Et forsyningsselskab leverer el, varme, vand eller håndtering af spildevand, og en forstyrrelse kan mærkes langt uden for virksomheden. En penetrationstest kan belyse sikkerheden i de systemer, der understøtter forsyningen, men den skal planlægges, så testen ikke selv bliver en risiko for driften. Forsigtighed og afgrænsning er derfor grundlaget for hele opgaven.
Svaret på, hvordan en test gennemføres i en forsyningsvirksomhed, er sjældent en kopi af en test i en kontorvirksomhed. Det er en opdeling i områder med hver sin grad af forsigtighed, hvor de mest følsomme dele behandles med størst omhu og eventuelt uden direkte test.
Samfundsbetydningen sætter rammen
En forsyningsvirksomhed har ansvar over for borgere og virksomheder, der er afhængige af leverancen. Det ansvar præger både, hvad der er vigtigt at få belyst, og hvad en test ikke må sætte på spil. En test, der giver værdifuld viden om kontornettet, men forstyrrer styringen af et værk, har ikke opfyldt sit formål.
NIS2-direktivet nævner energi, drikkevand og spildevand blandt sektorerne i bilag I. Direktivet stiller krav om foranstaltninger til styring af cybersikkerhedsrisici, og hvorvidt den enkelte virksomhed er omfattet, beror blandt andet på dens aktiviteter, dens størrelse og de danske regler, der gennemfører direktivet. Der kan desuden gælde sektorspecifikke regler. Den afklaring ligger hos virksomheden selv. Teksten giver ikke juridisk rådgivning.
En test afgør ikke, om virksomheden opfylder reglerne. Den kan indgå som et element i virksomhedens egen vurdering af, om dens foranstaltninger virker.
Kontor, drift og styring
En forsyningsvirksomhed kan have flere lag af systemer. Kontoret med mail, økonomi og kundeservice. Driftssystemer til planlægning, måling og afregning. Og styringssystemerne, der overvåger og regulerer værker, ledninger og pumper.
Lagene kræver forskellig behandling. Kontoret kan testes som i andre virksomheder, men med den tilføjelse, at kontornettet kan være en vej til de andre lag. Kundeservice og selvbetjening for forbrugere hører også til her, hvis virksomheden har en portal, hvor kunder kan se forbrug, afregning og personlige oplysninger. Driftssystemer kræver mere omtanke, fordi de kan have forbindelse til styringen. Styringssystemerne kræver den største forsigtighed, og her kan det være mere relevant at belyse adskillelsen fra de andre lag end at teste systemerne direkte. Vurderingen af anlæg og styring har sin egen side. → Produktionsanlæg og OT i en pentest
Adskillelsen som første spørgsmål
Grænsen mellem kontor og styring er et naturligt sted at begynde. En test fra kontornettet kan belyse, om styringsnettet er synligt eller tilgængeligt, uden at testeren går videre ind. Svaret fortæller ledelsen noget vigtigt om, hvor godt de mest følsomme dele er skærmet.
Forbindelser, der krydser grænsen, skal kortlægges. Det kan være dataopsamling fra værker til kontoret, rapporter til ledelsen, målerdata til afregning eller fælles brugerkonti. Hver forbindelse er et sted, hvor grænsen er åbnet med vilje, og hvor det er relevant at vide, om den kun giver den adgang, der var tiltænkt.
Kortlægningen har værdi i sig selv. Hvis virksomheden ikke har et opdateret overblik over forbindelserne, kan arbejdet med at skabe det give lige så meget viden som testen. Overblikket gør det samtidig muligt at vælge, hvilke forbindelser testen skal omfatte, og hvilke der skal vurderes på anden måde. → Segmentering
Leverandører og fjernadgang
Anlæg og styringssystemer kan have service fra leverandører, der har adgang udefra. Adgangen kan være nødvendig for driften, men den skal være kendt, begrænset og kontrolleret. Spørg, hvem adgangen gælder, hvordan der logges på, og om den står åben konstant.
