Systemer, der styrer maskiner, anlæg og fysiske processer, kan ikke behandles som almindelig kontor-IT, når de skal sikkerhedstestes. En forstyrrelse kan stoppe produktionen, ødelægge en batch eller påvirke sikkerheden for de mennesker, der arbejder ved anlægget. Derfor afhænger en test af OT først og fremmest af, hvad der kan tåle at blive berørt, og hvem der har myndighed til at sige stop.
Det betyder ikke, at OT skal holdes uden for enhver vurdering. Det betyder, at bestillingen skal begynde med driften og sikkerheden og først derefter med spørgsmålene om adgang. Ofte er det rigtige første skridt en afgrænset vurdering af forbindelserne til anlægget frem for en test af selve anlægget.
Hvorfor OT er anderledes
OT, operationel teknologi, dækker de systemer, der overvåger og styrer fysiske processer: styringer på produktionslinjen, skærme i kontrolrummet, systemer til bygningsdrift og lignende. NIST’s vejledning om OT-sikkerhed lægger vægt på, at sikkerhedsarbejdet skal tage hensyn til anlæggenes krav til ydeevne, pålidelighed og personsikkerhed.
I kontor-IT er fortrolighed ofte det vigtigste, og en server kan genstartes. I produktionen er det ofte omvendt. Anlægget skal køre, og det skal køre sikkert. Udstyret kan være gammelt, sjældent opdateret og leveret med en serviceaftale, der forbyder ændringer. En undersøgelse, der er harmløs på en kontorcomputer, kan få en ældre styring til at reagere uventet.
Ansvaret ligger også et andet sted. Kontor-IT hører typisk under IT-afdelingen eller driftsleverandøren. Anlæggene hører ofte under en produktions- eller vedligeholdelsesafdeling, som har sin egen viden, sine egne leverandører og sin egen opfattelse af, hvad der er en acceptabel risiko. Begge parter skal være med fra starten.
Begynd med grænsen mod kontornettet
For mange virksomheder ligger det mest brugbare spørgsmål ikke i selve anlægget, men i forbindelsen mellem kontornettet og produktionen. Hvem kan nå produktionsnettet? Hvilke forbindelser findes, fx til planlægning, kvalitetsdata eller leverandørernes fjernsupport? Er de dokumenteret, og holder adskillelsen?
Spørgsmålene kan ofte besvares uden at berøre styringerne. En test kan tage udgangspunkt på kontornettet og afprøve, om grænsen til produktionen holder, mens anlægget selv er uden for scope. Det giver et svar om en udsat grænse med en begrænset risiko for driften.
Det kan også være en fordel at begynde med en beskrivelse af alle forbindelser mellem kontornettet og produktionen, før noget testes. Beskrivelsen kan i sig selv vise forbindelser, som ingen længere har brug for, og som kan lukkes uden en test. → Netværkssegmentering
Leverandørernes fjernadgang til anlæggene er ofte en vigtig del af billedet, fordi den kan gå uden om kontornettet. → Leverandørers fjernadgang til jeres systemer
Hvis selve anlægget skal med
Skal testen omfatte OT-udstyr, kræver det en anden planlægning end en almindelig intern test:
- Driftsansvarlig · den person, der kender anlægget og kan stoppe testen, deltager i planlægningen.
- Liste over udstyr · hvilke enheder der må berøres, og hvilke der ikke må.
- Grad af berøring · om testen kun må observere, eller om den må afprøve noget aktivt.
- Tidspunkt · fx under et planlagt stop eller på en linje, der ikke producerer.
- Leverandørens accept · serviceaftaler kan kræve, at anlæggets leverandør godkender.
- Plan for genstart · hvad der skal ske, hvis en enhed holder op med at svare.
