Hopp til hovedinnhold
Lumiar
Forside/ Tjenester/ Risiko og barrierer
TJENESTE

Risiko og barrierer

Et dokumentert bilde av cyberrisiko mot produksjon og sikkerhetsfunksjoner, i et språk både drift, sikkerhetsmiljø og ledelse forstår. Analysen gjennomføres sammen med deres eget fagmiljø. Vi analyserer også scenarioer med høy konsekvens og hjelper med barrierestyring over tid.

Typiske situasjoner

Industriell barrieremetodikk

Kjenner dere igjen én av disse, er en strukturert risikovurdering som regel riktig neste steg.

Tilsyn eller internrevisjon har stilt spørsmål ved barrierestyringen mot cybertrusler.
Dere skal prekvalifisere en ny SAS/ICS/OT-leverandør eller ta i bruk en ny kontrollsystemløsning.
Et digitaliseringsprosjekt kobler OT-systemene tettere mot IT og eksterne tjenester.
Forsikringsgiver eller kontraktsmotpart krever dokumentert risikovurdering av kontrollsystemene.

Et felles språk for vanskelige beslutninger

En god risikovurdering gjør det mulig for engineering, drift, cybersecurity og ledelse å diskutere den samme risikoen ut fra et felles sett med konsekvenser, scenarioer og barrierer.

RISIKO · CYBER OG FYSISK KONSEKVENS

Fra cyberhendelse til fysisk konsekvens

Konsekvensen avhenger av hva den digitale handlingen kan få den fysiske prosessen til å gjøre.

Digitalt domeneFysisk domeneCybersikkerheten fortsetter forbi PLS-enDigital hendelseeller angrepKompromittertfunksjonStyringshandlingFysisk prosessFarlig tilstandFysisk konsekvensellerforretningskonsekvensSafetyMiljøProduksjonUtstyrKvalitetKonsekvenstyper
Digitalt domeneDigital hendelse eller angrepKompromittert funksjonStyringshandlingFysisk domeneCybersikkerheten fortsetter forbi PLS-enFysisk prosessFarlig tilstandFysisk konsekvens ellerforretningskonsekvensKonsekvenstyperSafetyMiljøProduksjonUtstyrKvalitet

Lumiar-synteseLumiar
RISK · CYBER AND PHYSICAL CONSEQUENCE
From cyber event to physical consequence

The consequence depends on what the digital action can make the physical process do.

Digital domainPhysical domainCybersecurity extends beyond the PLCDigital event orattackCompromisedfunctionControl actionPhysical processHazardous statePhysical orbusinessconsequenceSafetyEnvironmentProductionEquipmentQualityTypes of consequence
Digital domainDigital event or attackCompromised functionControl actionPhysical domainCybersecurity extends beyond the PLCPhysical processHazardous statePhysical or business consequenceTypes of consequenceSafetyEnvironmentProductionEquipmentQuality

Lumiar synthesisLumiar
RISIKOVURDERING · IEC 62443-3-2

Risikovurdering etter IEC 62443-3-2, med prosessikkerhet

Cyberrisikovurderingen bruker konsekvensene og barrierene fra prosessikkerhetsanalysen som grunnlag.

ProsessikkerhetPHA, HAZOP og LOPAKonsekvenser og barriererInitierende hendelser og barrierer som kan påvirkesdigitaltIEC 62443-3-2:2020 · hovedløpZCR 1Identifiser SuCZCR 2Innledenderisikovurderingverste fallZCR 3Del inn i sonerog conduitsZCR 4Sammenlign medakseptabelrisikoZCR 5DetaljertrisikovurderingSL-T (5.6),restrisiko(5.10)ZCR 6Dokumenterkrav,antakelser ogbegrensningerZCR 7Godkjenning hosanleggseierNy vurdering ved endringer (Offshore Norge 104, krav 2-6). Sløyfen er ikke en del av IEC 62443-3-2.
ProsessikkerhetPHA, HAZOP og LOPAKonsekvenser og barriererInitierende hendelser og barrierer somkan påvirkes digitaltProsessikkerhetsløpet gir grunnlag til ZCR 2og ZCR 5.IEC 62443-3-2:2020 · hovedløpZCR 1Identifiser SuCZCR 2Innledende risikovurderingverste fallZCR 3Del inn i soner og conduitsZCR 4Sammenlign med akseptabel risikoZCR 5Detaljert risikovurderingSL-T (5.6), restrisiko (5.10)ZCR 6Dokumenter krav, antakelser ogbegrensningerZCR 7Godkjenning hos anleggseierNy vurdering ved endringer (Offshore Norge104, krav 2-6). Sløyfen er ikke en del avIEC 62443-3-2.

