OT-öryggi: hvaða áhættu viðskiptavinir þínir standa raunverulega frammi fyrir og hvað er hægt að gera í því

Raunverulegar afleiðingar breyta öllu

OT (rekstrartækni) nær yfir forritanleg kerfi sem fylgjast með eða stýra líkamlegum ferlum: iðnstýrikerfi, SCADA, PLC-stýringar, hússtjórnunarkerfi og tölvurnar á verksmiðjugólfinu sem keyra þau. Skilgreining NIST er víðtækari en flestir gera ráð fyrir. Allt sem getur greint eða valdið beinni líkamlegri breytingu – hvort sem um er að ræða framleiðslulínu, tengivirki eða umhverfisstýringar í byggingu – heyrir undir OT.

Þetta skiptir máli vegna þess að versta mögulega sviðsmyndin er önnur. Í upplýsingatækni (IT) er versta raunhæfa sviðsmyndin yfirleitt gagnatap, dulkóðun gagna eða gagnaleki. Í OT getur það verið ótryggt líkamlegt ástand: þrýstihylki undir of miklum þrýstingi, tengivirki sem dettur út eða framleiðslulota sem stenst ekki gæðaprófun. Þess vegna setur OT-öryggi öryggi fólks og umhverfis (safety) í fyrsta sæti, síðan rekstrartíma (availability), og loks heildindi (integrity) og trúnað (confidentiality). IT-öryggi vinnur yfirleitt í öfugri röð og byrjar á trúnaði. Ef viðskiptavinur spyr hvers vegna þú getir ekki einfaldlega beitt núverandi endapunktsreglum þeirra á verksmiðjugólfið, þá er þetta heiðarlega svarið.

Þetta breytir líka merkingu þess að „þola niðritíma“. Verksmiðja með samfellda framleiðsluferla sem getur ekki tekið við ófyrirséðri endurræsingu er ekki á eftir á sviði öryggismála – hún starfar einfaldlega innan raunverulegra marka ferlisins. Og PLC-stýring sem hefur verið vottuð af framleiðanda (OEM) er oft ekki hægt að uppfæra á sama hraða og fartölvuflota án þess að krefjast endurvottunar. Bótaráðstafanir (compensating controls) og skipulagðir viðhaldsgluggar vinna það verk sem hefðbundin uppfærsluferli myndu vinna í IT.

Hvað er í raun að gerast þarna úti

Tvö ólík mynstur drífa flest þau atvik sem viðskiptavinir eru að spyrja um, og þau kalla á mismunandi varnir. Hið fyrra er bein atlaga að stjórnkerfaumhverfum. Dragos tengdi samræmda árás á pólsk fjarvarma- og endurnýjanleg orkukerfi seint í desember 2025 við ELECTRUM-hópinn og lýsti henni sem fyrstu stórfelldu samræmdu árásinni á dreifðar orkuauðlindir. Sérstök herferð gegn pakistönsku raforkuflutningsfyrirtæki um mitt ár 2025 fól í sér virka leit að SCADA-veikleikum og skönnun á Modbus-tengjum – einmitt sú tegund könnunar sem sýnileiki tækja og samskiptareglumiðuð vöktun eru hönnuð til að grípa.

Hitt mynstrið er algengara og að mörgu leyti meira lýsandi fyrir það hvernig flestir viðskiptavinir samstarfsaðila okkar verða fyrir barðinu á árásum: IT-atvik með rekstrarlegum afleiðingum, án þess að staðfest hafi verið að brotist hafi verið inn í stýribúnað. Nucor stöðvaði hluta framleiðslunnar í varúðarskyni eftir óheimilan aðgang að IT-kerfum. Masimo þurfti að keyra framleiðslu undir eðlilegum afköstum vikum saman eftir netinnbrot. Jaguar Land Rover framlengdi framleiðsluhlé um meira en viku eftir atvik í september 2025. Lausnargjaldsárás á Asahi í sama mánuði sló út pöntunar- og sendingarkerfi, og voru vöruflutningar ekki komnir í eðlilegt horf fyrr en í febrúar 2026. Ekkert af þessu voru árásir á stýringar. Öll þessi atvik stöðvuðu framleiðslu vegna þess að IT og OT eru mun nátengdari en flest áhættumöt gera ráð fyrir.

