Hackade kylsystem – kontrollera företagets uppkopplade teknik

En cyberattack har drabbat kylsystem hos flera Ica- och Coop-butiker, samtidigt som liknande angrepp har uppmärksammats i andra europeiska länder. För svenska företagare visar händelsen att IT-säkerhet också handlar om den utrustning som håller den dagliga verksamheten igång – inte bara datorer och e-post.

En uppkopplad kyl, övervakningskamera eller industriell styrenhet kan vara viktig för driften utan att finnas med i företagets vanliga genomgång av IT-säkerheten. Om obehöriga kan påverka utrustningen kan konsekvenserna bli mer konkreta än ett tillfälligt avbrott i ett administrativt system.

För ett företag som hanterar temperaturkänsliga varor kan felaktig kylning innebära risk för förstörda produkter och stoppad försäljning. I andra verksamheter kan ett angripet styrsystem hota produktionen. Det är möjliga affärskonsekvenser, inte en fastställd redovisning av skadorna i den aktuella attacken.

Det framgår inte hur angriparna tog sig in i butikernas system. Därför går det inte heller att peka ut någon enskild säkerhetsåtgärd som skulle ha förhindrat just detta angrepp.

En praktisk första åtgärd är att kartlägga vilken utrustning som är uppkopplad, vad den styr och vem som ansvarar för den. Ta med sådant som installerats av fastighetsägaren eller en serviceleverantör, inte bara sådant företaget självt har köpt.

Be sedan den tekniskt ansvariga eller leverantören att gå igenom:

• Vilka enheter som går att nå från internet och varför åtkomsten behövs.
• Vilka personer och leverantörer som har fjärråtkomst.
• Om gamla konton kan tas bort och inloggningen stärkas.
• Hur säkerhetsuppdateringar hanteras och vem som följer upp dem.
• Om utrustningen kan skiljas från företagets övriga nätverk.

Ändra inte kritiska system på egen hand utan att först bedöma hur driften påverkas. Även en välmenad säkerhetsändring behöver planeras om utrustningen styr exempelvis temperatur eller produktion.

John Billow, chef för Nationellt cybersäkerhetscenter, pekar på att bland annat solcellsparker, industrisystem och kameror kan vara exponerade via nätet. Hans varning gäller konsekvenserna när skyddet brister:

– Kommer man åt rätt typ av verksamhet och säkerheten inte finns där av någon anledning, så skulle stor skada kunna ske.

Företagets beredskap bör därför omfatta mer än tekniskt skydd. Bestäm vem som tar emot larm, vem som får stoppa driften och hur ansvarig servicepersonal nås. För kylberoende verksamheter är det också viktigt att kunna kontrollera temperaturen och ha en plan för varorna vid ett avbrott.

Nästa steg är att boka en genomgång med den som sköter utrustningen. Prioritera systemen där en manipulation eller ett driftstopp snabbast kan skada människor, varor eller företagets leveransförmåga, och dokumentera vem som ska åtgärda varje upptäckt brist.