Basert på IEC 62443-3-2:2020, IEC 61511-1 (8.2.4) og ISA-TR84.00.09-2023. Sektorrammeverk: prosessindustri (ISA-TR84.00.09-2023), jernbane (CLC/TS 50701, IEC 63452 under arbeid).

Lumiar-synteseLumiar
RISK ASSESSMENT · IEC 62443-3-2
Risk assessment under IEC 62443-3-2, with process safety

The cyber risk assessment uses the consequences and safeguards from the process safety analysis as its basis.

Process safetyPHA, HAZOP, and LOPAConsequences and safeguardsInitiating events and safeguards that can be affecteddigitallyIEC 62443-3-2:2020 · main flowZCR 1Identify theSuCZCR 2Initial riskassessmentworst caseZCR 3Partition intozones andconduitsZCR 4Compare withtolerable riskZCR 5Detailed riskassessmentSL-T (5.6),residual risk(5.10)ZCR 6Documentrequirements,assumptions,and constraintsZCR 7Asset ownerapprovalNew assessment on changes (Offshore Norge 104, requirement 2-6). The loop is not part of IEC 62443-3-2.
Process safetyPHA, HAZOP, and LOPAConsequences and safeguardsInitiating events and safeguards thatcan be affected digitallyThe process safety flow feeds ZCR 2 and ZCR5.IEC 62443-3-2:2020 · main flowZCR 1Identify the SuCZCR 2Initial risk assessmentworst caseZCR 3Partition into zones and conduitsZCR 4Compare with tolerable riskZCR 5Detailed risk assessmentSL-T (5.6), residual risk (5.10)ZCR 6Document requirements, assumptions, andconstraintsZCR 7Asset owner approvalNew assessment on changes (Offshore Norge104, requirement 2-6). The loop is not partof IEC 62443-3-2.

Based on IEC 62443-3-2:2020, IEC 61511-1 (8.2.4), and ISA-TR84.00.09-2023. Sector frameworks: process industry (ISA-TR84.00.09-2023), railways (CLC/TS 50701, IEC 63452 in progress).

Lumiar synthesisLumiar

Leveranse og metode

Credibility fremfor falsk presisjon

Analysen gjennomføres som en workshopserie med deres nøkkelpersonell. Etablert barrieremetodikk (HAZOP, LOPA, bow-tie og andre) kombineres med intervjuer av folkene som kjenner systemene, og med risikovurdering etter IEC 62443‑3‑2. Trusler mot kontroll- og sikkerhetssystemer vurderes i samme rammeverk som prosessikkerheten, slik at resultatet kan brukes direkte i barrierestyringen. For scenarioer med høy konsekvens vurderer vi først om truslene er troverdige (credibility), og starter med verste konsekvens for de essensielle funksjonene. IEC 62443-3-2 krever en slik innledende vurdering av verste fall (ZCR 2.1), og åpner for metoder som bare ser på konsekvens (ZCR 5.4). Sannsynlighet vurderer vi etterpå, med nasjonale trusselvurderinger eller virksomhetens egne vurderinger som grunnlag. Bruker virksomheten sannsynlighet i sine metoder, tilpasser vi vurderingen til dem, også når det finnes lite historiske data.

