OT-säkerhet i industrin - från karta till handling – nästa steg för en säker och digital industri
- Sustainability Circle
- 3 aug.
- 7 min läsning
Förra hösten samlades vi i Göteborg för en heldag om OT, cybersäkerhet och digitalisering. En stor del av dagen ägnades åt att kalibrera oss: att skapa ett gemensamt språk, en gemensam målbild och en översikt över allt som behöver fungera i en modern OT-miljö.
Vi arbetade med en referensarkitektur som beskrev både tekniken och de processer, roller och kompetenser som behövs för att en verksamhet ska kunna arbeta effektivt och säkert med OT – och samtidigt få ut så mycket som möjligt av digitaliseringens möjligheter.
Nu, ett år senare, är det dags att ställa nästa fråga:
Hur går vi från en gemensam karta till prioriterade och genomförbara åtgärder i den egna verksamheten?
En verklighet som kräver mer motståndskraft
Under lång tid har industrins tekniska utveckling framför allt drivits av krav på produktivitet, kvalitet och kostnadseffektivitet. De kraven finns naturligtvis kvar.
Men de senaste årens utveckling har gjort det tydligt att vi också måste prioritera säkerhet, motståndskraft och förmågan att återhämta verksamheten efter en störning.
I dagens industriella miljöer möter ny teknik äldre utrustning. Digitala system möter analoga processer. Kontors-IT möter produktionssystem med andra livscykler, andra krav och helt andra konsekvenser om något går fel.
Samtidigt är resurserna begränsade. Kompetensen räcker inte alltid till allt och investeringarna måste prioriteras.
Utmaningen är därför inte bara att förstå vad som skulle kunna göras, utan att avgöra vad som bör göras först – och var
insatserna ger störst effekt.
Helst ska det arbetet ske förebyggande, mer som en försäkring än som en räddningsaktion.
Förra året byggde vi en gemensam karta
I vårt nätverk försöker vi avgränsa diskussionen till OT – ibland kallat fabriks-IT – även om gränserna blir allt svårare att dra.
I en digitaliserad produktion hänger systemen, människorna och processerna ihop. Just därför behöver vi ibland skapa tydliga avgränsningar för att kunna gå från övergripande resonemang till konkret handling.
Förra årets diskussioner visade att många verksamheter fortfarande saknade en tillräckligt tydlig och uppdaterad kartläggning av sina OT-miljöer:
Vilken utrustning och vilka system finns?
Vilka dataflöden och beroenden finns mellan systemen?
Var finns de största riskerna?
Vilka funktioner är mest kritiska?
Vad bör åtgärdas först?
Tekniska byggstenar som segmentering, säkra fjärranslutningar, loggning, övervakning, systemhärdning, redundans samt fungerande backup och återställning återkom under dagen.
Men diskussionerna visade också tydligt att tekniken bara är en del av lösningen. Minst lika avgörande är tydliga mandat och ansvar, fungerande incidentberedskap, rätt beställarkompetens och kontroll över leverantörer, tredjepartsåtkomst och långa leverantörskedjor.
Därtill kommer behovet av bättre samspel mellan IT, OT, produktion, underhåll och verksamhetsledning.
Referensarkitekturen gav oss en värdefull helhetsbild och ett gemensamt språk. Men den väckte också den viktigaste frågan:
Hur översätter vi en omfattande arkitektur till konkreta, riskbaserade och genomförbara prioriteringar?
Från regelefterlevnad till verklig förmåga
Nya regelverk, inte minst NIS2, har gjort det lättare att få ledningens uppmärksamhet. Regelefterlevnad är ofta en uppgift som går att beskriva, organisera och följa upp.
Men verklig motståndskraft skapas inte bara genom att uppfylla externa krav. Den byggs inifrån.
Det handlar om att höja kompetensen hos medarbetarna, skapa tydliga arbetssätt och ge människor mandat och förmåga att agera när något avviker.
De verksamheter som hade kommit längre beskrev arbetet utifrån flera sammanhängande områden:
motståndskraft,
arkitektur och teknik,
drift och återställning,
människor, ansvar och styrning.
