OT-sikkerhet: hva kundene dine faktisk er utsatt for, og hva du bør gjøre med det
Fysiske konsekvenser endrer alt
OT omfatter de programmerbare systemene som overvåker eller styrer fysiske prosesser: industrielle kontrollsystemer (ICS), SCADA, PLS-er, byggautomasjon og datamaskinene på fabrikkgulvet som drifter dem. NISTs definisjon er bredere enn de fleste tror. Alt som kan oppdage eller forårsake en direkte fysisk endring – enten det er en produksjonslinje, en transformatorstasjon eller et byggs miljøstyringssystem – faller inn under OT-grensen.
Dette er viktig fordi det verst tenkelige utfallet er annerledes. I IT er det verste realistiske scenarioet vanligvis tap av data, kryptering eller data på avveie. I OT kan det være en usikker fysisk tilstand: en tank med for høyt trykk, en transformatorstasjon som mørklegges, eller et produksjonsparti som feiler i valideringen. Det er grunnen til at OT-sikkerhet prioriterer fysisk trygghet (safety) først, deretter tilgjengelighet, og så integritet og konfidensialitet. IT-sikkerhet fungerer vanligvis omvendt, med konfidensialitet som startpunkt. Hvis en kunde spør hvorfor man ikke bare kan anvende den eksisterende endepunktpolicyen deres på fabrikkgulvet, er dette det ærlige svaret.
Det endrer også hva «nedetidstoleranse» innebærer. Et prosessanlegg med kontinuerlig drift som ikke tåler en uplanlagt omstart, er ikke teknisk akterutseilt når det gjelder sikkerhet – det opererer under prosessens fysiske forutsetninger. Og en PLS-konfigurasjon som er godkjent av utstyrsprodusenten (OEM), kan sjelden oppdateres i samme tempo som en bærbar PC-park uten at det krever en ny sertifisering. Kompenserende kontroller og planlagte vedlikeholdsvinduer gjør den jobben som en oppdateringssyklus normalt ville gjort innen IT.
Hva som faktisk foregår der ute
To tydelige mønstre driver de fleste hendelsene kundene spør om, og de krever ulike forsvarsmekanismer. Det første er direkte målrettede angrep mot kontrollmiljøer. Dragos knyttet et koordinert angrep mot polske kraftvarmeverk og fornybare energisystemer i slutten av desember 2025 til gruppen ELECTRUM, og beskrev det som det første storstilete, koordinerte angrepet mot distribuerte energiressurser. En separat kampanje mot et pakistansk statlig kraftoverføringsselskap i midten av 2025 innebar aktiv leting etter SCADA-sårbarheter og skanning av Modbus-porter – den typen rekognosering som ressursinnsikt og protokollspesifikk overvåking er bygget for å fange opp.
Det andre mønsteret er vanligere og på mange måter mer relevant for hvordan de fleste av partnernes kunder faktisk rammes: IT-hendelser med operasjonelle ringvirkninger, uten at det er bekreftet noe kompromittering av selve styringssystemene. Nucor stanset deler av produksjonen som en forholdsregel etter uautorisert IT-tilgang. Masimo måtte kjøre produksjonen under normal kapasitet i flere uker etter et nettverksinnbrudd. Jaguar Land Rover forlenget en produksjonsstans med mer enn en uke etter en hendelse i september 2025. Asahis løsepengevirus-angrep i samme måned slo ut ordre- og forsendelsessystemer, og logistikken var ikke helt tilbake til normalen før i februar 2026. Ingen av disse var angrep rettet mot en kontroller. Alle stanset produksjonen fordi IT og OT er tettere sammenvevd enn de fleste risikovurderinger tar høyde for.
Tallene underbygger dette. Dragos sporet 119 løsepengevirus-grupper som rammet industrielle organisasjoner i 2025, opp fra 80 året før, noe som rammet rundt 3 300 organisasjoner – der produksjonssektoren tok mer enn to tredjedeler av støyten. Siemens anslår at uplanlagt nedetid koster nær 1,4 billioner dollar i året på tvers av verdens 500 største selskaper. Det som skiller seg ut i SANS Institutes undersøkelse for 2025, er ikke detektering – nesten halvparten av hendelsene ble oppdaget innen 24 timer – det er gjenoppretting: nesten én av fem brukte over en måned på å utbedre situasjonen. Detektering har blitt raskere enn gjenoppretting, og det er ved gjenoppretting de virkelige kostnadene oppstår.
Rammeverket kundene dine faktisk måles mot
For de fleste av kundene dine er det NIS2 som avgjør om OT-resiliens er en juridisk forpliktelse eller bare «kjekt å ha». Direktivet innfører ikke et eget, separat OT-regime, men dekker energi, transport, vann, helse og industri direkte, og artikkel 21 oppstiller konkrete krav: hendelseshåndtering, sikkerhetskopiering og gjenoppretting, leverandørkjedesikkerhet og tilgangsstyring. For en kunde i disse sektorene er NIS2-samsvar og OT-resiliens den samme samtalen, ikke to separate spor.
Det vanligste gapet blant kunder som hevder de er klare for NIS2, er i praksis det samme: De har rutiner for sikkerhetskopiering, men de har aldri blitt testet mot reelle maskinvarebegrensninger – der den opprinnelige enheten ikke lenger eksisterer, og en identisk erstatning ikke er tilgjengelig. Å ta sikkerhetskopi av PLS-logikk, SCADA- og DCS-konfigurasjoner, HMI-filer og nettverksenhetskonfigurasjoner er én sak. Å faktisk demonstrere at du kan gjenopprette dem, noe artikkel 21 krever bevis for, er en helt annen.
Hva dette betyr for din OT-dialog med kundene
Et forsvarlig OT-sikkerhetsoppsett krever at ressursinnsikt, segmentering, overvåking og gjenoppretting fungerer sammen, og ingen enkeltleverandør dekker alle fire godt. Det er nettopp her en dialog med en distributør er mer nyttig for deg enn et salgsfremstøt fra én enkelt leverandør: Du kan sette sammen den kombinasjonen som faktisk passer til kundens miljø, i stedet for å tøye ett enkelt produkt over fire problemstillinger det ikke var bygget for.
Når det gjelder selve resiliensbiten – sikkerhetskopiering og gjenoppretting for de PC-baserte ressursene som faktisk stopper produksjonen når de går ned: HMI-arbeidsstasjoner, SCADA-servere, ingeniørarbeidsstasjoner og historikkdatabaser (historians) – er Acronis Cyber Protect for OT bygget rundt bildebasert sikkerhetskopiering, gjenoppretting til ulik maskinvare og støtte for de eldre Windows- og Linux-systemene som dominerer eksisterende produksjonsanlegg (brownfield). Løsningen er utviklet for å raskt nå en validert produksjonstilstand, ikke bare for å fullføre en sikkerhetskopi, og den fungerer i fysisk isolerte nettverk (air-gapped) der skytilkobling ikke er et alternativ. Når det gjelder ressursinnsikt og sårbarhetshåndtering, gir Nanitor kundene den oversikten over inventar og eksponering som kravene i NIS2 artikkel 21 i økende grad krever dokumentasjon for.
Hvis en kunde spør om OT-sikkerhet, er det mest nyttige neste steget vanligvis ikke et enkelt p
[...]