Fjernovervågning af anlæg: leverandørens forbindelse ind til driften

Leverandører til forsyning og produktion kan have en fast forbindelse ind til kundens anlæg. Den bruges til at overvåge pumper, ventilation, maskiner eller styringer, til at modtage alarmer og nogle gange til at ændre indstillinger. For kunden er det en af de mest følsomme forbindelser i hele forsyningskæden, fordi den ender tæt på den fysiske drift. Når kunden spørger til test, handler det derfor om, hvem der kan bruge forbindelsen, hvor langt den rækker, og hvad den kan ændre.

Svaret hviler på to ting. Kundens regler beder kunden styre og begrænse leverandørers adgang. Og anlæggene kræver hensyn, fordi aktive test kan forstyrre driften. Testen skal derfor planlægges med begge dele for øje. Teksten er ikke juridisk rådgivning.

Hvorfor forbindelsen er kundens største spørgsmål

En forbindelse til overvågning er ikke nødvendigvis kun til overvågning. Den kan også bruges til at logge på styringen, hente filer eller installere opdateringer. Hvis den bliver misbrugt, er det ikke data, der er på spil, men driften af et anlæg.

SAMSIK’s vejledning om foranstaltninger har et eksempel om forsyningskædesikkerhed hos en virksomhed med automatiseret produktion. Eksemplet spørger blandt andet, hvordan virksomheden sikrer, at leverandører, der opdaterer produktionssystemer, ikke utilsigtet bringer sårbarheder ind, og om leverandørernes adgang er passende segmenteret og kontrolleret med tidsbegrænset adgang for eksterne parter. Det er de spørgsmål, I kan forvente fra en kunde, der har læst vejledningen. → Adskillelse i netværket som foranstaltning

Kundens sektor afgør, hvilke regler der gælder

Ikke alle forsyningskunder er omfattet af NIS 2-loven. Lovens § 1, stk. 2, siger, at loven ikke finder anvendelse på enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren. En kunde i elsektoren kan derfor have sine krav fra den lov og ikke fra NIS 2-loven. Drikkevand, spildevand og dele af fremstillingsindustrien hører derimod under NIS 2-loven.

For jer betyder det, at ordlyden i kravet kan være en anden, og at kunden henviser til andre myndigheder. Spørg, hvilke regler kunden bygger kravet på, før I svarer med henvisninger til NIS2. Selve testen kan godt være den samme. Det er ordene i dokumentationen og den myndighed, kunden skal kunne vise den til, der kan være forskellige. → Energi, tele og finans · → Leverandør til drikkevand og spildevand

Hvad testen kan dække

En test af fjernovervågningen kan opdeles i tre dele med hver sin ejer:

Jeres ende · overvågningsplatformen, de servere og computere, jeres medarbejdere bruger, og de konti, der giver adgang til forbindelsen. Her giver I selv tilladelsen.
Forbindelsen · hvem der kan oprette den, hvordan login sker, om den kun er åben, når den skal bruges, og om den kun giver adgang til det aftalte. → Jeres supportadgang til kunden
Kundens ende · udstyret og nettet, hvor forbindelsen ender. Her kræves kundens tilladelse og et nøje aftalt omfang.

Den første og anden del kan testes uden at berøre anlægget. Den tredje del er den mest følsomme.

Vær opmærksom på, at jeres driftscentral kan have forbindelse til mange kunders anlæg. En svaghed dér rammer ikke kun den kunde, der har bestilt testen. Det er et argument for at teste driftscentralen grundigt og for at kunne vise alle kunder resultatet i en passende form, fx et resumé, der ikke afslører andre kunders opsætning.

Driften sætter grænser

SAMSIK’s vejledning om foranstaltninger advarer i afsnit 6.b om, at aktive scanninger af OT-miljøer kan medføre forstyrrelser eller nedetid, og nævner andre steder passiv overvågning som alternativ. For jer er konsekvensen, at testen af kundens ende kan foregå på andre måder end ved et aktivt angreb på det kørende anlæg:

I et testmiljø · med samme type udstyr og opsætning som hos kunden.
I et planlagt driftsstop · aftalt med kunden og med folk til stede, der kender anlægget.
Ved gennemgang · af opsætningen af forbindelsen og adgangsreglerne frem for en aktiv test.

Det er kunden, der beslutter, hvad anlægget kan tåle. → Produktionsudstyr og OT

Hvis I selv er en digital udbyder

Er I fx en udbyder af administrerede tjenester, kan I selv være omfattet af NIS2 og af gennemførelsesforordning (EU) 2024/2690. Bilagets punkt 6.7.2, litra d, handler om kontrol med fjernadgang, herunder tjenesteudbyderes adgang, og litra h siger, at forbindelser mellem tjenesteudbydere og enhedens systemer kun tillades efter anmodning om autorisering og i en bestemt periode, fx under en vedligeholdelsesaktivitet. Hvis forordningen gælder jer, gælder punkterne også jeres egne systemer. → MSP og NIS2

Et tænkt eksempel

En leverandør af ventilationsanlæg til en fødevarefabrik overvåger anlæggene fra sin driftscentral og kan ændre temperaturer på afstand. Fabrikken spørger, om forbindelsen er testet.

Leverandøren tester driftscentralen og forbindelsens login, herunder om den kræver multifaktorlogin, og om den kun giver adgang til ventilationsstyringen. Fabrikkens ende testes ikke aktivt. I stedet gennemgår fabrikken sammen med leverandøren, hvordan forbindelsen er adskilt fra resten af fabrikkens net, og leverandøren beskriver, hvordan en opdatering godkendes, før den sendes ud. Forbindelsen ændres samtidig, så den kun er åben, når fabrikken har godkendt et servicevindue. Alarmer fra anlægget kan stadig sendes ud til driftscentralen, men adgangen den anden vej kræver nu fabrikkens godkendelse hver gang. Fabrikken får rapporten, beskrivelsen af godkendelsen og en kort oversigt over, hvad forbindelsen kan og ikke kan.

Det skal I lade være med

At teste kundens anlæg aktivt uden kundens accept og tilstedeværelse · driften er kundens.
At beskrive forbindelsen som ren overvågning, hvis den kan mere · kunden skal kende rækkevidden.
At holde forbindelsen åben hele tiden uden grund · en tidsbegrænset adgang er lettere at forsvare.
At henvise til NIS 2-loven over for en energikunde uden at spørge · kravet kan bygge på en anden lov.
At glemme jeres egen driftscentral · den er indgangen til alle de anlæg, I overvåger.

Hvad kan og ikke kan konkluderes

En test af jeres driftscentral og forbindelsen kan dokumentere, hvordan login, rækkevidde og adskillelse modstod testen. Den kan ikke vise, at kundens anlæg tåler en angriber, der allerede er inde, og den siger intet om kundens egen adskillelse af nettet, medmindre den var med. Kunden vurderer selv, hvad der er nok.

Tjekliste til forbindelsen ind til driften

☐ Ved I, hvad forbindelsen kan bruges til ud over overvågning?
☐ Er jeres driftscentral og konti med i testen?
☐ Er login på forbindelsen beskyttet med multifaktorlogin?
☐ Er forbindelsen kun åben, når den skal bruges?
☐ Har kunden besluttet, om og hvordan kundens ende må testes?
☐ Har kunden oplyst, om kravet bygger på NIS 2-loven eller energiberedskabsloven?