Det handlade om tekniska åtgärder som segmentering, redundans, systemhärdning och säker fjärråtkomst. Men lika mycket om tydliga roller, fungerande rutiner, leverantörsstyrning och kompetens.
En särskilt viktig lärdom var att OT-säkerhet inte bara handlar om att förebygga fel och angrepp. Verksamheten måste också vara förberedd på att något faktiskt kan inträffa.
Motståndskraft måste tränas
Det räcker inte att ha dokumenterade planer och sparade backuper. De måste fungera när de behövs.
Organisationen behöver öva olika incident- och katastrofscenarier, prova sina återställningsrutiner och veta vem som fattar beslut när den ordinarie verksamheten inte fungerar.
Det behöver också finnas alternativa arbetssätt och beredskapslägen för hur de viktigaste funktionerna kan upprätthållas när tillgången till data, nätverk eller styrsystem begränsas.
Just detta skiljer sig delvis från traditionellt utvecklingsarbete. Det räcker inte att planera för det önskade framtida läget. Vi måste också träna på avbrottet och förstå hur verksamheten ska fungera när förutsättningarna plötsligt förändras.
En backup som aldrig har provåterlästs är inte en säkerhet.
En incidentplan som ingen har övat är fortfarande mest ett dokument.
Och ett ansvar som inte är tydligt när något inträffar riskerar att bli allas och ingens.
Börja avgränsat – och bygg vidare
En annan viktig lärdom från förra året var att resan inte behöver börja med en fullständig lösning för hela organisationen.
De verksamheter som hade kommit längre hade ofta börjat med avgränsade piloter.
Genom att samla produktion, underhåll, IT och säkerhetskompetens i gemensamma team och utgå från den lokala kunskapen kunde de testa arbetssätt, bygga kompetens och skapa modeller för fortsatt utrullning. Det gjorde det möjligt att lära i mindre skala innan lösningarna breddades.
Samtidigt blev det tydligt att OT inte kan behandlas som vanlig kontors-IT.
Produktionsmiljön har andra livscykler och andra krav på tillgänglighet. Ett system kan behöva fungera i flera decennier. Ett säkerhetsstopp eller en uppdatering kan påverka produktionen, kvaliteten, arbetsmiljön och leveranserna till kund.
Därför behöver OT-miljön egna prioriteringar, tydliga avgränsningar och stöd från människor som förstår både tekniken och konsekvenserna för driften.
Mycket kan göras direkt
Efter förra årets presentationer och diskussioner sammanfattade deltagarna läget genom tre frågor:
Vad kan vi börja göra direkt?
Vad kan vi samarbeta kring?
Vad behöver vi lära mer om?
Svaren visade att mycket kan påbörjas utan att invänta den perfekta strategin.
Det går att:
inventera utrustning och dataflöden,
tydliggöra gränsen mellan IT och OT,
rensa behörigheter,
granska tredjepartsåtkomst,
säkra och provåterläsa backuper,
analysera nätverkstrafik,
prioritera redan identifierade brister,
tydliggöra ansvar och mandat.
Samtidigt behöver organisationen stärkas genom en regelbunden dialog mellan IT, OT, produktion och underhåll.
Ledningen behöver också förstå vilka konsekvenser störningar i OT-miljön kan få – inte bara för tekniken, utan för säkerheten, produktionen, ekonomin, kunderna och förtroendet för verksamheten.
OT-säkerhet är inte ett projekt
Kanske är en av de viktigaste insikterna att detta inte är ett projekt som går att avsluta. OT-säkerhet är ett nytt normaltillstånd.
Verksamheten behöver hela tiden genomföra nya delprojekt för att uppdatera, förbättra och anpassa sina system och arbetssätt.
Samtidigt måste den löpande driften säkerställa att det som redan finns fortsätter att vara säkert och användbart.
Återställningsprocesser, behörigheter, backup, reservrutiner och beredskapslägen behöver underhållas och tränas över tid.
