Hvorfor de fleste virksomheter tenker for smalt om sikkerhet 

Et mer sammensatt trusselbilde, nye regulatoriske krav og stadig tettere koblinger mellom virksomheter gjør at sikkerhet ikke lenger kan behandles som et eget fagområde. Fysisk sikkerhet, cybersikkerhet, beredskap og leverandørstyring henger tett sammen.

For virksomheter innen energi, vann, samferdsel og industri / datasentre påvirker dette både drift, prosjekter og investeringsbeslutninger.

Risikoen ligger ofte i avhengighetene

Et vannverk kan være godt sikret mot innbrudd og cyberangrep. Likevel er det avhengig av strøm, kommunikasjonstjenester, digitale styringssystemer og eksterne leverandører. Dersom én av disse funksjonene svikter, kan vannleveransen stoppe. Det samme gjelder alle virksomheter som er avhengige av kritisk infrastruktur.

– Nesten alle virksomheter vi møter undervurderer hvor avhengige de er av aktører og systemer utenfor egen kontroll, sier Gjerdeplass.

Hendelser langt unna kan få konsekvenser lokalt. Et cyberangrep mot kritisk infrastruktur i et annet land, som eksempelvis setter en leverandør ut av spill, kan påvirke virksomheter som aldri var det opprinnelige målet.

Samtidig møter mange nye krav gjennom regelverk som NIS2 og CER. Det gjør sikkerhet til et ledelsesansvar, ikke bare et spørsmål for IT-avdelingen eller sikkerhetsfunksjonen.

- Den største feilen er å behandle fysisk sikkerhet, cybersikkerhet og beredskap som separate problemstillinger. Trusselaktørene utnytter bevisst koblingene mellom mennesker, teknologi, leverandører og fysiske verdier, forklarer Security-sjefen.

De dyreste sikkerhetstiltakene er ofte de som kommer sent

I mange prosjekter kommer sikkerhetsvurderingene først når konsept, plassering, arkitektur og tekniske løsninger allerede er bestemt. Da er det færre gode valg igjen, og nødvendige endringer kan føre til omprosjektering, forsinkelser og høyere kostnader.

Det er bakgrunnen for at stadig flere virksomheter tar i bruk Security by Design. Dette er et enkelt prinsipp. Prosjektet skal bygge sikkerheten inn fra start, ikke legge den til etterpå. Mens løsningene fortsatt kan endres, kan prosjektet kartlegge trusler, verdier og avhengigheter og gjøre funnene om til tydelige krav. Det gir bedre løsninger og lavere kostnader over tid. Sikkerhet må følge hele livsløpet.

Tidligfase

Kartlegg trusler, sårbarheter, verdier og kritiske avhengigheter. Vurder også regelverk, plassering, sikring, beredskap og hvordan driften kan fortsette hvis noe skjer. Da får prosjektet et bedre grunnlag for de viktigste valgene.

Prosjektering og bygging

Gjør analysene om til konkrete krav til blant annet fysisk sikring, adgangskontroll, soner, IT- og OT/SCADA-systemer, personell, leverandører og innkjøp. Følg kravene opp underveis, slik at de ikke blir liggende i en rapport.

Drift

Øv, lær av hendelser og planlegg hvordan virksomheten skal holde driften i gang og få systemene raskt opp igjen. Sikkerhetsarbeidet må utvikle seg i takt med nye trusler, ny teknologi og nye leverandører.

- I dagens trusselbilde er ikke spørsmålet om sikkerhet påvirker prosjektet. Spørsmålet er når. Derfor bør sikkerhet vurderes samtidig som virksomheten tar de store beslutningene, ikke etterpå, sier Else Gjerdeplass.

Ulike sektorer – samme grunnleggende spørsmål

Behovene varierer, men spørsmålene er ofte de samme. I kraftanlegg må virksomheten se fysisk sikring, adgang, OT/SCADA, leverandører og beredskap under ett. Vannverk må kunne levere trygt vann også ved strømbrudd, digitale hendelser eller bortfall av eksterne tjenester. Datasentre må vurdere sikkerhet allerede ved valg av tomt og konsept. Havner og industriområder må ha kontroll på områder, personell, leverandører, digitale systemer og beredskap.

Sikkerhet er tverrfaglig

Ett sikkerhetstiltak kan påvirke arkitektur, tekniske systemer, drift, innkjøp, kostnader og organisering. Derfor må sikkerhetsfolk jobbe tett med fagmiljøene som planlegger, bygger og drifter løsningene. Målet er ikke flest mulig tiltak, men tiltak som beskytter, fungerer i hverdagen og lar seg gjennomføre.

Tre spørsmål ledelsen bør stille seg

• Hvilke eksterne avhengigheter kan stoppe driften/leveransen vår?
• Hvilke av disse har vi minst kontroll over?
• Hvilke sikkerhetsvurderinger må vi gjøre før neste store investeringsbeslutningene?

Robusthet er blitt et konkurransefortrinn

Tradisjonelt har sikkerhet handlet om å forhindre hendelser. I dag handler det også om evnen til å opprettholde drift når noe faktisk skjer.

Virksomheter som forstår sine viktigste avhengigheter og bygger sikkerhet inn i beslutningene sine, står bedre rustet til å møte både nye trusler og nye regulatoriske krav. Det handler ikke bare om sikkerhet, men også om tillit, leveranseevne og konkurransekraft.

– God sikkerhet handler om å vite hva som må fungere, og hva som skjer dersom det slutter å fungere. De virksomhetene som lykkes best, er de som forstår risikoen sin og bygger organisasjoner som tåler å møte den, sier Gjerdeplass.