En test kan belyse virksomhedens side af fjernadgangen. Det, leverandørerne selv driver, kræver deres tilladelse for at kunne indgå. Hvis en leverandør har ansvar for et anlæg, skal leverandøren også være med i planlægningen. → Leverandørers adgang
Planlægning og stopkriterier
En test i en forsyningsvirksomhed kræver en plan, der er mere detaljeret end i en almindelig kontorvirksomhed. Den bør beskrive, hvilke systemer der må berøres, hvilke handlinger der er udelukket, hvem der overvåger driften under testen, og hvem der kan stoppe den med det samme.
Testvinduet skal vælges med driften. Der kan være perioder med høj belastning, planlagt vedligehold eller beredskab, hvor en test ikke hører hjemme. Driften skal vide præcist, hvornår testen begynder og slutter, så uventede hændelser i perioden kan vurderes i det lys. Planen bør også fastlægge, at driftens vurdering går forud for testens tidsplan, hvis de to kommer i konflikt. → Testvinduet
Overvej, om dele af testen kan gennemføres i et testmiljø eller på udstyr, der ikke er i drift. Det giver ikke samme svar som en test i produktionen, men det kan give værdifuld viden uden risiko for leverancen. Valget skal fremgå af rapporten. → Penetrationstest i produktion eller testmiljø
Aftal også, hvad der sker, hvis noget uventet opstår. Hvem kontaktes, hvordan genoprettes driften, og hvornår genoptages testen? → Nedbrud under testen
Hvem skal være med?
En test i en forsyningsvirksomhed berører flere fagområder. IT, driften, den ansvarlige for styringssystemerne og eventuelt beredskabet bør være med i planlægningen. Ledelsen bør godkende afgrænsningen, fordi det er ledelsen, der bærer ansvaret for forsyningen. Godkendelsen bør også omfatte de områder, der bevidst holdes uden for testen, så det står klart, at det er en beslutning og ikke en forglemmelse.
Testeren skal kunne forstå forskellen mellem kontor-IT og styringssystemer og respektere de begrænsninger, der følger af den. Hvilke kompetencer der er nødvendige, afhænger af opgavens afgrænsning og bør afklares konkret før bestillingen.
Det skal I lade være med
- At teste styringssystemer som kontorudstyr · De kan reagere uforudsigeligt og påvirke forsyningen.
- At bestille uden driften · De, der kender anlæggene, skal være med i planlægningen.
- At udelade stopkriterier · Alle skal vide, hvem der kan stoppe testen, og hvornår.
- At glemme forbindelserne mellem lagene · Det er her, grænsen er åbnet med vilje.
- At fremlægge rapporten som dokumentation for regeloverholdelse · Den beskriver tekniske forhold på et tidspunkt.
Hvad kan og ikke kan konkluderes
En test kan vise, hvordan kontornettet og grænsen til drift og styring holdt under testen, og om forbindelserne mellem lagene gav mere adgang end tiltænkt. Ledelsen kan bruge resultatet, når næste skridt skal vælges.
Den kan ikke dokumentere sikkerheden i styringssystemer, der ikke blev testet direkte, eller i leverandørernes egne systemer. Spørgsmålet om, hvorvidt NIS2 eller andre regler gælder og er opfyldt, ligger også uden for testen.
Tjekliste før testen
- ☐ Er lagene kontor, drift og styring beskrevet med hver sin grad af forsigtighed?
- ☐ Er forbindelserne mellem lagene kortlagt?
- ☐ Er leverandører med ansvar for anlæg med i planlægningen?
- ☐ Er det beskrevet, hvilke systemer og handlinger der er udelukket?
- ☐ Er stopkriterier og kontaktpersoner aftalt?
- ☐ Har ledelsen godkendt afgrænsningen?
Kilder
- NIS2-direktivet (EU) 2022/2555, artikel 21 og bilag I: foranstaltninger til styring af cybersikkerhedsrisici og sektorerne energi, drikkevand og spildevand.
- NIST SP 800-115: planlægning af teknisk sikkerhedstest og regler for gennemførelsen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Produktionsvirksomheder: kontor-IT og anlæg · Fjernadgang og VPN
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
