Artikel udgivet d. 26. juli 2019
Direktør i Dansk Energi advarer om usynlig kamp i energisektoren: "Der kan opstå kaos"
Det er let at tage strøm, vand og varme for givet i Danmark. Men energisektoren kæmper i øjeblikket en daglig kamp for at holde fjendtlige hackere ude af systemerne.
Værnet mod hackerne kræver nødvendige investeringer i cybersikkerhed, for et angreb kan lamme vores moderne samfund mener Jørgen S. Christensen, som er forsknings- og teknologidirektør i Dansk Energi.
Strøm er en livsnerve i vores samfund og helt afgørende for Danmarks kritiske infrastruktur. Hvis ondsindede hackere får landet til at gå i sort, vil det ikke kun betyde mørklagte bygninger og gader – hospitalsvæsnet, telekommunikation, vandforsyning og betalingssystemer vil også stoppe med at fungere. Tog vil holde stille. Lyskryds vil ikke fungere – og listen kan fortsætte.
"Når strømmen forsvinder, går samfundet hurtigt i opløsning. Fra naturkatastrofer ved vi, at når civiliserede samfund er uden strøm i en længere periode, så opstår der kaos. Derfor er det et stærkt våben at slukke for strømmen, og vi kæmper hver dag for, at det ikke sker," siger Jørgen S. Christensen.
Faktisk ligger Danmark helt i top, når det kommer til forsyningssikkerhed og balancering af elnettet. Det danske energisystem er for tredje år i træk blevet kåret til verdens bedste foran 124 andre lande. Det er FN-organisationen World Energy Council, der står bag undersøgelsen. Organisationen baserer sine resultater på, hvor pålidelige, tilgængelige og bæredygtige energisystemerne er – og her vinder Danmark altså guld foran Schweiz og Sverige.
Sådan kan energisektoren opruste it-sikkerheden
• Uddan medarbejderne med henblik på at forøge sikkerhedsbevidstheden.
• Anvend leverandører, som er troværdige partnere, der forstår, hvordan produkter, systemer og løsninger integreres.
• Hav en sikkerhedsorienteret tilgang til hele systemets eller komponentens livscyklus.
• Kend OT-netværket. Få overblik over de digitale enheder, der er tilsluttet det tekniske netværk, og sørg for at opdatere ældre udstyr.
• Følg med – abonner på nyheder og sikkerhedsinfo. Der udsendes løbende informationer og rapporter over de seneste sikkerhedsrelaterede produktopdateringer.
Trusselsbilledet er ændret
"I 1990'erne konstaterede vi, at energisystemet var relativt sårbart over for storm. Derfor investerede vi i kabellægning af hele distributions-og lavspændingsnettet. Sammen med en høj vedligeholdelsesstandard har kabellægningen medført, at vi i dag har en oppetid på tæt på 100 pct.," siger Jørgen S. Christensen.
I dag er det ikke orkaner, energiselskaberne skal gardere sig imod. Det er hackere. Nye, digitale løsninger bidrager til energisektorens effektivitet. Men med øget digitalisering følger også en øget risiko for hackerangreb.
"Når man digitaliserer systemet, indfører man også en potentiel risiko, hvis cybersikkerheden ikke er i orden. Nye, digitale komponenter, der både findes hos privatkunder og i virksomheder, bidrager til energisektorens effektivitet og grønne omstilling. Men digitaliseringen udfordrer også det traditionelle elsystem. Og den del af digitaliseringen bekymrer os, da vi oplever, at hackere kontinuerligt forsøger at komme ind i elsystemet," siger Jørgen S. Christensen.
Center for Cybersikkerhed, der er en del af Forsvarets Efterretningstjeneste, vurderer, at truslen for cyberspionage og kriminalitet mod den danske energisektor er meget høj. I værste fald kan truslerne have en betydning for forsyningssikkerheden, lyder vurderingen fra centeret.
Branchen har fokus på området og investerer allerede mere end 100 millioner kroner årligt for løbende at forbedre cybersikkerheden, forklarer Jørgen S. Christensen, der har en klar forventning om, at de omkostninger kommer til at stige.
Også fra politisk hold arbejdes der på at styrke energisektorens cybersikkerhed. I starten af året udgav Energi-, Forsynings- og Klimaministeriet rapporten "Cyber- og informationssikkerhedsstrategi for energisektorerne", hvori der præsenteres 10 konkrete tiltag, der kan styrke it-sikkerheden. Heri indgår både uddannelse af medarbejdere, krav til leverandørforhold og styrket vidensdeling som områder, hvor der kan oprustes.
Flere svage led i energisektorens værn
Der er et klart behov for en styrket indsats, for der er svage led i energisektorens cybersikkerhed i dag. Det oplever Thomas Hovmand Larsen, der er salgschef i Siemens Energy Management, når han er ude hos kunderne. Han peger på to områder, der kræver øget fokus.
