– Energibransjen må forvente enda mer krevende utfordringer framover. Vi må ta høyde for at de avanserte forsøkene på å komme seg inn i energisektorens datasystemer, kan bli enda mer avanserte i framtiden, sier beredskapssjef Arthur Gjengstø til Teknisk Ukeblad i Norges- vassdrags og energidirektorat (NVE).
I dag ble det kjent at Nasjonal sikkerhetsmyndighet (NSM) har avdekket omfattende dataangrep mot norske selskaper i olje- og energibransjen.
Noen timer senere ble det klart at Statnett er blant de rammede. Selskapet klarte å forhindre at skadelig programvare ble installert på bedriftens datamaskiner.
Les også: Statnett angrepet av skadevare
Egen evne avgjørende
Samtidig ble 200 nettselskap, kraftselskap og fjernvarmeselskap kontaktet og bedt om å gå igjennom egne systemer for logging av uønsket trafikk på egne nettsider.
Ifølge Gjengstø vil selskapenes evne til å annet kartlegge aktiviteten på egne nettsider være vesentlig i å forebygge angrep i tiden framover.
– Vi tror den største utfordringen for mange selskap vil være om de har gode nok systemer for logging av uønsket trafikk inn eller ut av virksomheten. Det handler om hvor raskt de greier å detektere uønsket trafikk inn mot nettverk. De må ta seg tid til å analysere hva som har skjedd for å lære av hendelsen, og forebygge mer alvorlige hendelser i framtiden, sier Gjengstø til Teknisk Ukeblad.
NVE har tidligere skjerpet regelverket for de aller mest kritiske systemene for overvåking og styring av kraftsystemet. Direktoratet samarbeider nå med et knippe selskap for å øke bransjens egen kompetanse til å analysere og reagere på dataangrep.
Det er likevel på det rene at kraftsektoren ikke har for vane å øve på såkalte tilsiktede hendelser, ondsinnede angrep utenfra, slik Teknisk Ukeblad skrev om i januar i fjor.
Nå planlegger direktoratet en IKT-øvelse i samarbeid med Post- og teletilsynet, NSM og Direktoratet for samfunnssikkerhet og beredskap i 2015.
Les også: Her gjør Norges formelle ekspertise på forebyggende it-sikkerhet en sikkerhetstabbe
"Skjerpet årvåkenhet"
– Vi har tidligere utfordret bransjen til å bli flinkere til å øve på IKT-utfordringer generelt, og bevisste angrep som kan føre til skader på kontroll- og styringssystemer spesielt. Vi ser gjerne at selskapene legger dette inn i sine beredskapsplaner, og har øvelser minst en gang i året, sier Gjengstø.
– Vil dere legge inn nye krav om hvordan selskapene må forholde seg til datasikkerhet i beredskapsforskriften?
– Om vi eventuelt skal endre forskriften, er noe vi vurderer fortløpende, sier Gjengstø, og legger til:
– Energiselskap må finne seg i å ha mer skjerpet årvåkenhet enn de har vært vant til når det kommer til IKT-sikkerhet. Vi oppfordrer bransjen til å ta sikkerhetsmyndighetenes trusselvurdering på høyeste alvor, sier Gjengsø til Teknisk Ukeblad.
Les også: Slik vil Nerdalize tilby gratis oppvarming
Samarbeidet med NSM
NVE har vært klar over at det har pågått en infiltreringskampanje mot energisektoren i flere land. Direktoratet har jobbet med saken i samarbeid med NSM.
.png){kind=logo}
– Vi har hatt en tett dialog med NSM i løpet av sommeren, og hatt direkte oppfølging av et større antall energiselskap i disse månedene. Hensikten har vært å sjekke ut, informere og forebygge, sier Gjengstø.
– Vi har så langt ingen informasjon om at noen har kommet seg inn i systemer som har hatt potensiale til å true strømforsyningen, sier Gjengstø.
Les også:
Vil dekke veiene med «smarte» solcellepaneler
