IT-säkerhet inom VA-området… med luppen på styrsystem INFORMATION IT-säkerhet inom VA-området… med luppen på styrsystem

IT-företag, privata och kommunalt 1975 -2000 Christer Berglund IT-företag, privata och kommunalt 1975 -2000 Styrsystem på Cardo, Tetra Pak, Volvo, Försvaret, … VA-verket Malmö / VA SYD 2000 - 2005 IT-ansvarig 2006 - 2010 Säkerhetsansvarig 2011 - Projektledning

Antagande De brister som beskrivs i presentationen förekommer troligen inte i våra verksamheter…i andra organisationer kan det vara annorlunda…?

Varför jobba med säkerhet?

Varför jobba med säkerhet?

Varför jobba med säkerhet?

Varför jobba med säkerhet? Man skall lita på oss som aktörer Kunder Allmänhet Branschen Politiker Vår egen personal

Varför jobba med säkerhet?

Styrande dokument och rutiner, exempel från dricksvattenområdet 2017-04-06 Styrande dokument och rutiner, exempel från dricksvattenområdet Lag om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap Sekretesslag Säkerhetsskyddslag Skyddslag Lag om allmän kameraövervakning Livsmedelsförordning Livsmedelsverkets föreskrifter om dricksvatten Livsmedelsverkets föreskrifter om åtgärder mot sabotage och annan skadegörelse riktad mot dricksvattenanläggningar Säkerhetshandbok, policy och krisledningsplan Några exempel på styrande dokument…andra tillkommer för avloppsverksamheten. Värt att notera är att Livsmedelsverket och Miljöförvaltningen gör en inspektion den 27/10 avseende hur vi lever upp till skyddet mot sabotage och skadegörelse…vi måste alltså kunna visa att vi lever upp till kraven genom att visa upp rutiner och praktiska lösningar

Upphandling av varor och tjänster Upphandlingsunderlaget sätter gränser och ger möjligheter Det är billigare att göra rätt från början Krävs det en säkerhetsskyddad upphandling? Ofta för dricksvatten, sällan för spill/dagvatten LUFS i stället för LOU Säkerhetsskyddsorganisation hos både beställare och entreprenörer Tar extra tid

Säkerhetskultur Livsmedelkultur ger eftertänksamhet hos personalen, hur göra med andra verksamheter…? Utbildad personal Utbildade säkerhetsombud Avvikelser rapporteras Rutiner kring inpassering, nycklar m.m. Introduktion till entreprenörer före projektstart Löpande revisioner av risk- och sårbarhetsanalyser och SBA-arbete Säkerhetsskyddsanalyser

Säkerhetsprocessen för VA SYD 2017-04-06 Säkerhetsprocessen för VA SYD Vänstersidan i bilden: Ärenden kommer in som avvikelser från avvikelelsehanteringssystemet, via nya externa krav som lagar och förordningar. Dessutom finns det ju saker att göra som noterats sedan tidigare (i pipeline) Centrum på bilden: Säkerhetssamordnarna handlägger ärenden och föreslår lösningar till referensgruppen. Säkerhetsombuden jobbar med praktisk, daglig säkerhet och träffar övriga ombud vid utbildningar och nätverksmöten. Högersidan i bilden: Ett säkerhetsärende som skall hanteras läggs in i en årsplan och dess status följs löpande fram till dess att ärendet avslutas. Vissa ärenden skall inte hanteras, även detta bokförs. Vissa ärenden skall hanteras av övriga delar inom VLS d.v.s. kvalitet, arbetsmiljö eller miljö.