Tölurnar styðja þetta. Dragos fylgdist með 119 lausnargjaldshópum sem höfðu áhrif á iðnfyrirtæki árið 2025, samanborið við 80 árið áður, og bitnaði þetta á um 3.300 fyrirtækjum, þar sem framleiðslugeirinn tók á sig meira en tvo þriðju höggsins. Siemens áætlar að ófyrirséður niðritími kosti nærri 1,4 billjónir Bandaríkjadala árlega hjá 500 stærstu fyrirtækjum heims. Það sem stendur upp úr í könnun SANS Institute frá 2025 er ekki greining – nærri helmingur atvika uppgötvaðist innan sólarhrings – heldur endurheimt: það tók yfir mánuð að leysa næstum eitt af hverjum fimm atvikum. Greining hefur orðið hraðari en endurheimt, og það er í endurheimtinni sem raunverulegi kostnaðurinn liggur.

Umgjörðin sem viðskiptavinir þínir eru í raun mældir út frá

Fyrir flesta viðskiptavini þína er NIS2 tilskipunin það sem ræður úrslitum um hvort seigla í OT sé lagaleg skylda eða bara eitthvað sem væri „gott að hafa“. Tilskipunin býr ekki til sérstakt OT-regluverk, en hún tekur beint til orkumála, samgangna, vatnsveitna, heilbrigðisþjónustu og framleiðslu, og 21. grein útlistar áþreifanlegar kröfur: atvikameðhöndlun, afritun og endurheimt eftir áföll, öryggi aðfangakeðjunnar og aðgangsstýringu. Fyrir viðskiptavin í þessum geirum eru samræmi við NIS2 og seigla í OT sama samtalið, ekki tvö aðskilin.

Algengasta gloppan meðal viðskiptavina sem telja sig tilbúna fyrir NIS2 er í reynd sú sama: þeir eru með afritunarrútínu, en hún hefur aldrei verið prófuð við raunverulegar takmarkanir vélbúnaðar – þar sem upprunalegi búnaðurinn er ekki lengur til og samhljóða varabúnaður er ekki í boði. Að taka afrit af PLC-kóða, SCADA- og DCS-stillingum, HMI-skrám og stillingum netbúnaðar er eitt verkefni. Að sýna fram á í verki að þú getir endurheimt þetta – sem er það sem 21. grein krefst sönnunar á – er allt annað mál.

Hvar þetta skilur samtalið um OT eftir við viðskiptavini

Varnarbært OT-öryggisfyrirkomulag krefst þess að sýnileiki eigna, hólfun (segmentation), vöktun og endurheimt vinni saman, og enginn einn birgir sinnir öllum fjórum þáttunum vel. Það er einmitt þar sem samtal við dreifingaraðila nýtist þér betur en sölukynning frá stökum framleiðanda: þú getur sett saman þá lausn sem raunverulega hentar umhverfi viðskiptavinarins í stað þess að teygja eina vöru yfir fjögur vandamál sem hún var ekki smíðuð fyrir.

Hvað varðar seigluhlutann sérstaklega – afritun og endurheimt fyrir þann vélbúnað í tölvuflokki sem raunverulega stöðvar framleiðslu ef hann fellur út: HMI-vinnustöðvar, SCADA-þjóna, forritunarvinnustöðvar og sögugagnagrunna (historians) – þá er Acronis Cyber Protect for OT byggt á speglafritun (image-based backup), endurheimt á ólíkan vélbúnað og stuðningi við eldri Windows- og Linux-kerfi sem einkenna eldri verksmiðjur. Kerfið er hannað með það fyrir augum að komast hratt í vottað framleiðsluástand, ekki bara að ljúka afritunarkeyrslu, og það virkar í lokuðum netum (air-gapped) þar sem skýjatenging er ekki valkostur. Hvað varðar sýnileika eigna og veikleika gefur Nanitor viðskiptavinum þá yfirsýn yfir búnað og áhættur sem skyldur 21. greinar NIS2 krefjast í auknum mæli skjala um.

Ef viðskiptavinur spyr um OT-öryggi er gagnlegt næsta skref yfirleitt ekki stök p

[...]