Inom många verksamheter pågår en febril aktivitet att integrera mellan nya och gamla system som ett led i att bli konkurrenskraftiga och skapa mervärden för kunder och andra aktörer. Men integration av olika system kan vara förenat med en säkerhetsrisk, då den kan bidra till att öppna upp möjliga ingångar för attackerare om inte säkerheten tas på tillräckligt stort allvar. Så hur gör man en säker systemintegration?
Identifiera din mest värdefulla information
Integration bör göras utifrån vilken information som behöver delas för att skapa konkurrenskraft och effektivitet, inte vilken teknisk lösning som finns till hands. Det första du ska göra är därför att identifiera dina mest värdefulla tillgångar. Vilken information är mest kritisk och därmed värd att skydda?
Klassificera och identifiera säkerhetsbehov
Nästa steg är informationsklassificering vilket innebär att klassificera informationen och definiera olika säkerhetsbehov. För att göra klassificeringen måste du utvärdera aspekter som värdet och känsligheten av informationen, lagkraven och vikten av informationen för verksamheten. Ett bra sätt att komma fram till hur klassificeringen ska göras är använda en risk- och säkerhetsanalys. Med hjälp av den kartlägger du snabbt och effektivt din nuvarande informationssäkerhet och även ditt framtida behov.
Gör en riskanalys
Det är varken praktiskt eller ekonomiskt försvarbart att skydda all information på samma sätt. För att säkra den mest skyddsvärda informationen bör strikt nätverkssegmentering tillämpas. Detta betyder att du skapar zoner med olika säkerhetsnivå.
I den initiala, enkla riskanalysen tittar man på ett worst case-scenario, alltså det värsta som kan hända i verksamheten. Här räknar man med att man inte vidtagit några åtgärder för att reducera de risker som finns. Man behöver en del input i denna fas, så som:
- Övergripande systemarkitektur – man behöver veta vilka system som ingår för att systematiskt kunna gå igenom dem.
- Riskkriterier och riskmatris med tolererbar risk – vilka risker kan vi acceptera och vad måste vi åtgärda? Hur mäter vi risk?
- Befintliga riskanalyser – har vi gjort någon slags riskanalys tidigare och kan använda oss av delar därifrån?
- Information om hotbild – vad skulle kunna hända? Vilka hot finns gentemot organisationen?
Utifrån denna input kan man alltså räkna ut en worst case-risk som de olika delarna i systemet blir utsatta för utan säkerhetsfunktioner eller segmentering. Det man ska fråga sig är vilken påverkan en cyberattack som medför att systemen sätts ur spel får på verksamheten? Hur stor blir spridningseffekten? Hur stora geografiska områden påverkas och hur många människor påverkas? Om eldistributionen skulle stängas av kan många människor påverkas. Finns det kritisk verksamhet (t.ex. sjukhus) som är beroende av eltillförsel? I den initiala riskanalysen är man bara intresserad av konsekvensen och antar då att sannolikheten är ’ofta’.
Genom att definiera våra olika worst-case-scenarion och koppla dessa till de olika systemen kan vi göra en initial zonindelning där systemen placeras i zoner tillsammans med andra system med samma nivå av skyddsvärde.
Läs om hela processen här!
Säkerhets/informationspolicyn hjälper dig att upprätthålla säkerheten
Baserat på informationsklassningen kan även en säkerhets/informations-policy fastställas. Genom att endast tillåta informationsutbyte enligt en väldefinierad informationspolicy blir det enklare att höja sin informationssäkerhet utan att göra avkall på funktionalitet. Policyn kommer att fungera som din guide för beslut om information och säkerhet och hjälper dig att arbeta kontinuerligt och systematiskt med din informationssäkerhet.
Gör en zonindelning
När du har gjort din riskanalys är det dags att dela upp dina system i säkerhetszoner. På så sätt är det lättare att skydda varje zon på ett lämpligt sätt. Följ dessa fem steg för att komma igång:
1. Skapa en zonmodell
För att få struktur på segmenteringsprojektet bör man skapa en zonmodell som definierar vilka typer av zoner man har och vilka säkerhets- och assurans-krav man har på säkerhetsfunktionerna som separerar zonerna.
2. Definiera vad som ska segmenteras
Definiera vilket eller vilka system som ska segmenteras och som därmed ingår i segmenteringsprojektet. Det är ytterst viktigt att omfattningen för projektet är tydligt definierad och väl kommunicerad till alla inblandade. Rita en högnivå-bild över systemen som ska segmenteras där gränser till andra system finns inritade. Beskriv även vilka dataflöden som kommer finnas in och ut ur systemen.
3. Gör en säkerhetsanalys av ingående system
De system som ingår i segmenteringsprojektet behöver klassificeras med avseende på deras skyddsvärde. Klassificeringen bör ske löpande av verksamheten men en säkerhetsanalys kan identifiera system och information som inte blivit klassificerad.
4. Partitionera systemen enligt zonmodellen
Placera systemen enligt zonmodellen. Placering baseras på krav på säkerhet, tillgänglighet, funktion och driftansvar. Förståelse för hur de olika systemen kommunicerar med varandra på nätverksnivå är central. Minimera kommunikationen mellan zoner, dvs över zongränserna. Kontrollera informationsflöden mellan zonerna.
5. Implementera, testa och driftsätt
För att segmenteringsprojektet ska gå från pappersprodukt till verklighet kommer säkerligen olika komponenter (applikationer, brandväggar, switchar, osv.) behöva konfigureras om och i vissa fall måste nätverk delvis byggas om. De olika säkerhetslösningarna konfigureras, testas och driftsättas. I detta steg riskerar segmenteringsprojektet att påverka den pågående verksamheten i form av nedtid.
Säker systemintegration av IT/OT – en integration som kan vara en utmaning
Operational Technology (OT) är ett begrepp som innefattar alla de delsystem som behövs för att styra och övervaka en fysisk process, exempelvis ett kraftverk. Historiskt har OT-system ofta varit helt frikopplade från omvärlden. I takt med samhällets digitalisering har behovet att koppla samman OT-system med IT-systemen ökat. Denna integration är en stor utmaning ur säkerhetssynpunkt då risken finns att någon olovandes påverkar eller ändrar i systemet.
Under senare år har NIS-direktivet och en ny säkerhetsskyddslag gjort att nya, högre krav ställs på bolag inom kritisk infrastruktur gällande informationssäkerhet. För att uppgradera säkerheten till att möta kraven från tillsynsmyndigheten och samtidigt behålla tillgängligheten till digital information behövs lösningar som kan separera och kontrollera dataflöden.
I korthet är det följande lösningar som behövs:
- Separera IT och OT fysiskt med Zonindelning
- Använd datadiod i Zongränsen för dataflöden ut från OT
- Allowlisting av information i Zongränsen
Intresserad av mer information om säker IT/OT integration? Du hittar det här!
