De senaste rapporterna om störningar i svenska matbutikers kyl- och fryssystem väcker frågor om säkerheten i uppkopplad teknik. Men frågan sträcker sig långt utanför handeln. Mats Karlsson Landré, CTO på Sectra Critical Infrastructure, förklarar varför det krävs både teknisk kompetens och förståelse för verksamheten när digitala system styr fysiska processer.

Digitala styrsystem finns inom allt från kylsystem och fastigheter till industri, vattenförsörjning och energiproduktion. De gör det möjligt att övervaka och styra olika processer, men säkerhetsarbetet skiljer sig från det i traditionella IT-miljöer.

Tekniken kallas OT, Operational Technology. Medan traditionell IT-säkerhet ofta handlar om att skydda information och digitala tjänster behöver OT-säkerhet också ta hänsyn till vad som händer i den fysiska verksamheten.

När styrsystemet fungerar men något ändå går fel

Mats Karlsson Landré sitter också i ledningsgruppen för Nackademins YH-utbildning till OT-säkerhetsingenjör. Han beskriver ett tänkt exempel från en avloppspumpstation där någon manipulerar signalen från en nivågivare. Styrsystemet tror då att pumpbrunnen nästan är tom och startar inte pumparna, trots att vattennivån stiger. Till slut kan avloppsvatten brädda ut i omgivningen.

– Det intressanta är att styrsystemet egentligen fungerar precis som det ska. Det följer sina instruktioner, nätverket fungerar och alla datorer är igång.

Om även larmet bygger på samma manipulerade nivåsignal kan problemet bli svårt att upptäcka. En OT-säkerhetsspecialist behöver därför förstå vad som händer i själva processen och hur man kan upptäcka felaktig information, exempelvis genom oberoende mätningar.

Vad krävs av en OT-säkerhetsingenjör?

I regeringens nationella cybersäkerhetsstrategi för 2025–2029 lyfts bristen på personal med relevant utbildning och arbetslivserfarenhet inom OT-säkerhet särskilt fram. Det är en kompetensbrist som berör både offentlig och privat sektor.

Enligt Mats är det lätt att fokusera på tekniken och underskatta betydelsen av riskanalys och verksamhetskunskap. Det handlar om att förstå vilka konsekvenser ett angrepp eller ett fel kan få och hur dessa kan förebyggas eller begränsas.

En annan viktig del är samarbetet med dem som arbetar i verksamheten och känner anläggningarna.

– Operatören som har kört en anläggning i tjugo år kan veta mer om dess verkliga risker än någon som är världsmästare på cybersäkerhet. Den kunskapen måste vi ta vara på.