Når hackerne skrur opp varmen

Vi trenger en bredere samtale om cybersikkerhet.

Dette er en kronikk

Kronikken gir uttrykk for skribentens holdning.

Først ble kjøle- og fryseanlegg i rundt 700 dagligvarebutikker i Frankrike rammet av et omfattende cyberangrep. Nå skjer det samme i Sverige. Mandag morgen ble det kjent at flere ICA- og Coop-butikker har fått kjøle- og frysesystemene sine manipulert. Temperaturen i enkelte anlegg skal ha blitt skrudd opp til 50 grader, og matvarer for store verdier er ødelagt.

Les også

Må kaste frysevarer etter hacking

Også fra Belgia og Luxembourg meldes det om IT-hendelser som rammer kjøle- og fryseanlegg. Om hendelsene henger sammen, er foreløpig uklart.
Det som for få uker siden kunne fremstå som et oppsiktsvekkende enkeltangrep, har nå fått en langt mer alvorlig dimensjon. Dette skjer i europeiske dagligvarebutikker, og det skjer akkurat nå.
Hendelsene er en påminnelse om noe vi snakker altfor lite om: sikkerheten i systemene som sørger for at alt fra kjøleanlegg til produksjonslinjer fungerer som de skal.

Vi er blitt vant til å lese om cyberangrep. Bedrifter mister tilgang til systemene sine, informasjon kommer på avveie og virksomheter blir utsatt for løsepengekrav. Det er alvorlig nok. Men hva skjer når angriperne ikke bare får tilgang til informasjon, men også kan påvirke temperaturen i et kjøleanlegg, stoppe en produksjonslinje eller sette ventilasjonen ut av spill?
Da handler det ikke lenger bare om IT. Da handler det om selve virksomheten, og kanskje aller mest om de virksomhetene som har minst å gå på.

Les også

Ekspert: – Ser lignende i Norge nærmest daglig

Sårbarheten finnes også utenfor industrien

Når vi snakker om operasjonell teknologi, eller OT, tenker mange på kraftverk, fabrikker og store industrielle anlegg. Men OT finnes overalt. I kjølerommet hos den lokale matprodusenten, i ventilasjonsanlegget på et hotell, i produksjonsutstyret hos en mindre industribedrift og i temperaturstyringen hos en dagligvarebutikk.

Dette er teknologi som har en primæroppgave. Den skal sørge for at ting fungerer. Og nettopp fordi den fungerer, får den gjerne lite oppmerksomhet.

Et kjøleanlegg kan ha vært i drift i mange år uten problemer. Det har kanskje blitt koblet til internett for å gjøre fjernovervåking og service enklere. Leverandøren skal kunne logge seg på ved behov, og noen har kanskje sørget for at anlegget kan nås fra det samme nettverket som brukes til e-post, regnskap og andre kontorsystemer.

Alt dette kan ha gode praktiske begrunnelser. Problemet oppstår når tilgjengelighet og brukervennlighet prioriteres uten at sikkerheten følger med.

I Frankrike er det avdekket at angrepene rammet eldre styringssystemer, blant annet utstyr som ikke lenger mottar sikkerhetsoppdateringer. Flere av systemene kunne nås via internett. Det illustrerer en utfordring som gjelder langt flere bransjer enn dagligvarehandelen.
For det er ikke nødvendigvis selve kjøleanlegget som er problemet. Det er hvordan det er koblet sammen med resten av virksomheten, hvem som har tilgang og hvor godt denne tilgangen er sikret.

Les også

Også din fryser kan hackes

Ett nettverk. Mange muligheter for angriperne.

I mange mindre virksomheter har IT-miljøet vokst frem over tid. En ruter her, et trådløst nettverk der, noen nye maskiner, et styringssystem og en ekstern leverandør som trenger tilgang.
Det fungerer, helt til det ikke gjør det. Dersom kontornettverket og produksjonsutstyret er koblet sammen uten tilstrekkelig sikring, kan et sikkerhetsbrudd ett sted åpne veien til systemer som aldri burde vært tilgjengelige derfra.

