Leverandørkjedeangrep: Når sårbarheten ligger utenfor egne vegger

Det er en situasjon stadig flere virksomheter må forholde seg til. Digitale verdikjeder er tett koblet sammen, og når én aktør svikter, kan konsekvensene spre seg raskt til kunder, samarbeidspartnere og underleverandører.

For dere som jobber med industrivern, er prinsippet kjent: beredskap handler ikke bare om egne bygninger og egne systemer. En hendelse hos naboen kan også ramme dere. Slik er det også digitalt. Du er ikke bare avhengig av egen sikkerhet, men også av sikkerheten hos dem du er koblet til.

Når problemet ligger hos noen andre

Tenk igjennom følgende start på arbeidsdagen. Produksjonslinjen står. Ordresystemet er utilgjengelig. Lagerstyringen svarer ikke. IT-avdelingen finner ingen tegn til feil i egne systemer. Så kommer beskjeden: En sentral leverandør er rammet av et cyberangrep, og fordi dere er digitalt avhengige av hverandre, er også din virksomhet berørt.

Dette er kjernen i et leverandørkjedeangrep. Angriperen går ikke nødvendigvis direkte på hovedmålet. I stedet rammes en leverandør, en programvarepartner, en tjenesteleverandør eller et annet ledd i verdikjeden. Effekten sprer seg videre til virksomhetene som er avhengige av denne aktøren.

For industrien er dette en viktig erkjennelse. Selv om du har gjort mye riktig internt, kan sårbarheten likevel ligge utenfor egne vegger.

Hva er et leverandørkjedeangrep?

Et leverandørkjedeangrep er et angrep der en aktør kompromitterer én virksomhet for å få tilgang til, påvirke eller ramme andre virksomheter som er avhengige av den. Angrepet utnytter tillitsforholdene i verdikjeden: Vi stoler på leverandører, programvareoppdateringer, driftspartnere og digitale integrasjoner. Det er nettopp denne tilliten som kan bli et angrepspunkt.

Men leverandørkjedeangrep trenger ikke være så avanserte. De kan også oppstå gjennom svakheter hos en mindre leverandør, feilkonfigurerte eksterne tilkoblinger, delte systemer eller tette integrasjoner som gir angriperen en vei videre.

Fellesnevneren er den samme: Virksomheten som blir rammet, er ofte ikke det første målet, men en del av konsekvensbildet.

Hvorfor er industribedrifter særlig utsatt?

Moderne industriproduksjon er bygget for effektivitet. Just-in-time-leveranser, digital styring, automatisering og tett samhandling med leverandører gir store gevinster i normal drift. Samtidig reduserer det ofte marginene når noe går galt.

Flere forhold gjør industribedrifter særlig sårbare:

• IT og OT henger stadig tettere sammen. Systemer som styrer fysiske prosesser (OT), er i større grad koblet til virksomhetens øvrige digitale miljøer. Det gir bedre oversikt og effektivitet, men også flere mulige angrepsflater.

• Verdikjedene er lange og komplekse. Store industrivirksomheter kan være avhengige av mange leverandører og underleverandører. Ikke alle har samme sikkerhetsnivå eller samme evne til å håndtere en alvorlig hendelse. Utstyret lever lenge. Industrielle systemer brukes ofte i mange år. Det betyr at virksomheten kan være avhengig av teknologi som er krevende å oppdatere, eller som bygger på eldre programvare.

• Nedetid er dyrt. Selv korte avbrudd kan få store konsekvenser. Produksjon stopper opp, råvarer går tapt, leveranser forsinkes og avtaler settes under press. Det som gir konkurransekraft i hverdagen, kan dermed også bli en sårbarhet i krise.

Hva kan virksomheten gjøre?

Leverandørkjedeangrep kan ikke elimineres fullstendig. Men virksomheten kan redusere risikoen og begrense konsekvensene betydelig. Det handler først og fremst om å få oversikt, stille krav og øve på bortfall av kritiske leveranser.

Det finnes også etablerte rammeverk som kan brukes i dette arbeidet. ISO/IEC 27001:2022 gir et overordnet rammeverk for systematisk styring av informasjonssikkerhet. For leverandørrelasjoner er ISO/IEC 27036 særlig relevant, fordi standardserien er utviklet for å gi veiledning om informasjonssikkerhet i leverandørforhold. NSMs grunnprinsipper for IKT-sikkerhet er samtidig et nyttig og praktisk utgangspunkt for virksomheter som vil arbeide mer systematisk med leverandørrisiko.

Industrivern i en digital tid

Industrivern handler i bunn og grunn om å øve på uønskede hendelser. Da må dere ha oversikt, planer, trening og kvalifikasjoner til å opprettholde kontroll under press. Dette gjelder like mye for digitale hendelser som for fysiske. Digitale hendelser er ikke isolert til kontrollrommet, men produksjonen kan også ramme.

Leverandørkjedeangrep er ikke lenger et teoretisk problem. De er en del av dagens risikobilde. For industrien betyr det at sikkerhetsarbeidet må omfatte mer enn egne systemer og egne ansatte. Også leverandører, integrasjoner og digitale avhengigheter må inn i beredskapsarbeidet. For mange virksomheter er det nettopp her neste viktige steg ligger.

Denne artikkelen er del av en artikkelserie om digital usikkerhet og leverandørkjeder. Du finner lenke til de andre sakene i serien under.

Del 1: Når systemene svikter: Beredskap for det digitale avbruddet

Når en hendelse skjer, er det for sent å begynne planleggingen. For industrien finnes det noen sentrale spørsmål som bør være avklart i god tid i forveien.

Del 3: Sikkerhet i en urolig verden: KI, geopolitikk og industriens vei fremover

Generativ kunstig intelligens har på få år gått fra forskningsfelt til hverdagsverktøy. Det gir muligheter, men også en helt ny verktøykasse for trusselaktører.