Hør episoden «Credibility, Not Likelihood» →
01Rapport med dokumentert risikobilde og forutsetninger
02Bow-tie-baserte barrierekart for de viktigste hendelseskjedene
03Prioriterte tiltak med begrunnelse og standardreferanse
04Gjennomgang med ledelse og fagmiljø, slik at kunnskapen blir hos dere
05Utvikling og tilpasning av metoder, prosesser, styringssystem, verktøy og sjekklister, nye og gamle
BOW-TIE, PRINSIPPET
Trusler til venstre, konsekvenser til høyre, topphendelsen i midten. Gullpunktene er barrierene analysen vurderer og styrker.
METODISK FORANKRING
IEC 62443-3-2:2020 (risiko, soner)
IEC 61511-1, krav 8.2.4 (sikkerhetsvurdering av SIS)
ISA-TR84.00.09-2023 (cybersikkerhet i sikkerhetslivsløpet)
Offshore Norge 104, CSBR 2
HAZOP · LOPA · bow-tie

Omfang og format

AVGRENSET ANALYSE
normalt 3–5 arbeidsdager
avhengig av system, dokumentasjon og tilgjengelig fagmiljø, inkludert rapport. Større analyser, flere anlegg og metodeutvikling avtales særskilt.
ARBEIDSFORM
På anlegg eller digitalt
Workshops gjennomføres der det er mest effektivt for dere. Befaring anbefales ved første analyse.
FORUTSETNINGER
Nøkkelpersonell + dokumentasjon
2–4 personer fra drift/automasjon i workshops, og tilgang til systemdokumentasjon under NDA.
BARRIERER · ISA-TR84.00.09

Angrepsveier og uavhengige barrierer

Å telle beskyttelseslag er ikke nok hvis ett cyberangrep kan slå ut flere av dem samtidig.

1Kan et cyberangrep skape eller muliggjøre den initierende hendelsen?2Kan det samme angrepet slå ut barrieren?kanangripesBPCS ellerPLSkanangripesAlarm ogoperatørkanangripesForriglingkanangripesSISikke hackbar idette scenarioetMekaniskavlastningInitierendehendelseKonsekvensfarlig prosessutvikling →CyberangrepsveiFelles årsak: samme angrepsvei når alle fireEn mekanisk barriere er bare uavhengig innenfordet den er dimensjonert for. Et angrep kan skapeen belastning den ikke er laget for.
1 Kan et cyberangrep skape eller muliggjøreden initierende hendelsen? 2 Kan det sammeangrepet slå ut barrieren?CyberangrepsveiInitierende hendelseFelles årsak: samme angrepsvei nåralle firekan angripesBPCS eller PLSkan angripesAlarm og operatørkan angripesForriglingkan angripesSISikke hackbar i dette scenarioetMekanisk avlastningEn mekanisk barriere er bare uavhengiginnenfor det den er dimensjonert for. Etangrep kan skape en belastning den ikke erlaget for.Konsekvens

Basert på ISA-TR84.00.09-2023, vedlegg D og avsnitt 6.6.2.

Lumiar-synteseLumiar
SAFEGUARDS · ISA-TR84.00.09
Attack paths and independent safeguards

Counting protection layers is not enough if a single cyberattack can defeat several of them at once.

1Can a cyberattack create or enable the initiating event?2Can the same attack defeat the safeguard?can beattackedBPCS or PLCcan beattackedAlarm andoperatorcan beattackedInterlockcan beattackedSISnon-hackable inthis scenarioMechanicalreliefInitiating eventConsequencehazardous development →Cyber attack pathCommon cause: the same attack path reaches all fourA mechanical safeguard is only independent withinwhat it is designed for. An attack can create aload it isn’t built for.
1 Can a cyberattack create or enable theinitiating event? 2 Can the same attackdefeat the safeguard?Cyber attack pathInitiating eventCommon cause: the same attack pathreaches all fourcan be attackedBPCS or PLCcan be attackedAlarm and operatorcan be attackedInterlockcan be attackedSISnon-hackable in this scenarioMechanical reliefA mechanical safeguard is only independentwithin what it is designed for. An attackcan create a load it isn’t built for.Consequence

Based on ISA-TR84.00.09-2023, annex D and section 6.6.2.

Lumiar synthesisLumiar
RISIKO · PRIORITERING

Konsekvens først

Start med det som ikke må skje. Finn deretter det som ikke må svikte.