Et testmiljø eller et reserveanlæg kan være et alternativ, hvis det findes og ligner driften. Resultatet gælder så testmiljøet, og forskellene skal stå i rapporten. → Penetrationstest i produktion eller testmiljø
Sikkerhed for mennesker går forud
Anlæg kan styre bevægelige dele, temperatur, tryk eller kemikalier. Det sætter en grænse, som ingen testopgave må overskride. Testen må ikke kunne påvirke sikkerhedsfunktioner, nødstop eller andet, der beskytter personer. Aftal det skriftligt, og lad den driftsansvarlige afgøre, hvad der hører til den kategori.
Stopkriterierne skal være konkrete. Hvem siger stop, hvordan når de testeren, og hvad sker der bagefter? Den generelle aftale om regler for testen er beskrevet i → Rules of engagement. For OT skal reglerne skrives sammen med de folk, der kender anlægget, og de skal være kendt af dem, der er på arbejde, mens testen foregår.
Kompetencer og forventninger
OT kræver viden om anlæg og den måde, de kommunikerer på, som ikke alle penetrationstestere har. Spørg til erfaring med lignende miljøer, og bed om en beskrivelse af, hvordan driftsrisikoen håndteres. Ved komplekse anlæg kan en gennemgang af dokumentation og arkitektur være et mere passende første skridt end en test. → Krav til en penetrationstester
Forvent også, at en forsigtig test giver et smallere svar end en test af kontor-IT. Det er en bevidst afvejning, ikke en mangel ved testen.
Rapporten og den videre plan
Rapporten fra en test af OT bør beskrive de begrænsninger, testen blev gennemført under: hvilke enheder der blev berørt, hvilke der blev holdt udenfor, og hvilken grad af berøring der var tilladt. Uden den beskrivelse kan en læser tro, at hele anlægget er vurderet.
Fund i OT kan sjældent rettes med det samme. En opdatering kan kræve et planlagt stop, en godkendelse fra leverandøren eller en ny afprøvning af anlægget. Bed derfor om, at anbefalingerne skelner mellem det, der kan gøres på kort sigt, fx at begrænse forbindelser, og det, der kræver et planlagt stop eller en investering. Så kan planen tilpasses produktionens rytme.
Det skal I lade være med
- At teste anlægget som kontor-IT · en harmløs undersøgelse på kontoret kan forstyrre en styring.
- At planlægge uden den driftsansvarlige · kun de, der kender anlægget, kan vurdere risikoen.
- At berøre sikkerhedsfunktioner · nødstop og personbeskyttelse skal altid være uden for testen.
- At overse serviceaftalerne · leverandøren kan have krav til, hvem der må gøre hvad.
- At springe grænsen mod kontornettet over · den kan ofte vurderes med begrænset risiko for anlægget.
Hvad kan og ikke kan konkluderes
En test af grænsen mod produktionen kan vise, om adskillelsen holdt fra de udgangspunkter, der var med. Den siger intet om selve anlæggenes svagheder. En test af anlægget kan vise forholdene for det udstyr, der blev undersøgt under de aftalte begrænsninger, men en forsigtig test kan efterlade spørgsmål åbne. Det er et valg, som rapporten skal gøre synligt.
Selv en test med lav berøring kan give brugbar viden, fx om at adskillelsen mod kontornettet holder, eller at en leverandørforbindelse står åben. Den viden kan bruges, selv om anlægget ikke blev undersøgt i dybden.
Tjekliste før en test af OT
- ☐ Er den driftsansvarlige med i planlægningen?
- ☐ Er grænsen mod kontornettet beskrevet?
- ☐ Er det afgjort, om anlægget selv skal med?
- ☐ Er udstyr, der ikke må berøres, listet?
- ☐ Er sikkerhedsfunktioner skrevet ud af testen?
- ☐ Har anlæggets leverandør accepteret testen?
- ☐ Er stopkriterier og plan for genstart aftalt?
Kilder
- NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security: sikkerhed i OT under hensyn til ydeevne, pålidelighed og personsikkerhed.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Produktionsvirksomheder: kontor-IT og anlæg · Hvis noget går ned under testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
