I forrige uke meldte Nasjonal sikkerhetsmyndighet (NSM) om det første faktiske dataangrepet med skadelig programvare mot samfunnskritiske it-systemer. Det dreier seg om trojaneren Stuxnett, som er skreddersydd for angrep på to av Siemens’ prosess- og kontrollsystemer, kalt SCADA-systemer (Supervisory Control and Data Acquisition).
Les mer her: Samfunnsfunksjoner mål for ny type dataangrep
Disse lukkede systemene brukes blant annet til å styre samfunnskritiske systemer innen blant annet oljeutvinning og strømforsyning.
Minnepinne
Trolig har angrepet kommet via minnepinner. Ifølge NSM er også norske virksomheter rammet, men informasjon om hvilke og eventuelt skadeomfang er ikke kommet ut.
Scada kjøres gjerne opp mot en plattform eller operativsystem fra Microsoft. Stuxnett var i omløp i et helt år før Microsoft laget en såkalt patch, som tetter sikkerhetshull og stenger den ute.
Oppdateres aldri
Men trusselen er ikke borte før patchen er kjørt på maskiner som er utsatt for risiko, og NSM er bekymret fordi de berørte bedriftene ikke er blant de kjappeste i klassen når det gjelder oppdateringer.
– Det er normalt at datanettverk i store bedrifter og organisasjoner ligger flere måneder bak Microsofts oppdateringssyklus, skriver sikkerhetsmyndigheten. Og i mange Scada-systemer blir det ikke prioritert å rulle ut sikkerhetsoppdateringer på grunn av driftsmessige utfordringer.
– En del systemer i lukkede produksjonsnett oppdateres gjerne aldri, da man ikke har anledning til å ta ned systemene. Disse vil være utsatt for spesielt høy risiko, skriver NSM i sitt sikkerhetsvarsel.
Høy beredskap
Norges vassdrags- og energidirektorat (NVE) er ikke urolig på vegne av kraftbransjen.
– Jeg vil ikke avkrefte eller bekrefte om kraftselskaper ble rammet av angrepet. Dette er en påminnelse om at vi hele tiden må være på tå hev i forhold til it-beredskapen. Vi råder selskapene til å sørge for avtaler med sine systemleverandører om rask tetting av sikkerhetshull. Vårt inntrykk er at de prioriterer sikkerhet og beredskap høyt, lyder kommentaren fra seksjonssjef Arthur Gjengstø ved beredskapsseksjonen hos NVE.
