I juni år började nya EU-regler om cybersäkerhetsaspekter av gränsöverskridande elflöden att gälla. Den nya förordningen ska bidra till att stärka elsystemets motståndskraft mot cyberangrepp, dvs det som kallas cyberresiliens. Nu behöver alla verksamheter inom elsektorn se över hur man kan stärka sin cyberresiliens och ett effektivt sätt är att använda datadioder i sin säkerhetslösning.
Nya regler för cyberresliens inom elsektorn
13 juni år började nya EU-regler om cybersäkerhetsaspekter av gränsöverskridande elflöden att gälla. Den nya förordningen ska bidra till att stärka elsystemets motståndskraft mot cyberangrepp.
Skälen till att en förordning om cybersäkerhet nu finns på plats är många. Bland annat att hanteringen av cybersäkerhetsrisker är viktigt för att upprätta en trygg elförsörjning och en hög cybersäkerhetsnivå i elsektorn. Men även att digitalisering och hög cybersäkerhet är avgörande för att tillhandahålla samhällsviktiga tjänster som är av strategisk betydelse för kritisk infrastruktur.
Vad är cyberresiliens och varför är det så viktigt inom elsektorn?
Cyberresiliens är ett något bredare begrepp än cybersäkerhet. Begreppet omfattar inte bara förebyggande av cyberincidenter, utan också förmågan att anpassa, återhämta sig och fortsätta verksamheten trots cyberstörningar eller incidenter. Cyberresiliens-begreppet erkänner att inget försvar är perfekt och att incidenter fortfarande kan inträffa trots de bästa cybersäkerhetsåtgärderna. Det primära målet med cyberresiliens är att säkerställa att en organisation kan fortsätta sin kritiska verksamhet och att inverkan på dess övergripande affärsmål minimeras även när organisationen står inför cyberstörningar.
Idag är vårt samhälle i hög grad beroende av el för att fungera. För att säkerställa att alla samhällsviktiga tjänster fortsätter att fungera så optimalt som möjligt, även vid ett eventuellt cyberangrepp, behöver cyberresiliensen inom elsektorn stärkas.
Hur du bygger upp cyberresiliensen med datadioder
För att stärka sin cyberresiliens finns det flera saker man kan göra. Två av dessa viktiga saker är:
- Se till att all programvara är uppdaterad
- Använd lämplig nätverkssegmentering
Se till att all programvara är uppdaterad – och säkert uppdaterad
Ett av de enklaste sätten att skydda sig är att uppdatera all programvara, och speciellt om det är säkerhetsuppdateringar som åtgärdar kända sårbarheter. Detta behov beror på att komplex mjukvara ofta innehåller buggar som bör rättas till för att säkerställa stabilitet i systemen. Men förutom att korrigera buggar så driver tillverkarna bakom operativsystem och applikationer på en funktionstillväxt som innebär att operativsystem och applikationer successivt blir föråldrade om de inte uppdateras.
Det är dock viktigt att se till att uppdateringarna inte innebär en säkerhetsrisk då en uppdatering kan innebära att information importeras eller tillförs till systemet och det i sig kan medföra att man får in oönskad malware i systemet. Integritet och tillgänglighet till systemen måste upprätthållas och de flesta systemuppdateringar är normalt sett inte tillräckligt utvärderade i den miljö de används eller i kombination med de applikationer som körs. För att upprätthålla integriteten och tillgängligheten i systemen krävs speciella lösningar.
En lösning är att använda en datadiod som säkerställer enkelriktad kommunikation. Datadioden är kopplad på ett sätt som säkerställer att information kan importeras till systemet, men eftersom ingen trafik kan överföras i motsatt riktning hindras informationsläckage.
En annan lösning för att ytterligare säkerställa att uppdateringen inte har manipulerats är att importen av uppdateringspaket utförs med filsanering bestående av två datadioder och en server för antivirusskanning, såsom Advenicas File Security Screener. Filsaneringen genomför en oberoende kontroll som säkerställer att uppdateringen är giltig. Men även i detta fall är det bäst att låta den mottagande uppdateringsservern verifiera signaturen och därigenom få ytterligare kontroll över uppdateringens riktighet.
Läs mer om säkra uppdateringar i vårt use case!