En kompromittert PC på kontoret skal ikke kunne bli inngangsporten til bedriftens produksjonsutstyr. En svakhet i et styringspanel skal heller ikke kunne gi tilgang til resten av virksomhetens systemer.

Likevel er dette en risiko mange virksomheter ikke har tilstrekkelig oversikt over. Hendelsene i Frankrike og Sverige viser hvor konkrete konsekvensene kan bli. Her er det ikke først og fremst data som er gått tapt. Det er fysiske varer, driftskapasitet og inntekter. I Frankrike er det også rapportert om branner som følge av overoppheting.

Det betyr ikke at alle trenger avanserte sikkerhetsløsninger eller store investeringer. Men de må vite hva de har, hvordan systemene henger sammen, hvem som kan koble seg til, og hvilke konsekvenser det får dersom noe svikter.

Det er grunnleggende sikkerhetsarbeid. Og det bør være like selvfølgelig som å låse døren når man går hjem.

Les også

Mulig hackerangrep mot fruktlager og varehus

De minste kan ha mest å tape

Store virksomheter har ofte dedikerte IT-miljøer, etablerte sikkerhetsrutiner og ressurser til å håndtere alvorlige hendelser. Det betyr ikke at de er immune mot angrep, men de har gjerne større kapasitet til å forebygge, oppdage og håndtere dem.

For en mindre, selvstendig virksomhet kan situasjonen være en helt annen. I den svenske ICA-butikken i Sjöbo forteller butikksjefen at matvarer for flere hundre tusen kroner har blitt ødelagt. Det er ikke vanskelig å forestille seg hva et tilsvarende angrep kan bety for en lokal norsk matprodusent, en dagligvarebutikk eller en mindre produksjonsbedrift.

De økonomiske konsekvensene handler ikke bare om verdien av det som blir ødelagt. Det handler også om tapt omsetning, leveranser som uteblir, kunder som rammes og tillit som kan være vanskelig å bygge opp igjen.

For en stor virksomhet kan et slikt tap være alvorlig. For en mindre bedrift kan det være forskjellen på å fortsette driften og å måtte legge ned.
Derfor blir det feil å behandle OT-sikkerhet som et tema som først og fremst angår de største virksomhetene. Behovet for sikkerhet bestemmes ikke av størrelsen på bedriften, men av konsekvensene dersom noe går galt.

Vi må slutte å skille mellom digital og fysisk sikkerhet

De fleste virksomheter har rutiner for brannvern, adgangskontroll, vedlikehold og forsikring. Vi aksepterer at dette er nødvendig for å beskytte ansatte, verdier og drift.
Hvem kan endre temperaturen i kjølerommet? Hvem kan stoppe produksjonslinjen? Er styringssystemene tilgjengelige fra internett? Har leverandører tilgang som aldri er blitt gjennomgått? Og er produksjonsutstyret tilstrekkelig adskilt fra kontornettverket?
Dette er spørsmål langt flere bedriftsledere bør stille. Og svarene bør de skaffe seg nå.

For når tilsvarende hendelser rammer virksomheter i flere europeiske land i løpet av få uker, bør det være en vekker også for norske bedrifter. Vi trenger ikke vente på at den første norske dagligvarebutikken må kaste hele fryselageret sitt, eller at en norsk produksjonsbedrift får driften satt ut av spill, før vi tar denne risikoen på alvor.

Vi trenger en bredere samtale om cybersikkerhet. En samtale som ikke bare handler om store konsern, kritisk infrastruktur og avanserte angrep, men også om de tusenvis av små og mellomstore virksomhetene som holder Norge i gang hver eneste dag.

For den lokale bedriften som er avhengig av at kjøleanlegget, produksjonslinjen eller andre tekniske installasjoner fungerer, er dette ikke bare et spørsmål om IT-sikkerhet.

Det er et spørsmål om å kunne skru på lyset og åpne dørene igjen i morgen.