Nettsikkerhet i kritiske sektorer: utfordringer, trusler og forsvar

Informatec Digital » Ressurser » Nettsikkerhet i kritiske sektorer: utfordringer, trusler og forsvar

Nettsikkerhet i kritiske sektorer har blitt en stor bekymring for myndigheter og bedrifter. Det er ikke bare et teknisk spørsmål: beskyttelsen av disse infrastrukturene er avgjørende for strømmen i hjemmene våre, vannet i kranene våre, pengene vi håndterer daglig og helsehjelpen vi mottar. Når disse systemene svikter på grunn av et nettangrep, slutter problemet å bare være et dataproblem og blir et sosialt, økonomisk og til og med geopolitisk et.

I Spania finnes det tusenvis av anlegg som regnes som kritisk infrastruktur , og forstyrrelser kan forårsake svært alvorlig skade på landet. Samtidig fortsetter antallet og kompleksiteten av angrep å øke, drevet av kriminelle grupper, statlige aktører og hybride kampanjer som blander digitale og fysiske elementer. I denne sammenhengen er det ikke lenger valgfritt å styrke cybersikkerheten i disse sektorene: det er en strategisk prioritet.

Hva mener vi med kritisk infrastruktur og strategiske sektorer?

Kritisk infrastruktur omfatter alle anlegg, nettverk, systemer, tjenester og utstyr – fysiske eller virtuelle – hvis svikt direkte ville påvirke statens grunnleggende funksjon og innbyggernes daglige liv. Dette inkluderer energi, vann, transport, helsevesen, finans, mat, telekommunikasjon og viktige offentlige tjenester. Å identifisere og klassifisere sårbarheter er nøkkelen til å prioritere tiltak og ressurser på disse områdene.

Spansk lovgivning, særlig lov 8/2011 om beskyttelse av kritisk infrastruktur , skiller mellom to nøkkelbegreper: strategisk infrastruktur og kritisk infrastruktur. All kritisk infrastruktur er strategisk, men ikke all strategisk infrastruktur blir kritisk.

Strategisk infrastruktur omfatter et bredt spekter av fasiliteter og nettverk som støtter viktige tjenester, men som i noen tilfeller kan erstattes eller kompenseres med alternativer. I motsetning til dette anses infrastruktur som kritisk når driften er absolutt uunnværlig og det ikke finnes noe levedyktig alternativ innen rimelig tid.

Derfor er kritisk infrastruktur en spesielt sensitiv delmengde av strategisk infrastruktur: en forstyrrelse av den ville ha en alvorlig innvirkning på én eller flere viktige tjenester, noe som ville sette sikkerheten, økonomien eller sosial velferd i fare.

Lov 8/2011 og dens implementeringsforskrifter identifiserer følgende sektorer som spesielt sårbare : offentlig forvaltning, romfart, kjernekraft- og kjemisk industri, vannkretsløpet, energi, helse, informasjons- og kommunikasjonsteknologi, transport, mat og finans- og skattesystemet, blant andre. Alle disse sektorene er i økende grad avhengige av sammenkoblede digitale systemer.

Nettsikkerhet i kritisk infrastruktur: konsept og omfang

Nettsikkerhet anvendt på kritisk infrastruktur omfatter settet med retningslinjer, teknologier, prosesser og organisatoriske tiltak som tar sikte på å beskytte disse anleggene mot digitale trusler, inkludert skysikkerhet . Hovedmålet er å garantere tilgjengeligheten, integriteten og konfidensialiteten til systemene og dataene som støtter viktige tjenester.

Dette innebærer å beskytte både bedriftens informasjonssystemer (IT) og driftsmiljøer (OT), der industrielle kontrollsystemer (ICS), SCADA, PLS-er og annet utstyr befinner seg som samhandler direkte med fysiske prosesser, som styring av strømnettet, vannbehandlingsanlegg, oljerørledninger, raffinerier eller jernbanesystemer.

Et sentralt trekk ved cybersikkerhet i kritiske sektorer er konvergensen mellom IT og OT . I årevis forble de isolerte: forretnings- og databehandlingssystemer opererte på den ene siden, og industrielle kontrollsystemer på den andre, ofte uten direkte internettforbindelse. Digitalisering, industriell IoT og behovet for sanntidsovervåking har brutt ned disse barrierene.

