Mangelfulle it-rutiner på norsk sokkel

Selskapene kan ikke dokumentere at de takler et dataangrep over nettet.

Og de kan ikke påvise at de it-baserte sikkerhetssystemene vil fungere som de skal hvis driftssystemene skulle feile.

Rapport

Det kommer frem i hittil upublisert rapport fra SINTEF på oppdrag for Petroleumstilsynet (Ptil).

SINTEF ble hyret inn av Ptil, og sammen gjorde de datatilsyn ved fire installasjoner tilhørende Statoil, BP og Exxon Mobil i fjor.

Stuxnet

Listen over uregelmessigheter er lang.

Det mangler beredskap og prosedyrer for å håndtere virus og sørge for oppdateringer av Windowsbaserte maskiner.

Ifølge Nasjonal sikkerhetsmyndighet kan trojaneren Stuxnet herje så fritt som den gjør på grunn av treghet i oppdateringer av programvare på omfattende systemer, spesielt i større selskaper.

Artikkelen fortsetter etter annonsen

annonsørinnhold

Agentisk KI: – Handler om å få KI til å utføre oppgaver og prosesser for deg nærmest av seg selv

Selskapene kan heller ikke oppvise en beredskap hvis installasjoner blir utsatt for dataangrep.

Les mer:

Har ikke oversikt

Mannskap som er intervjuet gir inntrykk av at de ikke har full oversikt over hvilke systemer som svikter hvis plattformene mister bredbåndsforbindelsen til land.

Risiko- og sårbarhetsanalyser mangler oversikt og har ofte mer fokus på å holde produksjonen i gang enn på mannskapets sikkerhet.

Stopp

Hovedformålet med tilsynet var å sjekke om de digitale sikkerhetssystemene fungerer fullstendig uavhengig av andre funksjoner om bord.

Hvis en driftsfunksjon svikter og mennesker eller materiell står i fare, skal det være mulig å ”trykke ned stopp-knappen”.

Artikkelen fortsetter etter annonsen

annonse

Tok prosjektledelse på masternivå – fikk drømmejobben. Nå er det din tur!

Tradisjonelt har dette vært mekaniske systemer, der drift og sikkerhet er bygget separat.

Felles plattform

Med digitale verktøy, kommer drifts- og sikkerhetsløsninger fra samme leverandør, og de kan være bygget på samme type plattform.

Men de skal ikke være plassert på samme plattform, for å sikre seg mot at driftsfeil skal smitte over på sikkerhetsmekanismer og sette dem ut av funksjon.

Tidligere har du kunnet lese i Teknisk Ukeblad om hvordan amerikanske Ptil - med norsk hjelp - undersøker om dette kan ha vært en medvirkende årsak til ulykken med Deepwater Horizon.

Sintefs rapport avdekker flere tilfeller med bruk av felles nettverk og at det er forbindelse mellom drifts- og sikkerhetssystemer.

Kan ikke dokumentere

– Vi kan ikke si at dette vil føre til en svikt i sikkerhetssystemene, men selskapene kan heller ikke dokumentere at det er godt nok avskjermet, sier prosjektleder Tor Onshus hos Sintef.

Han er professor i instrumenteringsteknikk.

– Ting kan sikkert bli bedre, det er det ingen tvil om. Men å si at situasjonen på norsk sokkel er farlig sett i lys av katastrofen i Mexicogulfen - det er å strekke det litt langt, sier Onshus.

Ikke kritisk

– Bildet totalt sett kan se mørkt ut, men ingen av disse funnene var sikkerhetsmessig kritiske, sier fagleder på prosessintegritet Torleif Husebø hos Ptil.

Han ledet tilsynene i de tre selskapene.

– Vi snakker ikke om avvik fra forskriftene, men om forbedringspunkter, påpeker han.

– Kan bli bedre

Teknisk Ukeblad har forsøkt å ta kontakt med Statoil for å få kommentarer til rapporten og informasjon om hva som er gjort i etterkant. Det har så langt ikke lyktes.

Oljeindustriens Landsforening kommenterer at datasikkerhet står på dagsorden hele tiden.

– Som i alt sikkerhetsarbeid kan man alltid bli bedre. Vi har ikke opplevd angrep eller systemsvikt som har ført til at funksjoner er blitt skrudd av, men man må hele tiden være bevisst. Og denne rapporten fra Ptil bidrar til det, sier informasjonssjef Kjetil Hjertvik hos OLF.