjennomført. Virksomheten må også kunne vurdere om tiltakene faktisk virker. For kritiske tjenester handler dette i praksis om operativ evne: Oppdager vi hendelsen? Klarer vi å håndtere den? Og kan vi opprettholde eller gjenopprette tjenestene?
Den samme logikken må gjelde når fysisk sikkerhet, cyber, OT og beredskap inngår i samme hendelse. Det interessante er ikke om droneberedskap står i risikovurderingen. Det interessante er hva som faktisk skjer når dronen kommer. Hvem oppdager den? Hvem vurderer hendelsen? Hvem ser den i sammenheng med digitale avvik? Hvem har myndighet til å reagere? Og har virksomheten øvd?
Dette er et ledelsesansvar. Toppledelsen kan ikke delegere fysisk sikkerhet, cyber, OT og beredskap til hver sin silo og tro at summen blir god sikkerhet.
Dette er et ledelsesansvar. Toppledelsen kan ikke delegere fysisk sikkerhet, cyber, OT og beredskap til hver sin silo og tro at summen blir god sikkerhet. Den som har ansvaret, må forstå sammenhengene og stå i vurderingene når de blir krevende. For meg består kompetanse av tre ting: kunnskap, erfaring og holdninger.
Kunnskap gjør at vi forstår risikoen. Erfaring gjør at vi kjenner igjen mønstrene. Og i holdningene ligger kanskje det viktigste: integriteten til å stille vanskelige spørsmål, løfte alvorlige funn og stå i vurderingen når den er ubehagelig for organisasjonen. Det hjelper lite å oppdage en alvorlig risiko dersom den tones ned på vei oppover i organisasjonen.
Vi har brukt flere tiår på å bygge digitale brannmurer, overvåkning og beredskap rundt kritisk infrastruktur. Nå må vi erkjenne at angrepsflaten ikke stopper ved nettverksporten. Den stopper heller ikke ved gjerdet. Det fysiske og digitale domenet smelter sammen. Sikkerhetsarbeidet vårt må gjøre det samme.