VolumdrevetKonsekvensdrevet10 000 enheter3 000 sårbarheterPatch, herd og overvåk?Uakseptabel konsekvensEssensiell funksjonTroverdig scenarioAngrepsvei og avhengigheterBarriererSårbarheterMålrettet tiltak
Volumdrevet10 000 enheter3 000 sårbarheterPatch, herd og overvåk?KonsekvensdrevetUakseptabel konsekvensEssensiell funksjonTroverdig scenarioAngrepsvei og avhengigheterBarriererSårbarheterMålrettet tiltak

Basert på IEC 62443-3-2:2020 (ZCR 2.1 og 5.3) og Offshore Norge 104 rev. 7 (CSBR 2, krav 2-2, og anbefalt kritikalitetsvurdering).

Lumiar-synteseLumiar
RISK · PRIORITIZATION
Consequence first

Start with what must not happen. Then identify what must not fail.

Volume-drivenConsequence-driven10,000 assets3,000 vulnerabilitiesPatch, harden, and monitor?Unacceptable consequenceEssential functionCredible scenarioAttack path and dependenciesSafeguardsVulnerabilitiesTargeted action
Volume-driven10,000 assets3,000 vulnerabilitiesPatch, harden, and monitor?Consequence-drivenUnacceptable consequenceEssential functionCredible scenarioAttack path and dependenciesSafeguardsVulnerabilitiesTargeted action

Based on IEC 62443-3-2:2020 (ZCR 2.1 and 5.3) and Offshore Norge 104 rev. 7 (CSBR 2, requirement 2-2, and the recommended criticality assessment).

Lumiar synthesisLumiar
GRUNNKRAV · OFFSHORE NORGE 104

Grunnkravene er gulvet

Å oppfylle grunnkravene betyr ikke at restrisikoen er akseptabel.

Tilleggstiltak og mer omfattende verifikasjonBestemmer hva mer som trengsKritikalitetTrusler og eksponeringKonsekvensSpesifikk risikovurdering21 grunnkrav (CSBR)Minimumskrav for typiske løsninger
Tilleggstiltak og mer omfattendeverifikasjonBestemmer hva mer som trengsKritikalitetTrusler og eksponeringKonsekvensSpesifikk risikovurdering21 grunnkrav (CSBR)Minimumskrav for typiske løsninger

Basert på Offshore Norge 104 rev. 7, kapittel 1.1: grunnkravene er minimumskrav for typiske løsninger og erstatter ikke virksomhetens egen risikovurdering.

Lumiar-synteseLumiar
BASELINE · OFFSHORE NORGE 104
The baseline requirements are the floor

Meeting the baseline requirements doesn’t mean the residual risk is acceptable.

Additional measures and more extensive verificationDetermines what more is neededCriticalityThreats and exposureConsequenceSpecific risk assessment21 baseline requirements (CSBR)Minimum requirements for typical solutions
Additional measures and more extensiveverificationDetermines what more is neededCriticalityThreats and exposureConsequenceSpecific risk assessment21 baseline requirements (CSBR)Minimum requirements for typical solutions

Based on Offshore Norge 104 rev. 7, chapter 1.1: the baseline requirements are minimum requirements for typical solutions and don’t replace the organization’s own risk assessment.

Lumiar synthesisLumiar
SÅRBARHETER · OFFSHORE NORGE 104, CSBR 7

Nå, Neste, Aldri

Sårbarheter prioriteres etter risikoen de gir i det faktiske anlegget.

SårbarheterVurdering av OT-risiko i sammenhengMetode fra veiledningenNåHøy risiko: kan utnyttes eller angripesaktivt.Tiltak eller utbedring med en gang.NesteBør håndteres, men haster ikke.Planlegges, testes og tas i etendringsvindu.AldriLav risiko: kan ikke utnyttes, eller er utenbetydning i anlegget.Ingen patch. Beslutningen føres irisikoregisteret.Ikke patch i dagens risikobilde.Vurderes på nytt ved utløpsdato.Krav og veiledningKompenserende tiltak medjevnlig kontroll (krav 7-4)Risikoeier akseptererrisikoen (krav 7-5)Fast intervall for nyvurdering og utløpsdato(krav 7-5)Patcher testes og godkjennesfør produksjon (veiledning)
SårbarheterVurdering av OT-risiko i sammenhengMetode fra veiledningenNåHøy risiko: kan utnyttes eller angripesaktivt.Tiltak eller utbedring med en gang.NesteBør håndteres, men haster ikke.Planlegges, testes og tas i etendringsvindu.AldriLav risiko: kan ikke utnyttes, eller eruten betydning i anlegget.Ingen patch. Beslutningen føres irisikoregisteret. Ikke patch i dagensrisikobilde. Vurderes på nytt vedutløpsdato.Krav og veiledningKompenserende tiltak med jevnlig kontroll(krav 7-4)Risikoeier aksepterer risikoen (krav 7-5)Fast intervall for ny vurdering ogutløpsdato (krav 7-5)Patcher testes og godkjennes før produksjon(veiledning)