Brandskyddsorganisation VA SYD 2017-04-06 Brandskyddsorganisation VA SYD Förbundsdirektören är alltid ytterst ansvarig för det systematiska brandskyddsarbetet, SBA. Direktören har utsett säkerhetssamordnaren till att även vara SBA-samordnare. Det övergripande arbetet styrs av en Brandskyddsgrupp: Erling M, Ulf N, Christer B och Kenneth N Varje avdelningschef är brandskyddsansvarig för de byggnader som finns inom dennes ansvarsområde. Avdelningschefen har i sin tur utsett brandskyddskontrollanter som svarar för det dagliga arbetet. Varje objekt har en ansvarig brandskyddskontrollant och en egen SBA-dokumentation. VI HÅLLER PÅ ATT UPPDATERA ALLT DETTA NU EFTERSOM FÖRSTA UTGÅVAN HAR NÅGRA ÅR PÅ NACKEN…

Dimensionerande hotbild Skyddar vi oss mot… Aktivister Organiserad brottslighet Stater Olyckshändelser Mänskliga misstag Eller mot… Stölder Skadegörelse Pojkstreck

Personalen Personalen är den största risken man kan finna Kunskap om processer och personal Tillträde till anläggningar Säkerhetsklassade tjänster Positiv social kontroll Utbildad/informerad personal Vardagssäkerheten väger tyngre än en policy ingen läser…

Informationssäkerhet

Informationssäkerhet

Fysisk säkerhet Systemägare/systemförvaltare Avtal/underhåll Belysning Vem äger problemet… Avtal/underhåll Belysning Röjning av buskar, trädgrenar Tillträdesbegränsning/sektionering Endast tillträde för dem som måste ha tillträde…föregå med gott exempel! Larm/rutiner Bevakning/rutiner CCTV

IT-säkerhet Kan man läsa säkerhetskopiorna? Fungerar reservkraften? Vad står det i driftloggarna? Gamla behörigheter/personal som slutat? Standardlösenord? Uppdaterad programvara? Extern åtkomst för konsulter/servicepersonal?

SCADA-system eller… Industriella kontrollsystem Distributed Control Systems, DCS Process Control System, PCS Programmable Logic Controller, PLC Remote Terminal Unit, RTU

Industriella kontrollsystem ”Industriella kontrollsystem möjliggör hög tillgänglighet och effektivitet i styrningen av den fysiska processen genom att få människor (operatörer) kan övervaka och styra en stor och ofta geografiskt utspridd fysisk process mer eller mindre i realtid.” Säkerhetshandbok för dricksvattenproducenter/Svenskt Vatten, jan 2012

SCADA-system

Säkerhet i SCADA-system Systemen är ofta gamla Systemen är ofta speciallösningar Systemen är byggda av personer som inte kan konventionell IT-säkerhet Systemen börjar nu kopplas samman med ”vanliga” IT- system Standardkomponenter börjar bli vanliga…billigare, bättre men osäkrare…

Skillnader Administrativ IT Kontrollsystem Svarstid/hanteringstid Ej realtid Realtid Tillgänglighet Omstarter acceptabla Omstarter kan innebära stora problem Säkerhetslösningar Anpassade för administrativ IT Noggrann testning krävs innan lösningar kan användas Support Många alternativ p.g.a. standardkomponenter Få alternativ p.g.a. speciallösningar Livslängd 3-5 år 15-20 år

Fem vanliga fel Du tror du har kontroll men… Det finns inga reservdelar längre Det finns ingen som vet hur det fungerar längre Du har ingen säkerhetskopia som du kan läsa Dokumentationen är inaktuell och det finns ingen kontinuitetsplan

Fem bra åtgärder Kartlägg systemen och deras inbördes kopplingar, notera bristerna, dokumentera ordentligt Ta fram en fungerande kontinuitetsplanering … systemen kommer att stanna! Rent, snyggt och städat… och därmed säkert Utbilda personalen i säkerhetsfrågor Våga inse att du troligen sitter på några problem

Sammanfattning SCADA-system/styrsystem är kritiska för din verksamhet. Systemen är en del av den vanliga säkerhetsvardagen… och skall hanteras just så Ordning, reda, dokumentation och en kontinuitetsplan är en god start Det tar tid, det kostar pengar…men det går att återfå kontrollen