Denne konvergensen gir effektivitet, synlighet og sentraliserte administrasjonsmuligheter, men den åpner også for nye angrepsflater . Mange OT- og IoT-enheter ble ikke designet med robuste sikkerhetskriterier, oppdateringer er komplekse, og livssyklusene er lange. Resultatet er et sammenkoblet økosystem der et IT-brudd kan ende opp med å påvirke tidligere isolerte industrielle systemer.

I denne sammenhengen søker forsvarsstrategier å forhindre tjenesteavbrudd, sabotasje, spionasje, prosessmanipulasjon og tyveri eller kapring av informasjon, samtidig som de opprettholder driftskontinuitet og overholdelse av sektorspesifikke regulatoriske og normative krav.

Essensielle tjenester og økende digital sårbarhet

Så godt som alle moderne nødvendige tjenester er avhengige av digitale systemer: automatiserte kraftverk, smarte distribusjonsnettverk, vannbehandlingsanlegg, flyplasser, havner, T-banenettverk, hypertilkoblede sykehus, minibanker, nettbankplattformer og elektroniske skattesystemer.

Denne teknologiske avhengigheten har en direkte konsekvens: ethvert alvorlig cyberangrep blir raskt et konkret problem for befolkningen . Det forblir ikke en intern datahendelse; det kan føre til at nabolag blir uten strøm, lamme toglinjer, forstyrre operasjoner eller hindre millioner av mennesker i å få tilgang til pengene sine.

Nylige eksempler illustrerer omfanget av vår sårbarhet. Løsepengevirusangrepet på det irske helsevesenet i 2021 tvang nedstengning av kliniske systemer og avlysning av avtaler og behandlinger i timevis, noe som skapte driftsmessig kaos og satte pasientsikkerheten i fare. Lignende situasjoner har oppstått i andre land, og har påvirket sykehus, forsyningskjeder og drivstoffnettverk. Disse hendelsene krever spesialisert digital rettsmedisinsk analyse for å forstå omfanget og gjenopprette driften.

I Spania gjenspeiler dataene en betydelig økning i hendelser som rammer organisasjoner i strategiske sektorer. På bare ett år økte andelen enheter som fikk uautorisert tilgang til systemene sine med mer enn tjue prosentpoeng, noe som viser akselerasjonen av digital risiko og behovet for kritiske oppdateringer og kontinuerlig forsterkning.

Alt dette forklarer hvorfor beskyttelse av kritisk infrastruktur har blitt en prioritet for både nasjonal og forretningsmessig sikkerhet , og hvorfor europeiske og nasjonale regelverk fremmes spesielt med sikte på å styrke dens motstandskraft.

De viktigste cybertruslene i kritiske sektorer og infrastrukturer

Trusselbildet rundt kritisk infrastruktur blir stadig mer komplekst. Det kombinerer nettkriminalitetskampanjer for økonomisk vinning , statsstøttet nettspionasje og sabotasjeoperasjoner, hacktivistangrep og menneskelige feil eller tillitsbrudd begått av enkeltpersoner med legitim tilgang.

En spesielt relevant type trussel er avanserte vedvarende trusler (APT-er) . Dette er langvarige, svært målrettede og organiserte operasjoner, ofte assosiert med etterretningstjenester eller statsstøttede grupper. De utfolder seg vanligvis i flere faser: nettverksinntrenging gjennom sårbarheter eller sofistikert phishing, lateral bevegelse og privilegieeskalering, og til slutt, uttak av sensitiv informasjon eller forberedelse til sabotasje.

Ulike analyser indikerer at en stor andel av angrepene som retter seg mot kritisk infrastruktur er økonomisk motiverte , enten det er gjennom utpressing, tyveri av åndsverk eller svindel. Blant de mest aktive gruppene er APT28 (Fancy Bear), ofte knyttet til russiske interesser; Mustang Panda, assosiert med kampanjer med opprinnelse i Kina i Europa og andre regioner; og APT34 (OILRIG), som fokuserer på energisektoren i Midtøsten.

