Vad har hänt?
Säkerhetsläget inom den tyska industrin förblir kritiskt, enligt rapporter från den tyska myndigheten för informationssäkerhet (BSI). Oavsett om det rör sig om riktad datastöld, sabotage mot kritisk infrastruktur eller ransomware-attacker – skadorna för ekonomin ligger enligt BSI sedan länge i miljardklassen med tresiffriga belopp. Särskilt utsatta är industrimiljöer: vidsträckta anläggningar, utspridda platser och den tilltagande sammankopplingen mellan informationsteknik (IT) och operativ teknik (OT) skapar en stor angreppsyta. Samtidigt ökar det regulatoriska trycket genom införandet av NIS-2-direktivet och den kommande KRITIS-ramlagen, som avsevärt utökar kraven på riskhantering och ansvarsriskerna för företagsledningen.
Detaljerna
Artikeln från Protector Magazin, skriven av redaktör Miriam Steinitz, beskriver en central utmaning för säkerhetsansvariga inom industrin: Hur skyddar man en infrastruktur där en enda obehörigt öppnad dörr kan äventyra hela det digitala nätverket? Denna fråga tydliggör hur nära sammanflätade fysisk och digital säkerhet numera är.
Utöver NIS-2 och KRITIS-ramlagen kräver även branschspecifika standarder som ISO/IEC 27001, TISAX, IFS Food eller ATEX heltäckande säkerhetsbevis. För arkitekter, fackplanerare och verksamhetsansvariga uppstår därmed en balansgång: en hög grad av regelefterlevnad ska uppnås utan att störa de dagliga produktions- och logistikprocesserna.
Som lösning nämner artikeln modern tillträdeskontroll, som utvecklas från ett rent "grind-och-nyckelsystem" till en intelligent byggsten i hela den övergripande cyberresiliensen. Nämnda tillämpningsområden är säkring av perimetern, skydd mot spionage i forskningsavdelningar samt heltäckande granskningsspår (audit trails) för revisioner. Moderna lås- och tillträdessystem ska därmed fungera som en länk mellan den fysiska och den digitala världen.
Den konkreta tekniska genomförandet lämnas öppen i artikeln: Vilka systemarkitekturer som klarar de dynamiska kraven på moderna anläggningar och hur en sömlös integration i befintliga IT-miljöer kan bli flexibel, skalbar och framtidssäker formuleras som en central frågeställning. Artikeln hänvisar i detta sammanhang till en vitbok från tillverkaren Assa Abloy, som ska erbjuda praktiska insikter och checklistor för genomförandet.
Sammanhang
Utvecklingen som beskrivs i artikeln visar en grundläggande förändring i industriföretagens säkerhetssyn: Fysisk tillträdeskontroll betraktas inte längre isolerat, utan förstås som en integrerad del av cyberresiliensen. Denna sammanflätning är en direkt följd av den fortskridande sammankopplingen mellan IT och OT i produktionsmiljöer, vilket upplöser de klassiska gränserna mellan digital och fysisk säkerhet.
För säkerhetsansvariga och fackplanerare inom tillträdeskontroll innebär detta ett förändrat kravläge: Regelefterlevnad gällande NIS-2, KRITIS-ramlagen och branschspecifika standarder som ISO/IEC 27001, TISAX, IFS Food eller ATEX måste i framtiden vägas in systematiskt redan när tillträdeslösningar planeras eller moderniseras. De ansvarsrisker för företagsledningen som beskrivs i artikeln ökar dessutom trycket att genomföra relevanta åtgärder skyndsamt.
Praktiska tips
- Planera tillträdeskontrollsystem inte isolerat, utan i kontexten av hela IT/OT-säkerhetsarkitekturen.
- Etablera granskningsspår (audit trails) och heltäckande dokumentation av tillträdeshändelser som grund för bevisplikt gentemot revisorer och tillsynsmyndigheter.
- Säkra perimeterskydd och känsliga områden, exempelvis forskningsavdelningar, med särskilt fokus på skydd mot spionage.
- Undersök i god tid vilka systemarkitekturer som kan integreras flexibelt och skalbart i befintliga IT-miljöer, för att undvika senare efterinstallationer.
- Använd tillgängliga praktiska vägledningar och checklistor, exempelvis den vitbok från Assa Abloy som nämns i artikeln, som stöd för genomförandet av regulatoriska krav.
Framtidsutsikter
I takt med att KRITIS-ramlagen träder i kraft och genomförandet av NIS-2 fortskrider kommer industriföretag med all sannolikhet att stå under fortsatt ökande handlingstryck. Den utveckling som skisseras i artikeln – sammansmältningen av fysisk tillträdeskontroll med strategier för cyberresiliens – lär fortsätta, eftersom hybrida IT/OT-strukturer inom industrin kommer att fortsätta öka. För verksamhetsansvariga, arkitekter och fackplanerare blir det därför allt viktigare att utforma tillträdeslösningar som är regulatoriskt och tekniskt framtidssäkra redan från början, i stället för att göra anpassningar i efterhand.
