Styrelsen for Samfundssikkerhed advarer om sårbare tekniske systemer efter meldinger om cyberangreb i europæiske supermarkeder.
Samtidig peger rådgiverkoncernen Sweco på behovet for bedre beskyttelse af danske forsyningsanlæg.
Trusselsniveauet for destruktive cyberangreb mod Danmark er hævet til høj.
Hackere behøver ikke nødvendigvis at angribe en virksomheds computere for at skabe problemer. De kan også gå efter de digitale systemer, der styrer køleanlæg, vandpumper og produktionsmaskiner.
Det advarer Styrelsen for Samfundssikkerhed om onsdag den 4. november efter meldinger om cyberangreb mod køle- og frysesystemer i europæiske supermarkeder. Hvis uvedkommende får adgang til den type systemer, kan det i værste fald påvirke virksomhedernes drift.
Samme dag offentliggør rådgiverkoncernen Sweco et nyt notat om sikkerheden i den danske forsyningssektor, hvor risikoen for hybridangreb ifølge virksomheden er høj. Dermed kommer to forskellige advarsler, der begge handler om sårbarheder i de tekniske anlæg, som virksomheder og samfund er afhængige af.
Truslen mod Danmark er skærpet
I slutningen af september hævede Styrelsen for Samfundssikkerhed trusselsniveauet for destruktive cyberangreb mod Danmark fra middel til høj. Ifølge Swecos pressemeddelelse bygger vurderingen på efterretningstjenesternes vurderinger af, at Rusland vil intensivere sin hybridkrig mod Vesten og NATO, herunder planlægning af sabotage mod Danmark.
Det skærpede trusselsbillede øger behovet for at beskytte forsyningsanlæg, der leverer vand, varme og elektricitet. Swecos nye sikkerhedsnotat bygger på virksomhedens erfaringer fra analyser og screeninger af forsyningsvirksomheder. Her peger rådgiverkoncernen på, at flere af de samme sikkerhedsbrister går igen, og at virksomhederne bør arbejde mere systematisk med deres sikkerhed.
- Det aktuelle trusselsbillede gør det nødvendigt, at man forholder sig aktivt til sikkerhed. Det handler ikke om at overinvestere eller sikre alt mod alt, men om at forstå sine sårbarheder og prioritere de tiltag, der reducerer risikoen mest, siger Carsten Werner Lund, chefrådgiver for Sikkerhed & Forsvar i Sweco.
Et enkelt sikkerhedsbrud må ikke vælte det hele
Sweco anbefaler blandt andet, at forsyningsvirksomheder opbygger sikkerheden i flere lag. Tanken er, at et angreb ikke skal kunne sætte hele anlægget ud af spil, blot fordi én sikkerhedsforanstaltning svigter. Sikkerheden skal samtidig tilpasses det enkelte anlægs størrelse, funktion og risiko.
Også Styrelsen for Samfundssikkerhed opfordrer virksomheder til at gennemgå deres tekniske systemer. Det gælder især såkaldte OT-systemer, der bruges til at styre og overvåge fysiske anlæg og processer.
Styrelsen fremhæver tre konkrete forhold, som virksomheder bør være opmærksomme på:
- Udskift standardadgangskoder, der følger med udstyret.
- Sørg for, at fjernadgang til systemerne er sikret.
- Hold systemerne opdaterede, så kendte sårbarheder bliver håndteret.
Styrelsen har udgivet en vejledning om beskyttelse af OT-systemer, som virksomheder kan bruge til at komme i gang. Samtidig stiller EU's CER-direktiv større krav til modstandsdygtigheden hos virksomheder, der leverer samfundskritiske tjenester.
De to udmeldinger kommer dermed på et tidspunkt, hvor både cyberangreb og fysisk sabotage indgår i overvejelserne om sikkerheden omkring dansk infrastruktur.