Grunnlag: Offshore Norge 104 rev. 7, CSBR 7. Nå/Neste/Aldri er en metode som veiledningen foreslår. Kravene i sidefeltet er krav 7-4 og 7-5.

Lumiar-synteseLumiar
VULNERABILITIES · OFFSHORE NORGE 104, CSBR 7
Now, Next, Never

Vulnerabilities are prioritized by the risk they pose in the actual plant.

VulnerabilitiesOT risk assessed in contextMethod from the guidanceNowHigh risk: exploitable or actively attacked.Mitigate or remediate immediately.NextShould be handled, but isn’t urgent.Planned, tested, and applied in a changewindow.NeverLow risk: not exploitable, or irrelevant inthe plant.No patch. The decision is recorded in therisk register.Don’t patch in the current riskpicture. Reassessed at the expirydate.Requirements and guidanceCompensating measures withregular checks (requirement7-4)The risk owner accepts therisk (requirement 7-5)Fixed review interval andexpiry date (requirement7-5)Patches are tested andapproved before production(guidance)
VulnerabilitiesOT risk assessed in contextMethod from the guidanceNowHigh risk: exploitable or activelyattacked.Mitigate or remediate immediately.NextShould be handled, but isn’t urgent.Planned, tested, and applied in a changewindow.NeverLow risk: not exploitable, orirrelevant in the plant.No patch. The decision is recorded in therisk register. Don’t patch in the currentrisk picture. Reassessed at the expirydate.Requirements and guidanceCompensating measures with regular checks(requirement 7-4)The risk owner accepts the risk(requirement 7-5)Fixed review interval and expiry date(requirement 7-5)Patches are tested and approved beforeproduction (guidance)

Basis: Offshore Norge 104 rev. 7, CSBR 7. Now/Next/Never is a method suggested in the guidance. The requirements in the side panel are requirements 7-4 and 7-5.

Lumiar synthesisLumiar

Vanlige spørsmål

Kan analysen gjennomføres uten nedetid?
Ja. Analysen er dokument- og workshopbasert og innebærer ingen inngrep i kjørende systemer. Vi gjør gjerne også vurderinger av kjørende systemer, og gjennomfører utvalgte tester i samarbeid med deres fagpersoner. Testene avtales i fellesskap, slik at vi sammen forsikrer oss om at de ikke forstyrrer viktige funksjoner.
Hvordan håndteres konfidensiell anleggsinformasjon?
All informasjon behandles under NDA, og rapporten leveres i den kanalen dere bestemmer.
Må vi ha innført IEC 62443 fra før?
Nei. Standarden brukes som metode og referanse i analysen. Resultatene kan senere gjenbrukes hvis dere velger å innføre den bredere.
Hva må vi selv stille med?
Nøkkelpersonell fra drift og automasjon i workshopene, og systemdokumentasjon på det nivået dere har. Manglende dokumentasjon er et funn og et startpunkt, ikke et hinder. Det er ikke uvanlig, og det gir en god anledning til å gå gjennom hvordan systemene er satt opp i dag. Da bygger analysen på dagens anlegg, ikke på dokumentasjon som kan være utdatert eller feil.

Er dere uenige om hva risikoen er?

Fortell kort om behovet, så tar vi det derfra.

Avklar en risikovurdering
ANDRE TJENESTER
Uavhengig faglig vurderingStrategi og teknisk ledelseArkitektur og engineering assuranceAssurance, verifikasjon og samsvarKapabilitet, trening og øvelserIndustriell KI