I mellomtiden har løsepengevirus blitt en av de mest ødeleggende truslene mot kritiske sektorer. I disse angrepene krypteres eller låses systemer inntil løsepenger er betalt, ofte ledsaget av trusselen om lekkasje av sensitive data. Colonial Pipeline-angrepet i 2021, som forårsaket forstyrrelser i drivstoffforsyningen i deler av USA, er et godt eksempel på hvordan et cyberangrep kan føre til lange køer på bensinstasjoner og forsyningsproblemer.

Sabotasje og spionasje med geopolitiske motiver har også økt. Energi-, transport- og helseoperatører er mål for kampanjer som søker å destabilisere, legge press på eller rett og slett innhente strategisk informasjon. Stuxnet-hendelsen, som rammet sentrifuger ved Irans kjernekraftverk i Natanz, er fortsatt et av de mest studerte tilfellene av skadelig programvare som er spesielt utviklet for å forstyrre fysiske industrielle prosesser.

En annen betydelig risikofaktor er interne trusler . Dette er ikke alltid ondsinnede ansatte; mange sikkerhetsbrudd stammer fra feil utført av interne ansatte eller leverandører, mangel på opplæring, dårlig praksis for passordhåndtering eller uaktsomhet i håndhevingen av sikkerhetspolicyer.

Forsyningskjeden legger til et nytt lag med kompleksitet. Kritisk infrastruktur er avhengig av et nettverk av produsenter, integratorer, vedlikeholdsselskaper, programvareleverandører og skytjenesteleverandører. En angriper kan utnytte det svakeste leddet – for eksempel en kompromittert oppdatering, en usikker forhåndskonfigurert enhet eller en leverandør med dårlig praksis – for å få tilgang til en kritisk operatørs system uten å angripe det direkte.

Transportsektoren illustrerer denne risikoen perfekt, og står for en høy andel hendelser i noen nasjonale rapporter. Et angrep på en jernbane- eller flyplassoperatør, eller deres teknologileverandører, kan ha kaskadeeffekter: ruteforstyrrelser, varer som blir stående igjen i havner eller logistikknutepunkter, lagermangel og betydelige økonomiske tap.

Videre blir hybridangrep stadig mer fremtredende , og kombinerer cyberaksjoner med fysiske hendelser for å forsterke virkningen. Den delvise mørkleggingen i Ukraina i 2015, etter et cyberangrep mot strømselskaper, og droneoverflyvningskampanjene på skandinaviske flyplasser som tvang frem stengning av luftrommet av sikkerhetsmessige årsaker, er eksempler på hvordan den digitale og fysiske verdenen er sammenflettet.

Regelverk, robusthet og hendelsesrespons

Forsvaret av kritisk infrastruktur er avhengig av et spesifikt regulatorisk og organisatorisk rammeverk som kombinerer nasjonal lovgivning, europeiske direktiver og tekniske standarder. I Spania etablerer den nevnte lov 8/2011 som sitt primære mål å beskytte denne infrastrukturen mot trusler, gjennom implementering av integrerte tiltak som omfatter både fysisk og logisk sikkerhet. Definisjonen av retningslinjer og standarder, slik som de som styrer flerbruker- og flerleietakermiljøer, er en del av dette rammeverket.

Et av nøkkelbegrepene er cyberrobusthet , forstått som evnen til å forutse, motstå, tilpasse seg og komme seg etter en hendelse uten å miste, eller med bare begrenset tap av, operativ kapasitet. Spesifikke beskyttelsesplaner (SPP-er) faller innenfor dette rammeverket og omfatter risikoanalyse, tekniske og organisatoriske sikkerhetstiltak og klare protokoller for handling i tilfelle en hendelse.

På europeisk nivå forsterker direktivet om motstandskraft for kritiske enheter (CER), som ble vedtatt i 2022, målet om å redusere sårbarheter og forbedre gjenopprettingskapasiteten etter alvorlige hendelser, inkludert hybridangrep. Det forplikter medlemslandene og kritiske enheter til å vedta konkrete tiltak for sikkerhet, risikostyring og hendelsesrapportering.