"Overordnet er det medarbejderne og it-udstyret, der kan føre til brister i sikkerheden. For få år tilbage var der færre digitale enheder i elforsyningsselskaberne, men den teknologiske udvikling går stærkt, og det er vigtigt, at medarbejdernes bevidsthed og uddannelse om cybersikkerhed følger med. Samtidig er der ofte tilsluttet en stor mængde it-udstyr, der måske er 5-10 år gammelt, men som fortsat mangler softwareopdateringer. Det kan f.eks. være digitale enheder på en hovedtransformatorstation. Vi oplever disse problematikker igen og igen," siger han og forklarer, at et forsyningsselskab i dag kan have flere tusinde digitale enheder tilsluttet, men uden at have et overblik over, hvad der er up-to-date.
"Jeg kan komme ud til en kunde, der har 3.000 digitale enheder og sige til dem, at der er en sårbarhed i et specifikt stykke software. Og så kan de være i tvivl om, hvilken af deres digitale enheder, der rent faktisk bruger denne software. De har simpelthen ikke overblikket," siger Thomas Hovmand Larsen og fortsætter:
"Heldigvis findes der software-programmer, der løbende analyserer de anvendte versioner af software i de digitale enheder på hovedtransformatorstationerne for dig".
Vil du vide mere om cybersikkerhed i energisektoren?
Hundredtusindvis stod uden strøm i ukrainsk storby
Tilbage i december 2015 lykkedes det hackere at lamme store dele af det ukrainske elnet. 225.000 kunder stod uden strøm i flere timer, da det voldsomme hackerangreb fandt sted, der blandt andet ramte dele af den Vestukrainske storby Ivano-Frankivsk, hvor der bor 1,4 millioner indbyggere. Hackerne inficerede via e-mail phishing en række elselskabers softwaresystemer med malware, der skadede systemerne.
Den ukrainske efterretningstjeneste skød efterfølgende skylden på russiske statsstøttede hackere.
Jørgen S. Christensen mener, at eksemplet i Ukraine viser, at en af de store udfordringer omkring cybersikkerhed i energisektoren er, at det netop er kompetente statsmagter, der kan stå bag angreb – og ikke tilfældige amatører. Derfor har energibranchen et tæt samarbejde med Forsvarets Efterretningstjeneste for at forhindre et lignende angreb i Danmark.
"Jeg kan ikke forestille mig scenariet, at hele Danmark kan holdes uden strøm i flere dage på grund af et hackerangreb – men områder kunne blive mørklagte i en længere periode. Vi har set, hvad der skete med Mærsk, som er en stor og kompetent virksomhed, da de blev ramt af et angreb," siger Jørgen, der derfor understreger, at energisektoren har et stærkt beredskab, hvis et angreb skulle finde sted.
Thomas Hovmand Larsen fra Siemens mener, at samme hackerangreb kunne finde sted i Danmark, og det derfor er vigtigt, at energisektoren intensiverer investeringen i sikkerhed.
Afdelinger skal samarbejde om it-sikkerhed
Et større fokus på it-sikkerhed betyder også, at der skal ske en nødvendig sammensmeltning mellem administrativ it og Operationel Teknologi (OT), forklarer Thomas Hovmand Larsen. Det nytter nemlig ikke noget, hvis it-medarbejdere og de tekniske medarbejdere ikke har en fælles forståelse for it-sikkerhed. Men sammensmeltningen går for langsomt.
"I dag skaber det store udfordringer, at it- og OT-afdelingerne stadig er organisatorisk adskilte. Når vi er ude i forsyningsselskaberne, taler vi typisk med ingeniører i OT-afdelingerne. Men når vi nævner it-sikkerhed i forbindelse med de digitale enheder, der skal integreres, så bliver vi sendt hen i it-afdelingen. Så vi bliver en kastebold mellem afdelingerne, og i sidste ende betyder det, at it-sikkerheden på driften ikke er optimal. Der skal simpelthen en kulturændring til i forhold til den nuværende siloopfattelse," forklarer han.
Vidensdeling gør energisektoren stærkere
For at blive så modstandsdygtige over for hackere som muligt, kræver det også, at energisektoren og leverandører af udstyr samarbejder – og allerede har fokus på cybersikkerhed, når et produkt udvikles. Det mener Thomas Hovmand Larsen, der understreger, at it-sikkerhed ikke skal ses som et ekstra lag, der implementeres, når et teknisk system er sat op. It-sikkerhed skal indtænkes som en del af et system – allerede fra starten. Og sikkerheden skal løbende prioriteres.
Jørgen S. Christensen er enig i, at samarbejde og vidensdeling er vejen frem – også mellem energisektoren og leverandørerne.
"Det er en ret væsentlig del af it-sikkerhed at vidensdele – især når man oplever noget kritisk. Så handler det om at få kommunikeret det videre til andre i branchen, der kan være udsat for samme risiko. Internt i energibranchen vidensdeler vi maksimalt, og det hjælper os med at opretholde et højt sikkerhedsniveau. Næste step er at vidensdele med leverandører. For transparens omkring sårbarheder gør os alle stærkere," siger han.
