Kronikk av Tor Olav Grøtan, seniorforsker, SINTEF og Janne Hagen sjefingeniør, Norges vassdrags- og energidirektorat Samtidig som vi blir avhengige av digitale systemer i energiforsyningen er det derfor betimelig å stille spørsmål om sikkerhet og pålitelighet i disse systemene. Digitalisering treffer energiforsyningen på mange måter. Digitale sensorer i infrastrukturen gjør det mulig for nettselskapene å overvåke og vedlikeholde systemene sine på en mer effektiv måte. Automatiske digitale strømmålere gir også nettselskapene bedre utgangspunkt for effektiv drift, og strømkundene mulighet for å selge overskuddsstrøm produsert ved for eksempel solceller på eget hustak. Digitaliseringen gir mulighet for å utvikle løsninger for smarte energiøkonomiske hus. Men, digitalisering og tilknytning av stadig flere komponenter til internett eksponerer oss også for en rekke trusler. Mange av disse har vi liten eller ingen erfaring med. Næringslivets sikkerhetsråd rapporterte i sin Mørketallsundersøkelse 2016 at 20 prosent av norske virksomheter ble utsatt for virus eller skadevareangrep. For dem som ble angrepet var skadevare blant de uønskede hendelser som var verst for virksomhetene. Med økt digitalisering av energi-infrastrukturen til automatisk strømmåling, til driftskontroll, vedlikeholds-styring og til sensorer og overvåkning, har bekymringen for at virusangrep og skadevare skal treffe energisektorens systemer økt. Bekymringen er knyttet til konsekvensene for leveranser av strøm dersom for eksempel cyber-fysiske angrep skulle ramme Norge. Denne typen angrep har funnet sted andre steder i verden. Strømnettet er allerede blitt angrepet Skadevaren Stuxnet som ble brukt for å forstyrre og til slutt skade Irans anlegg for anrikning av uran, gjorde verden oppmerksom på at helt vanlige industrikontrollsystemer kan involveres i slike angrep. I 2015 og 2016 ble energiselskaper i Ukraina gjenstand for angrep som hadde betydelige konsekvenser for energiforsyningen, i en politisk tilspisset kontekst. Så langt er det få hendelser som rammer styringssystemene i norsk energiforsyning. I 2016 fikk Norges vassdrags- og energidirektorat rapportert totalt tre cyberhendelser mot driftskontrollsystemer fra to selskaper. Ingen av disse hendelsene fikk innvirkning på strømforsyningen til kundene. Men risikoen anses fortsatt som stor, fordi de potensielle konsekvensene er så store, både for kraftsektoren selv og det samfunnet som er avhengig av den. Vil finne de skjulte truslene Prosjektet New Strains of Society som ledes av SINTEF fokuserer på framtidige utfordringer knyttet til blant annet cybersikkerhet. Prosjektet setter søkelyset på skjulte, dynamiske og nye typer trusler. Her forsøker vi blant annet å finne gode måter for hvordan virksomheter kan motstå og håndtere cybertrusler. Dette er trusler som inngår i mer sammensatte trussel-landskap som overskrider etablerte grenser for ansvar og kontroll, i et omfang som utfordrer samfunnets erfaringer, kapasiteter og evner. Prosjektet setter også fokus på motstandsdyktighet og tilpasningsevne i slike trussel-landskap. Hva skjer hvis strømselskapet mister kontroll? Ettersom teknologi og infrastruktur knyttes tettere sammen og ikke minst får tilknytningspunkter til internett, vil også nye typer trusler kunne dukke opp. Det vil aktualisere behovet for å adressere andre utfordringer enn vi er vant til å håndtere. Utpressingsskadevare, også kjent som “ransomware”, treffer allerede samfunnet – hva skjer dersom slik skadevare infiserer energisektorens kritiske styringssystemer? Nektelsesangrep der tjenester blokkeres av uønsket aktivitet er en annen trussel. Hva om komponentene i bygninger blir kompromittert – og går til angrep på andre systemer i infrastrukturen? Sist, men ikke minst – hvordan kan avanserte trussel-aktører true norsk energiforsyning, og hvordan kan energiforsyningen motstå slike angrep og påkjenninger? New Strains of Society-prosjektet ser ikke bare på disse truslene, som for så vidt er kjent i dag, men på ulike kombinasjoner