Uppkopplade styrsystem lämnas sårbara när förvaltningen brister

Det försämrade säkerhetspolitiska läget har ökat uppmärksamheten kring säkerheten i uppkopplade system. Angrepp mot IoT- och OT-miljöer handlar inte bara om att komma åt information, utan kan också syfta till att störa funktioner som samhället är beroende av.

Ulf Seijmer

Ulf Seijmer anser att organisationer behöver bedöma utrustning utifrån vilka konsekvenser ett angrepp kan få. Även ett mindre styrsystem kan få stor betydelse om det reglerar exempelvis vatten eller värme. Han pekar också på ett ökat intresse för lösningar som kan fungera utan internetanslutning.

Johan Thulin på Sveriges Kommuner och Regioner lyfter fram verksamhetens förmåga att hantera störningar. En riskbedömning behöver omfatta vad som händer om ett system slutar fungera eller lämnar felaktig information, exempelvis inom vattenförsörjning, omsorg eller fastighetsdrift. Arbetet behöver därför både minska möjligheten till angrepp och säkerställa att verksamheten kan upprätthållas vid en störning.

Säkerhetsbrister som blir kvar

Att styrsystem fortfarande kan vara åtkomliga från internet med svagt lösenordsskydd eller andra grundläggande brister beror enligt Ulf Seijmer ofta på hur systemen förvaltas över tid. En installation kan ha fungerat som avsett när den togs i bruk, men förutsättningarna förändras när personal slutar, leverantörer byts ut eller dokumentation försvinner. Utrustningen fortsätter att fungera, samtidigt som säkerhetsbristerna riskerar att förbli oupptäckta.

Johan Thulin

Äldre utrustning kan dessutom sakna tekniska möjligheter till fjärruppdatering. Underhållet kan då kräva fysiska besök, vilket i sin tur behöver planeras och finansieras.

Johan Thulin framhåller att det inte finns en enda förklaring till varför systemen exponeras. Felkonfigurationer, äldre anslutningar och bristande förvaltning kan bidra till problemet. Därför behöver organisationerna veta vilken utrustning som finns, hur den är ansluten och vem som ansvarar för den. Brister måste åtgärdas med hänsyn till kraven på säker drift.

Ansvaret måste följa systemets livslängd

Ulf Seijmer betonar att verksamhetens ledning behöver ta ansvar för att säkerheten fungerar som helhet och att det finns resurser för uppföljning och underhåll. Det ansvaret omfattar den löpande förvaltningen under hela systemets användningstid, även när personal eller leverantörer byts ut.

Samtidigt har tillverkare och installatörer tydliga uppgifter i säkerhetsarbetet. Tillverkaren ansvarar för produktens säkerhet, sårbarhetshantering och utlovade säkerhetsuppdateringar. Installatören behöver genomföra installationen på ett säkert sätt, medan verksamheten behöver säkerställa att det finns tillräcklig dokumentation för den fortsatta förvaltningen.

Johan Thulin lyfter också vikten av att ansvarsfördelningen framgår tydligt av avtal och överlämningar. Det behöver vara klart vem som ansvarar för respektive del av säkerheten och hur ansvaret ska fungera i praktiken när systemet väl är i drift.

Regelverken ställer dessutom tydligare krav på produkternas säkerhet. EU förordning om cyberresiliens, Cyber Resilience Act (CRA), innehåller bland annat rapporteringskrav för tillverkare vid aktivt utnyttjade sårbarheter. Från den 11 september 2026 gäller krav på att en tidig varning ska lämnas inom 24 timmar efter att tillverkaren fått kännedom om en sådan sårbarhet. Det understryker att säkerhetsansvaret inte enbart handlar om hur verksamheten förvaltar utrustningen, utan också om tillverkarens skyldigheter under produktens livscykel.

– Hackare lyckas när vi misslyckas med förvaltningen, säger Ulf Seijmer.

Kraven börjar vid upphandlingen

Säkerheten behöver byggas in redan när IoT- och OT-utrustning upphandlas. Enligt Ulf Seijmer handlar det inte bara om produktens funktioner, utan också om vilka beroenden inköpet skapar. Organisationen behöver veta hur länge leverantören erbjuder support, hur uppdateringar ska genomföras, vad underhållet kostar och vem som hanterar upptäckta sårbarheter. Även leverantörskedjan och eventuella molnberoenden behöver granskas.

Johan Thulin framhåller att kraven måste utgå från verksamhetens risker och konsekvenserna av ett fel. Skyddad åtkomst, säker konfiguration, sårbarhetshantering, säkerhetsuppdateringar, dokumentation och tydlig ansvarsfördelning är centrala delar. Kraven behöver också gå att verifiera vid leverans och följa upp under drift.

Han rekommenderar marknadsdialog för att förstå vilka säkerhetsfunktioner lösningarna faktiskt erbjuder och vilka begränsningar som finns. En lång kravlista är inte i sig ett mått på säkerhet om kraven inte är relevanta eller möjliga att kontrollera.

Inventering måste följas av åtgärder

Enligt Ulf Seijmer bör svenska organisationer prioritera att kartlägga vilka styrsystem som kan nås utifrån och stänga oskyddad direktåtkomst från internet. Fjärråtkomst som behövs ska i stället ske genom kontrollerade och säkra lösningar. Varje system behöver också en ansvarig förvaltare.

Johan Thulin pekar på samma behov av kontroll över de verksamhetskritiska systemen: vilka de är, vad de används till, vem som ansvarar för dem och vilka anslutningar de har. Inventeringen behöver följas av konkreta åtgärder, bland annat kontroll av direkt åtkomst från internet och användning av standardlösenord.

SKR undersöker dessutom genom sin kraftsamling förutsättningarna för gemensamt operativt stöd och samordnad leverantörsuppföljning. Syftet är att stärka organisationernas långsiktiga förmåga att hantera säkerhetsarbetet.

Förvaltningen behöver fortsätta även när personal och leverantörer byts ut. Det kräver aktuell dokumentation, återkommande kontroll av behörigheter och uppdateringar samt beslut om hur risker ska hanteras när utrustningen inte längre får säkerhetsstöd. Utan tydligt ansvar och avsatta resurser riskerar säkerheten att försämras långt efter att installationen tagits i bruk.