Använd lämplig nätverkssegmentering
För att skydda dina känsliga system och information behöver du använda nätverkssegmentering. Utan segmentering finns det risk att känslig information kan läckas eller manipuleras samt att malware och ransomware sprider sig okontrollerat och snabbt. Attackerare behöver inte gå direkt mot målet, till exempel eldistributionen. Istället nästlar de sig in via svaga punkter långt ute i arkitekturen, via mejl eller kundtjänst, som ett sätt att nå målet. Statsunderstödda attackerare har dessutom tålamod, är beredda att jobba långsiktigt, gör allt i små steg och ligger tyvärr ofta steget före. Den krassa verkligheten är att verksamhetens styr- och kontrollsystem kan vara angripna utan att det märkts.
Det finns några olika sorters nätverkssegmentering:
1. Fysisk separation (fristående datorer)
En fristående dator är en dator som inte är ansluten till något nätverk eller motsvarande. I enkla ordalag handlar det om att skapa en isolerad ö utan koppling till omvärlden. Denna metod är ju inte så praktisk och den ska du endast använda till den absolut mest skyddsvärda informationen.
2. Airgap (isolerade nätverk)
Vissa mycket strikta miljöer kräver att zonerna är helt separerade med air gap, vilket innebär att det inte finns någon fysisk koppling mellan zonerna. Det enda sättet att överföra data till och från ett airgappat system är via ett bärbart media. Praktiskt görs detta av människor, vilket gör att du blir beroende av välutbildad personal som dels troligen hellre hade arbetat med andra mer kvalificerade och stimulerande arbetsuppgifter och som dels kan göra misstag.
Dessa två metoder är alltså inte så praktiska, men det finns ett alternativ:
Datadioder som alternativ till fysisk separation och airgap
En datadiod placeras mellan två nätverk och fungerar som en backventil vars funktion endast tillåter att data skickas i ena riktningen medan den blockerar all data i motsatt riktning. Eftersom säkerheten inte bygger på mjukvara finns det inga sårbarheter i form av mjukvarubuggar och den kan heller inte attackeras av skadlig kod. Hårdvarubaserad säkerhet innebär att man kan vara trygg med att rätt konstruerade datadioder uppfyller sina säkerhetskrav med hög assurans.
En hårdvarubaserad datadiod är att likställa med airgap i backriktningen, vilket innebär att om du har krav på airgap-separation kan det faktiskt uppfyllas (i backriktningen) av en datadiod, men samtidigt möjliggöra en nätverkskoppling i framriktningen.
3. Logisk separation
Logisk separation är ett sätt att dela upp ditt nätverk i olika zoner, men att tillåta olika zoner att samallokeras på samma hårdvara eller nätverk. Separationen består i mjukvarulogik som bestämmer när, var och hur maskiner och applikationer får kommunicera med varandra – mindre uppenbart och med lägre assurans till separationsmekanismens styrka än fysisk separation eller air gap. Logisk separation kan du använda överallt eftersom det kompletterar fysisk eller airgap-separation väl. I slutändan handlar det om balans mellan kommunikationsbehov, administration och säkerhet.
Med logisk separation kan du återanvända samma hårdvaruinfrastruktur (d.v.s. kablar, switchar, routrar, etc.) för olika zoner. Information som lagras i de olika zonerna är fortfarande bara tillgänglig i den zonen, vilket innebär att endast de personer som behöver informationen kan komma åt den. Förutsatt att logiken är utan sårbarheter och rätt konfigurerad.
Men när hög assurans krävs bör du inte blanda trafik från olika säkerhetszoner i samma hårdvara eller kablar. För att uppnå riktigt hög säkerhet måste du använda olika hårdvara för de olika zonerna. Du kan dock vanligtvis ansluta dessa zoner med dedikerade säkerhetsprodukter över flera domäner, såsom datadioder och guards. På detta sätt kan informationsutbyte ske med hög kontroll över zongränserna. Det finns flera olika lösningar man kan använda för antingen envägskommunikation eller dubbelriktad kommunikation – eller båda.
Lär dig mer om dessa olika former av nätverkssegmentering och om datadioder på vår hemsida.
Behöver du hjälp med att komma igång med nätverkssegmentering eller säkra uppdateringar är du välkommen att kontakta oss.