av trusler og påkjenninger, og hvordan de kan forplante seg på nye måter. SINTEF med samarbeidspartnere skal i prosjektet utvikle et rammeverk for å forstå, identifisere og håndtere slike nye påkjenninger innenfor større bilder enn de vi foretrekker å betrakte i dag. Forskningen, myndighetene og industrien jobber på lag Vi har allerede starter arbeidet. I juni var Norges vassdrags og energidirektorat vert for en sikkerhetsworkshop, hvor myndighetene, industrien og amerikanske samarbeidspartnere delte innsikt i kjente og relevante cyberangrep. De ble også orientert om de konkrete trusselbilder mot aktuelle deler av kraftforsyningen, som vindkraft og automatiske strømmålere. Workshopen ga også innsikt i hvordan cyberøvelser på nasjonalt nivå kan gjennomføres, og hvordan man kan bruke disse erfaringene til å adressere store trussel-landskap og «stress»-teste dem. I tillegg fikk vi verdifulle innspill til hvordan et sammensatt scenario som involverer oljevirksomheten offshore med strømforsyning fra land kan inngå i et trussel-landskap. Forskningsrådet var også bredt representert, og fikk med dette innspill til relevante vinklinger på cyber-sikkerhet, energi-infrastruktur-sikkerhet og samfunnssikkerhet. Slik sikrer vi strømnettet mot angrep Mye kan gjøres og blir allerede gjort for å gjøre energisektoren både motstandsdyktig og tilpasningsdyktig til trusselbildet. Angripere kan prøve å få fotfeste i administrative systemer i energiforsyningen gjennom bruk av ulike virkemidler. Her kan de operere en tid og kartlegge systemene og arkitekturen før de beveger seg videre til driftskontrollsystemer, som igjen gir en kopling til fysiske komponenter som brytere, programmerbare logiske kontrollere, brukergrensesnitt og servere. Dersom datanettet ikke er segmentert, det er mangelfull tilgangsstyring og systemene ikke er oppdatert, kan angripere fort få tilganger de ikke skulle hatt, og dermed klare å stenge ned anlegg og slå av vern. Redusert risiko kan oppnås gjennom å systematisk reparere, eller patche, sårbarheter i det administrative systemet, og å seksjonere nettet og ha sterk tilgangsstyring. Dagens beredskapsforskrift har krav som dekker opp for denne type sikkerhetsbehov. Vanskelig å sikre seg mot alt Det som derimot er vanskeligere å beskytte seg mot er trusler som oppstår når noen kompromitterer forsyningskjeden. Det kan bety at noen legger til avlyttingsutstyr eller modifisert maskinvare på  leverandørens komponenter, før de havner i Norge. For å kunne oppdage denne type trusler må virksomhetene fysisk åpne opp komponenter og skaffe seg inngående kunnskap om hva som er på innsiden av boksene. Dette krever at vi forstår teknologien i dybden. Vi må forstå funksjonaliteten til elektronikken, programvaren, og fysisk sårbarhet koplet til fysisk utforming og lokalisering. Det finnes i dag ikke noen godkjenningsordning som gjør denne type analyse, eller  «reverse engineering», av utstyr i energiforsyningen. Det finnes heller ikke et norsk forskningsmiljø som spesielt ser på dette problemområdet for ikke-graderte systemer av vital betydning for samfunnssikkerheten. Dette representerer en slags restrisiko sammen med potensielt utro tjenere når det kommer til cyberfysisk systemsikkerhet. Restrisikoen må håndteres gjennom beredskap der menneskelige ressurser, samhandling under krevende omstendigheter, kunnskap og reservedeler inngår. Energisektoren må være klar over ansvaret I tillegg til dette bør energisektoren forstå sin sentrale rolle i større risikobilder og trussel-landskap. Sektoren bør ikke minst forberede seg på å være en sentral aktør i et større landskap av samhandlende aktører som er motstandsdyktige på ulike premisser og med ulike prioriteringer. New Strains prosjektet bidrar til dette med metodikk for å beskrive slike landskap. Prosjektet skal forberede deltakerne til å takle en strøm av “«hva hvis»-spørsmål, som utfordrer deres forestillings- og yteevne. Kronikken ble opprinnelig publisert på Forskning.no. Gjengitt med forfatternes tillatelse