Sådan styrker du sikkerheden i OT-miljøet uden at bremse driften

OT sikkerhed rykker op på direktionsniveau

OT sikkerhed handler om at beskytte de systemer og teknologier, der styrer fysiske processer som produktion, energi, vand og transport. Hvor traditionel it-sikkerhed primært fokuserer på data og brugere, handler OT sikkerhed om at sikre kontinuerlig drift og undgå forstyrrelser i produktionen.

CIO’er, CISO’er og it-ledere står over for et stigende pres for at sikre stabil drift i et miljø, hvor sårbarheder i både it- og OT-systemer kan have alvorlige konsekvenser for produktionen og dermed forretningen. Sårbarheder vil altid eksistere og er ofte en præmis i OT-miljøer. Spørgsmålet er, hvordan vi beskytter de mest kritiske systemer på en måde, der balancerer sikkerhed, drift og forretningens behov. Det kræver en struktureret dialog mellem de rette aktører – både fra it og produktionen – for at skabe fælles forståelse af risici og prioriteter, og de nye udfordringer stigende teknologisk konvergens medfører.

Selv med opbakningen på plads er opgaven kompleks. Den kræver tæt koordinering mellem funktioner, der traditionelt arbejder forskelligt – og tiltag, der ikke må påvirke produktionen negativt. Derfor har OT sikkerhed brug for en anden tilgang end den, der normalt anvendes i klassiske it-miljøer.

OT og it: To kulturer – ét ansvar

Mange CIO’er og CISO’er oplever, at det er svært at få OT og it til at samarbejde om en samlet sikkerhedsindsats. I mange virksomheder er ansvaret uklart fordelt: it beskytter systemer, data og brugere, mens OT-området prioriterer personsikkerhed, oppetid og produktion.

Formelt er cybersikkerheden forankret hos CIO’en eller CISO’en, men i praksis træffes mange af de afgørende beslutninger ofte i drifts- og produktionsmiljøet. Og mange beslutninger ligger i driften – ofte ud fra logikken om, at produktionen tjener pengene. Det giver en fragmenteret tilgang, hvor ingen ejer sikkerheden på tværs.

En mere robust model samler ansvaret ét sted. Et tydeligt governance setup med klare roller, processer og beslutningsveje skaber fælles retning og gør det muligt at prioritere rigtigt – både teknisk og forretningsmæssigt.

Fra forebyggelse til forudsigelse

Trusselsbilledet for OT-miljøer ændrer sig hurtigt. Nye sårbarheder opstår løbende, og arbejdet med at håndtere dem kræver konstant opmærksomhed. Samtidig er det tydeligt, at klassiske tiltag som awareness og overvågning ikke er nok. Der er mange ting der kan gå galt. Ét klik på en inficeret mail eller en mindre konfigurationsfejl kan være nok til at udløse en hændelse med store konsekvenser såsom:

• En kompromitteret engineering station/pc, der giver adgang til produktionsnetværket og muliggør ændringer i styringssystemer.
• Fejlagtig firewall-konfiguration eller anden infrastruktur arkitektur, der utilsigtet åbner forbindelser mellem it og OT-miljøet og skaber direkte adgang for angribere.
• Opdateringer installeret uden korrekt test, som får kritiske PLC’er eller SCADA-komponenter til at fejle og stopper produktionen.
• Brug af eksterne USB-enheder uden sikkerhedskontrol, der introducerer malware i produktionsudstyr.
• Forkerte adgangsrettigheder, hvor en midlertidig leverandørkonto har for bred adgang og ikke lukkes og efterfølgende misbruges.
• Manglende segmentering, der gør det muligt for et ransomware-angreb i it-miljøet at sprede sig til produktionslinjen.

Når sådanne hændelser opstår, er det ofte et tegn på manglende prioritering af tre grundlæggende områder – og arbejdet her kan faktisk også skabe reel forretningsværdi:

1. Risikovurdering forankret i det operationelle miljø
   Beslutninger skal tage udgangspunkt i de faktiske processer og afhængigheder i produktionen. Uden en realistisk risikoprofil bliver tekniske valg tilfældige.
2. En klar operating model med tydelige roller og ansvar
   Når roller og ansvar ikke er defineret, bliver sikkerhed isolerede enkeltstående projekter. Det øger risikoen for utestede opdateringer, for brede leverandøradgange og ukontrollerede USB-enheder.
3. Ledelsesopbakning og mandat
   Uden opbakning fra ledelsen prioriteres sikkerhed ikke som en forretningskritisk investering. Find et fælles sprog, med udgangspunktet i at det er forretningens præmis. Gør vi ikke det, er resultatet oftest tekniske genveje baseret på enkeltpersoners viden og motivation, manglende kontroller og øget sandsynlighed for driftsstop – med direkte økonomiske konsekvenser.

Derfor er det nødvendigt at arbejde ud fra, at hændelser kan opstå – og at effekten afhænger af, hvor hurtigt organisationen opdager, isolerer og begrænser konsekvenserne der hvor det er væsentligst.

Her ser vi en klar bevægelse hos virksomheder, der går fra forebyggelse til forudsigelse. Fokus flytter fra at stoppe alle angreb til at identificere de mest kritiske forretningsområder, identificere sårbarheder og håndtere dem, før de udvikler sig.

Avancerede teknologier som kunstig intelligens (AI) og automatisering spiller en væsentlig rolle i at styrke sikkerheden. Det kan bidrage med indsigt og understøtter hurtig respons ved hændelser og sårbarheder. Ved hjælp af kontinuerlig overvågning og mønstergenkendelse kan kompromitterede enheder identificeres og isoleres hurtigt, så organisationen kan genvinde kontrollen, før en hændelse eskalerer.

Sammen kan vi styrke jeres OT sikkerhed

Hos PwC hjælper vi virksomheder med at styrke OT sikkerheden – fra strategi til drift. Vi gennemfører risk assessments og modenhedsanalyser af både it- og OT-miljøer og omsætter resultaterne til konkrete anbefalinger, der danner et solidt grundlag for jeres sikkerhedsindsats. 

Vi hjælper med at udvikle et strategisk roadmap med klare milepæle, KPI’er og cost/benefit-beregninger, så ledelsen har et tydeligt beslutningsgrundlag. Samtidig sikrer vi, at governance, roller og ansvar understøtter arbejdet på tværs af forretning og drift. Når løsningerne skal implementeres, trækker vi på vores erfaring med komplekse produktionsmiljøer og samarbejder med teknologipartnere for at operationalisere sikkerheden i praksis. 

Derudover tilbyder vi løbende Managed Security Services (MSS) og regelmæssige reviews af jeres modenhed og sikkerhedsløsninger. Kontakt PwC for en uforpligtende dialog om, hvordan vi kan hjælpe jer med at skabe en robust og sammenhængende tilgang til OT sikkerhed.