Advarer mot anleggsmaskiner som sikkerhetsrisiko: – Må gjøres geopolitiske vurderinger ved innkjøp
Allerede i januar advarte Grøstad mot at moderne anleggsmaskiner kan fungere som spionmaskiner. Under toppmøtet i Moss tok hun problemstillingen et steg videre og stilte det kritiske spørsmålet om hvem vi faktisk slipper inn på sikkerhetskritiske anlegg, og hvilke krav som stilles i kontraktene.
Sikkerhetsklarerer folk, men ikke maskinen
På sikkerhetskritiske prosjekter kreves det ofte grundig bakgrunnssjekk og klarering av personell. Samtidig kan en lokal underleverandør rulle inn på byggeplassen med maskiner som samler inn data døgnet rundt.Maskinstyringen registrerer ikke bare det som skjer på selve anlegget, men kan også sitte på detaljerte data om hvor strøm, vann og annen kritisk infrastruktur befinner seg, også et stykke utenfor det inngjerdede området. En sabotør vil ofte ha langt større nytte av slik infrastrukturinformasjon enn å prøve å ta seg inn på et fysisk sikret område.
Likevel settes det i dag sjeldent formelle krav til denne typen digital sikkerhet i anbudene.
Se bak merket på panseret
Det holder ikke lenger å sjekke produsentnavnet eller landet der maskinen er montert. Dagens utstyr er globalt sammensatt av komponenter, sensorer og prosessorer fra en rekke underleverandører i forskjellige land.Ifølge MGF-sjefen betyr ikke dette at entreprenører enkelt kan velge bort alt som har tilknytning til for eksempel Kina, ettersom selv europeisk teknologi kan inneholde komponenter produsert andre steder. Poenget er at man må vite hva komponentene gjør, hvor dataene sendes, og hvem som har faktisk tilgang. Innkjøpere må derfor gjøre en reell geopolitisk og sikkerhetspolitisk vurdering.
Vil ha maskinene inn i ROS-analysene
Grøstad etterlyser nå en kursendring der maskinene bakes direkte inn i virksomhetenes risiko- og sårbarhetsanalyser (ROS). Det er stor forskjell på en mindre entreprenør som planerer et hyttefelt, og aktører som bygger regjeringsbygg eller kritisk vannforsyning.For å hjelpe innkjøpere på vei, peker hun på syv sentrale spørsmål som må stilles før en kontrakt signeres:
- Hvilke data samles inn?
- Hvor lagres dataene?
- Hvem har tilgang?
- Hvordan sikrer vi mot innbrudd?
- Kan maskinen fjernstyres eller stoppes utenfra?
- Hvem håndterer oppdateringer og sårbarheter?
- Hva gjør vi når systemet er nede?
(Saken er basert på intervju og opplysninger først publisert hos Anlegg&Transport).
SISTE NYTT
