En registrering af cyberincidenter i metal- og fremstillingsindustrien beskriver mindst fire ting: hvad der skete, hvilke systemer der blev ramt, hvem der greb ind, og hvornår situationen igen var under kontrol. Det lyder enkelt, men i et produktionsmiljø kommer der et ekstra lag til: ud over kontorautomatisering kører der her også styresystemer til maskiner, CNC-udstyr og produktionslinjer, der ofte sidder på de samme netværk som kontorens it.
Den, der falder ind under NIS2-forsorgspligten, eller som bliver bedt af en opdrachtgiver til at dokumentere, hvordan cyberincidenter håndteres, kan ikke nøjes med en løs Excel-fil, der kun registrerer it-driftsforstyrrelser. En produktionsstop på grund af en krypteret server, en kontrolkabinet, der ikke længere reagerer, eller en leverandør, der logger på afstand ind på en maskine og derved utilsigtet åbner adgang: det er alt sammen begivenheder, der hører hjemme i samme registrering, selv hvis årsagen ikke med det samme er klar.
Hvorfor dette er mere end en ticket i supportfunktionen
Registrering af cyberincidenter er en af de foranstaltninger, der følger af forsorgspligten i NIS2-direktivet, for organisationer, der selv er kritiske eller vigtige entiteter. For virksomheder, der bliver ramt via en opdrachtgiver, er det nu også blot et spørgsmål på spørgeskemaet: hvordan dokumenterer De, hvad der skete, og kan De vise det. Et overblik over, hvordan denne foranstaltning forholder sig til de øvrige pligter fra forsorgspligten, finder De i oversigten over alle emner, med pr. emne et kort svar og fundstedet i den officielle tekst.
Forskellen mellem en virksomhed, der har styr på det her, og en virksomhed, der ikke har det, ligger sjældent i teknikken. Det ligger i vanen med at skrive noget ned, så snart det sker, i stedet for at rekonstruere bagefter, hvad der præcist foregik.
Produktionssystemer kræver en anden betragtning
Et kontorincident er relativt overskueligt: en bærbar computer, en mailboks, et delt drev. I metal- og fremstillingsindustrien kører produktionssystemer ofte i årevis uden, at nogen længere tænker på dem, med adgang for maskineleverandøren, en vedligeholdelsespart eller en teknisk serviceudbyder, der overvåger på afstand. Det gør det til tider svært at skelne mellem en driftsforstyrrelse og et cyberincident på selve tidspunktet: står en linje i stå på grund af slitage, på grund af en fejlagtig opdatering, eller fordi nogen uberettiget er kommet ind.
Netop derfor er det nyttigt at have et særligt felt i registreringen til systemtypen: kontorautomatisering, et produktionssystem, der er forbundet til virksomhedsnetværket, eller et system, der administreres via fjernbetjening af en tredjepartsleverandør. Denne inddeling hjælper ikke blot med analysen bagefter, men også med at besvare det spørgsmål, en opdrachtgiver ofte stiller: hvordan er Deres produktionsmiljø afskærmet fra Deres kontors it.
Hvad hører mindst til i registreringen
En brugbar registrering beskriver det tidspunkt, hvor cyberincidentet blev opdaget og af hvem, en kort beskrivelse af, hvad der blev observeret, hvilke systemer eller produktionslinjer, der faktisk blev ramt, hvilke trin der blev taget for at begrænse skaden, og det tidspunkt, hvor normaltilstanden blev genoprettet. Hertil hører også en kort konklusion: var dette et cyberincident, en teknisk driftsforstyrrelse, eller var det uklart, hvad årsagen var. Denne sidste kategori må gerne eksistere; ikke hvert cyberincident lader sig forklare inden for en dag, og en ærlig registrering angiver det således.
Forskellen mellem dokumentering og indberetning
At registrere er noget helt tredje end at anmelde. Organisationer, der selv er væsentlige eller vigtige entiteter i henhold til NIS2-direktivet, skal anmelde til deres tilsynsmyndighed, med frister der er fastsat i loven selv. For de præcise frister og måden at anmelde på henviser vi til den officielle tekst og til tilsynsmyndigheden i dit land; det er bevidst ikke en vurdering, som vi foretager her. Organisationer, der bliver berørt via leverandørkæden, får typisk ingen lovpligtig anmeldelsespligt, men ofte en kontraktlig aftale med oprdraget om at anmelde hændelser inden for en aftalt frist. En ordentlig registrering er udgangspunktet i begge tilfælde: uden dokumentation er der intet at vende tilbage til, når nogen beder om en forklaring.
Hvem holder styr på dette i dit firma
I mange installations- og produktionsbedrifter ligger ansvaret for produktionssystemerne hos produktionsledelsen, mens IT-ansvarlig primært fokuserer på kontorautomation. Det gør det vigtig at præcisere på forhånd, hvem der ejer hændelsesregistreringen som helhed, og hvem der bliver ringet op først ved en konkret hændelse. En registrering, der vedligeholdes i to separate systemer, ét for IT og ét for produktion, skaber unødig forsinkelse i det øjeblik, det betyder noget.
Hvad secria gør og ikke gør for dig
Secria hjælper med at oprette det dossier, hvori denne registrering får en fast plads med en status, et bevisstykke og en ejer per foranstaltning, samt med forudskrevne teksterne til det øjeblik, hvor en anmeldelse bliver nødvendig. Hvad vi ikke gør, er at løse selve hændelsen: ingen hændelsesrespons, ingen SOC, intet retsmedicinsk arbejde. Det forbliver specialiseret arbejde udført af andre, og vi forbereder dig sådan at du, når det bliver aktuelt, ikke starter fra nul. Mere om, hvordan vi får vores oplysninger, og hvilke kilder vi bruger, kan du læse på siden om hvordan det fungerer. Hvad dossier og skabeloner koster kan du se på siden med priser.
Vil du først vide, om og hvordan dit firma præcist passer ind, som væsentlig eller vigtig enhed, eller som påvirket leverandør i kæden? Foretag det gratis NIS2-check og se på få spørgsmål hvor du ståreller læs videre i vores videnbank for mere bagrund om dette emne.