I Spania fungerer INCIBE-CERT (INCIBEs senter for respons på cybersikkerhetshendelser) som det nasjonale referansesenteret for håndtering av cyberhendelser. Det tilbyr tjenester døgnet rundt, året rundt, utsteder sårbarhets- og trusselvarsler og koordinerer den tekniske responsen med offentlige og private organisasjoner.

Når hendelser rammer kritiske operatører i privat sektor, koordineres responsen med innenriksdepartementets kontor for koordinering av cybersikkerhet (OCC) , som fungerer som et møtepunkt mellom sikkerhetsstyrker og de ulike involverte etatene.

Kontinuerlig overvåking av systemer gjennom avanserte overvåkingsteknologier muliggjør deteksjon av unormal atferd i nær sanntid . INCIBE-CERT og andre spesialiserte sentre bruker aggregerte etterretningskilder, matet av flere sensorer og rapporter, for å utvikle tidlige varsler og varsle potensielt berørte organisasjoner om hendelser. Logganalyse er en viktig del av denne prosessen.

I praksis kombinerer de fleste kritiske operatører sikkerhetsoperasjonssentre (SOC-er) med hendelsesresponsteam (CSIRT-er), i samsvar med regulatoriske forpliktelser og koblet til offisielle rapporterings- og koordineringskanaler.

Viktige tekniske strategier: segmentering, overvåking og tilgangskontroll

I kritisk infrastruktur er det ikke nok å bare installere antivirusprogramvare og en brannmur. Det er nødvendig å distribuere lagdelte sikkerhetsarkitekturer som minimerer virkningen av et potensielt sikkerhetsbrudd og begrenser angriperen.

En av de mest utbredte fremgangsmåtene er nettverkssegmentering . Dette innebærer å dele miljøet inn i separate soner eller segmenter, med tilgangskontroller og trafikkfiltrering mellom dem. På denne måten, selv om en angriper klarer å få tilgang til ett punkt, vil det være mye vanskeligere for dem å bevege seg fritt i resten av nettverket.

I industrielle miljøer er det svært vanlig å bruke Purdue-modellen , som organiserer systemer i ulike nivåer, fra felt- og kontrollutstyr til bedriftsnettverket. Mellom disse nivåene etableres industrielle demilitariserte soner, brannmurer, proxyer og andre kontroller for å forhindre direkte eksponering av de mest sensitive OT-systemene for bedriftsnettverk eller internett.

Med utgangspunkt i dette fundamentet tar mange organisasjoner det et skritt videre med mikrosegmentering , som legger til enda mer detaljerte kontroller, for eksempel på applikasjons- eller arbeidsflytnivå. Denne strategien er spesielt nyttig i kritiske infrastrukturer med eldre systemer som er vanskelige å oppdatere, der området som er tilgjengelig fra andre segmenter minimeres.

Overvåking og tidlig deteksjon kompletterer bildet. Organisasjoner tar i bruk kontinuerlige overvåkingsverktøy, systemer for deteksjon og forebygging av inntrenging (IDS/IPS) , analyse av nettverkstrafikk og analyse av bruker- og enhetsatferd (UEBA), som er i stand til å identifisere avvikende mønstre som unnslipper tradisjonelle signaturbaserte kontroller.

Kunstig intelligens begynner å spille en ledende rolle i disse sikkerhetsoperasjonssentrene, ved å gjøre det mulig å oppdage subtile avvik i den normale oppførselen til OT- og IT-systemer, korrelere hendelser i store datamengder og generere mer nøyaktige varsler, noe som reduserer støy og antall falske positiver.

Til slutt er robuste tilgangskontroller – inkludert flerfaktorautentisering, streng rettighetshåndtering, separasjon av oppgaver og omfattende aktivitetslogging – avgjørende for å minimere risikoen forbundet med interne brukere, tjenestekontoer og ekstern leverandørtilgang, sammen med gode sikkerhetspraksiser på systemer og servere.