System åldras. Leverantörer förändras. Medarbetare byter roller. Nya system kopplas ihop med gamla och nya dataflöden uppstår.
OT-säkerhet blir därför aldrig färdig. Den måste utvecklas, underhållas, testas och anpassas i takt med att verksamheten förändras. Det kräver resurser i form av tid, pengar och kompetens. Men det är samtidigt en förutsättning för att digitaliseringens effektiviseringar och kvalitetsförbättringar ska vara möjliga och pålitliga.
Säkerheten är en möjliggörare
Det är också viktigt att påminna oss om varför vi gör allt detta. OT-säkerhet har inget egenvärde.
Investeringarna i teknik, organisation, kompetens och arbetssätt är till för att vi tryggt ska kunna digitalisera och utveckla verksamheten.
När vi kan lita på våra system och data blir det möjligt att:
fatta bättre beslut,
effektivisera driften,
utveckla underhållet,
höja kvaliteten,
öka tillgängligheten,
använda energi och andra resurser bättre,
dela data med partners,
använda AI där den faktiskt kan bidra med nytta.
Säkerheten är alltså inte slutmålet. Den är en möjliggörare för fortsatt utveckling.
Om osäkerheten blir för stor riskerar organisationer att bromsa digitaliseringen. Men med rätt arkitektur, kompetens och arbetssätt kan säkerheten i stället bli det som gör att verksamheten vågar ta nästa steg.
Samarbete minskar omvägarna
Deltagarna vid förra årets OT-dag såg ett stort värde i fortsatt erfarenhetsutbyte. Det finns mycket att vinna på att dela praktiska exempel, leverantörskrav, riskanalyser, revisionsmetoder, utbildningar och erfarenheter från incidenter.
Inte minst efterfrågades fler möten där företag från olika branscher öppet kan diskutera vad som faktiskt fungerar – och vad som inte gör det.
Ingen verksamhet kan kopiera en annan rakt av. Förutsättningarna skiljer sig åt.
Men vi kan lära av varandras vägval och undvika att upprepa samma misstag.
Det arbetet har vi fortsatt med under året genom webbinarier, samtal och erfarenhetsutbyte om regelverk, arkitektur, organisation, incidentberedskap och praktiska säkerhetsåtgärder.
Men utvecklingen har inte stått still.
Många verksamheter har nu genomfört kartläggningar, avsatt resurser och tagit de första stegen i sina roadmaps.
Därför är det dags att återigen samla perspektiven under en fokuserad heldag.
Den 17 september tar vi nästa steg
Den 17 september samlas vi återigen på Göteborg Energi för OT-dagen 2026 under rubriken:
Säker industri, hållbar utveckling.
Förra året frågade vi vad som behövde göras. I år vill vi diskutera vad som faktiskt har fungerat.
Vi kommer bland annat att utforska:
hur vi får ledningen att förstå och agera,
hur identifierade risker omvandlas till prioriterade åtgärder,
hur vi går från synlighet till verkligt skydd,
hur incidentberedskap och återställning fungerar i praktiken,
hur säkerheten kan möjliggöra fortsatt digitalisering, datadelning och AI.
Som tidigare kombinerar vi konkreta verksamhetsexempel med gemensamma diskussioner.
Vi kommer också att dela erfarenheter kring vilka projekt som har gett mest nytta, vilka utmaningar som är svårast just nu och hur vi kan lära av både framgångar och misstag.
Dagen riktar sig både till verksamheter som redan har kommit långt och till dem som fortfarande arbetar med den första kartläggningen och prioriteringen.
Det viktiga är inte att alla befinner sig på samma plats. Det viktiga är att vi hjälper varandra att ta nästa steg.
För en säker industri är inte en industri som undviker all förändring. Det är en industri som kan utvecklas, digitaliseras och använda ny teknik utan att förlora kontrollen över sina viktigaste funktioner.
Det är så vi bygger en hållbar, motståndskraftig och konkurrenskraftig produktion.
Tillsammans.
Läs hela sammanställningen från förra årets OT-dag:
Läs mer och anmäl dig till OT-dagen den 17 september:
Kommentarer