Når maskiner kobles på netværk, cloud og fjernadgang, kan et angreb eller blot en utilsigtet ændring give forstyrrelser af driften eller i værste fald skabe farlige situationer for medarbejderne. Den nye EU-maskinforordning gør derfor cybersikkerhed til et eksplicit krav, og den nye europæiske norm (EN 50742) giver en konkret ramme for, hvordan man kan gøre maskinens sikkerhedsfunktioner cybersikre. Men hvordan vurderer man, om en maskine er godt nok rustet?
Seniorspecialist ved Teknologisk Institut Morten Kühnrich har lavet en tjekliste, der omsætter kravene til spørgsmål, I kan bruge direkte i dialogen med leverandører. Maskinforordningen kræver, at styresystemet kan logge relevante indgreb og ændringer, og at disse sporingslogge gemmes i mindst fem år. Det handler om at kunne se, hvilke ændringer der er foretaget, hvornår de fandt sted og ideelt af hvem.
Har man ikke en velfungerende logging, står virksomheden svagt, når der skal findes årsager, drages erfaringer eller dokumenteres over for myndigheder og kunder, at maskinen har været i sikker drift.
Sikkerhedskontekst: I hvilken verden står maskinen?
Begrebet “sikkerhedskontekst” handler om at forstå maskinens virkelighed. Står den bag adgangskontrol, eller i et åbent produktionsområde? Er der fjernadgang og i så fald hvordan? Uden en beskrevet sikkerhedskontekst bliver trusselsvurderingen rent gætværk. En maskine, der på papiret ser “lukket” ud, kan i praksis være højt eksponeret på grund af midlertidige løsninger, serviceadgange eller utydelige procedurer.
At få sikkerhedskonteksten ned på skrift er et første, helt konkrete skridt mod bedre cybersikkerhed.
Maskinforordningen stiller krav om, at sikkerhedskritisk software og konfigurationer kan identificeres, og at der er adgang til information om versioner og ændringer. I praksis betyder det, at man som firma skal kunne svare hurtigt og præcist på spørgsmål som:
– Hvilken version kører maskinens styring på i dag?
– Hvilke ændringer er foretaget de seneste måneder?
– Hvad var den tidligere konfiguration af en given sikkerhedsfunktion?
Er kritiske signaler og data beskyttet?
Kritiske signaler og datakommunikation, der påvirker sikkerhedsfunktioner, må ikke være lette at opsnappe eller manipulere. Alligevel er der stadig maskiner med åbne forbindelser, ubeskyttede serviceporte og netværk, hvor produktionsudstyr og forbruger-IoT ligger side om side.
Her skærper maskinforordningen kravene: Kritiske signaler og data skal beskyttes, indtrængning skal kunne spores, og sikkerhedskritisk software skal kunne identificeres. Cybersikkerhed handler ikke kun om teknologi, men også om mennesker, roller og ansvar.
Dokumentationen skal gøre det klart, hvilke ændringer der er tilladt, hvilke der er forbudt, og hvem der i givet fald må udføre dem. Desuden skal der være gennemsigtighed om, hvordan adgangstilladelser og rettigheder tildeles.
Beredskab: Hvad hvis noget går galt?
Selv robuste systemer kan blive ramt. Trusselsbilledet ændrer sig løbende, og ingen tekniske foranstaltninger er perfekte. Derfor er en konkret, gennemprøvet beredskabsplan et afgørende element i virksomhedens modstandsdygtighed.
Planen bør beskrive, hvordan produktionen bringes i en sikker tilstand ved mistanke om kompromittering, hvem der tager beslutningerne, hvordan systemer genskabes til en kendt sikker konfiguration, og hvem der skal informeres internt og eksternt. Maskinforordningen kræver det ikke eksplicit, men uden beredskab er det svært at omsætte gode tekniske løsninger til reel robusthed.
Tjekliste
– Stiller maskinen sporingslog til rådighed i minimum fem år?
– Har maskinen en trusselsvurdering udfærdiget?
– Er der adgang til information om softwareversioner og konfigurationer (med relevans for sikkerhedsfunktioner, samt ændringer af disse)?
– Er kritiske signaler og datakommunikation beskyttet?
– Kan sikkerhedskritisk software og data identificeres og beskyttes?
– Er der information om tilladelse til og/eller forbud mod ændringer?
– Er der information om adgangstilladelse/rettighedstildeling?
– Er der en beredskabsplan i tilfælde af et angreb? (Ikke et krav, men det anbefales.)
Teknologisk Institut hjælper virksomheder med at omsætte maskinforordningens cybersikkerhedskrav til konkret praksis fra første overblik til specifikke tiltag på anlæg og maskiner.