Menneskelig faktor, sikkerhetskultur og samarbeid

Mange alvorlige hendelser viser at det svakeste leddet fortsatt er den menneskelige faktoren . Et klikk på en phishing-e-post , et gjenbrukt passord, en ukryptert bærbar PC eller dårlig administrasjon av privilegert tilgang kan åpne døren for et angrep som til slutt påvirker en kritisk tjeneste.

Derfor trenger organisasjoner som administrerer kritisk infrastruktur, utover teknologi, robuste opplærings- og bevisstgjøringsprogrammer for alt personell, inkludert ledere, teknikere, anleggspersonell og støtteteam. Det handler ikke bare om å tilby sporadiske kurs, men om å bygge en ekte sikkerhetskultur.

Dette innebærer å integrere risikostyring for cybersikkerhet i forretningsprosesser og daglig drift , definere tydelige ansvarsområder, regelmessig gjennomgå retningslinjer og prosedyrer, og oppmuntre til at mistenkelig atferd kan rapporteres uten frykt for gjengjeldelse.

Samarbeid mellom interne avdelinger – IT, OT, drift, juridisk, compliance og HR – er også avgjørende. Historisk sett har IT-team og fabrikkledere operert i nesten separate verdener, men digital konvergens krever koordinert risikostyring.

I kritiske sektorer er samarbeid med offentlige myndigheter og reguleringsorganer like viktig . Noen regelverk krever rapportering av hendelser innenfor bestemte tidsrammer, deling av informasjon om trusler og koordinering av handlingsplaner med departementer, sikkerhetsstyrker eller spesialiserte etater.

Denne felles innsatsen gjør det mulig å heve beskyttelsesnivået for hele økosystemet , ettersom informasjon om et angrep oppdaget i ett selskap kan brukes til å forhindre hendelser i andre organisasjoner i samme sektor eller i relaterte infrastrukturer.

Nye utfordringer: kunstig intelligens, automatiserte data og kvantedatamaskinering

Den nåværende digitale revolusjonen introduserer både nye forsvarsverktøy og nye angrepsvektorer . Kunstig intelligens, avansert automatisering og, i en ikke altfor fjern fremtid, kvantedatamaskiner, forandrer fundamentalt hvordan cybersikkerhet forstås i kritiske sektorer.

På den ene siden tillater defensiv kunstig intelligens analyse av enorme mengder drifts- og sikkerhetsdata, deteksjon av uvanlige mønstre i sanntid og utløsning av automatiserte responser, for eksempel isolering av en kompromittert node, omkonfigurering av et nettverk eller dynamisk justering av tilgangspolicyer.

Generativ AI kan bidra til å syntetisere informasjon om trusler og utvikle komplekse deteksjonsregler, mens agentisk AI er i stand til å planlegge og utføre autonome handlinger innenfor forhåndsdefinerte rammeverk for å opprettholde tjenestekontinuitet i møte med hendelser.

Imidlertid brukes de samme funksjonene på den offensive siden. Angripere bruker allerede AI for å optimalisere phishing-kampanjer , generere mer unnvikende skadelig programvare, oppdage sårbarheter og automatisere lateral bevegelse i komplekse nettverk. Videre kan AI-modellene som brukes av kritisk infrastruktur selv bli mål: angrep på treningsdata, manipulering av algoritmer, injeksjon av skadelige data eller endring av resultater kan føre til feilaktige beslutninger i automatiserte prosesser.

Derfor krever beskyttelse av AI-systemer spesifikke tiltak : å sikre integriteten og konfidensialiteten til treningsdata, overvåke modellslutninger og -utdata for å oppdage avvik, etablere strenge tilgangskontroller til utviklings- og distribusjonsmiljøer, og kontinuerlig gjennomgå modeller for mulig manipulasjon.

Parallelt sett utgjør kvantedatamaskiner en fundamental utfordring på mellomlang og lang sikt. Mange av de kryptografiske algoritmene som er i bruk i dag, kan bli kompromittert av tilstrekkelig kraftige kvantedatamaskiner. Selv om universalutstyr som er i stand til å bryte standardkryptografi i produksjon ennå ikke er tilgjengelig, plasserer ulike estimater denne risikoen innen de neste ett eller to tiårene.

Dette perspektivet driver strategien «hent nå, dekrypter senere» : angripere lagrer krypterte data i dag med forventning om å kunne dekryptere dem når kvanteteknologien modnes. For kritisk infrastruktur, som håndterer sensitiv informasjon med lang levetid, utgjør denne tilnærmingen en betydelig risiko.

Som svar øker interessen for postkvantekryptografi , et sett med krypterings- og signaturalgoritmer som er utviklet for å motstå angrep fra fremtidige kvantedatamaskiner. Mange organisasjoner har allerede begynt å evaluere og planlegge migreringer til disse systemene, vel vitende om at dette ikke er en overgang som kan improviseres over natten.

Disse teknologiske endringene driver også frem mer dynamiske sikkerhetsmodeller, som atferdsbasert mikrosegmentering , som kontinuerlig justerer filterpolicyer i henhold til kontekst, eller nulltillitstilnærminger, som antar at ingen forbindelser er pålitelige som standard og krever kontinuerlig verifisering av identitet og kontekst, selv innenfor selve det interne nettverket.

Sikkerhetskapasiteter og brukstilfeller i viktige sektorer

For at alt det ovennevnte skal fungere i praksis, må kritiske infrastrukturer utvikle et godt integrert sett med sikkerhetsfunksjoner . En av de viktigste er enhetlig synlighet på tvers av OT- og IT-miljøer, med tydelige aktivabeholdninger, avhengighetskart og sentralisert overvåking.

Denne synligheten danner grunnlaget for sanntids trusseldeteksjonsfunksjoner , støttet av hendelseskorrelasjonssystemer, trafikkanalyse, inntrengingsdeteksjon og i økende grad avansert atferdsanalyse. Dette muliggjør identifisering av uautorisert tilgang, uvanlige bruksmønstre, kommunikasjon med kommando- og kontrolldomener og forsøk på eskalering av rettigheter.

Like viktige er de automatiserte responsfunksjonene , som er i stand til å iverksette mottiltak uten menneskelig inngripen når en alvorlig hendelse oppdages: enhetsisolering, kontoblokkering, nødsegmentering, tilbakestilling av konfigurasjon osv. I miljøer der hvert minutt teller, kan denne hastigheten utgjøre hele forskjellen.

I energisektoren har for eksempel mange selskaper implementert dedikerte OT SOC-er som integrerer SCADA-systemovervåking med analyse av industriell nettverkstrafikk. Disse sentrene har med hell blokkert sabotasjeforsøk som har som mål å forstyrre strømforsyningen, takket være tidlig oppdagelse av uautorisert tilgang til kontrollsystemer.

Innen transport, spesielt luftfart og jernbane, er beskyttelse av signal-, trafikkontroll- og kommunikasjonssystemer avgjørende. Avansert segmentering i høysikkerhetssoner , kun koblet sammen gjennom strengt kontrollerte gatewayer, har forhindret at inntrenging i bedriftsnettverk påvirker operativsystemene som styrer passasjertrafikk og sikkerhet.

Helsesektoren er i mellomtiden under økende press, ettersom helsedata er spesielt verdifulle på det svarte markedet. Sykehus og helsenettverk fokuserer både på å styrke opplæringen av ansatte mot phishing og ransomware og på å implementere ende-til-ende-kryptering for pasientinformasjon, samt sikkerhetskopierings- og gjenopprettingsplaner som muliggjør rask gjenoppretting av medisinske journaler og diagnosesystemer.

I alle disse sektorene utgjør kombinasjonen av avansert teknologi, modne risikostyringsprosesser og samvittighetsfullt personell forskjellen mellom en sårbar infrastruktur og en som er i stand til å motstå, gjenopprette og fortsette å tilby viktige tjenester selv i det verste cyberangrepsscenarioet.

Dagens virkelighet viser at cybersikkerhetsbeskyttelse i kritiske sektorer ikke lenger kan håndteres som et engangsprosjekt eller som et rent regulatorisk krav: det krever en kontinuerlig, flerdimensjonal og koordinert strategi, der teknologi, prosesser, mennesker og offentlig-privat samarbeid samles for å ivareta sikkerheten til grunnpilarene som støtter samfunnets funksjon.