Kryptografiska funktioner inom industriella informations- och styrsystem

Industriella informations- och styrsystem står idag inför komplexa utmaningar i takt med att dessa, traditionellt isolerade, system blir allt mer uppkopplade mot publika och osäkra nätverk. Industriella informations- och styrsystem kontrollerar och övervakar fysiska processer. Dessa processer kan sällan avslutas i förtid utan att detta innebär stora ekonomiska konsekvenser för den ägande organisationen. Att dessa system sällan kan stängas ner i kombination med en livslängd som ofta överskrider 20 år, leder till att systemen ofta opererar med utdaterad teknik, vilket i sin tur innebär en större sårbarhet för cyberangrepp. Eftersom dessa system har en inverkan i det fysiska rummet kan konsekvenserna av ett framgångsrikt cyberangrepp få katastrofala konsekvenser inte bara ekonomiskt, utan även fysiskt och kan i värsta fall leda till att människoliv går förlorade. Detta sammantaget gör att det är av stor vikt att skydda dessa system mot cyberangrepp. Denna rapport undersöker behov, nyttjande samt relevans av kryptografiska funktioner som skydd mot cyberangrepp. Rapporten innehåller två typer av informationsinsamling: litteraturstudier respektive intervjuer. Två litteraturstudier genomfördes för att (1) identifiera lagkrav och standarder för kryptografiska funktioner inom industriella informations- och styrsystem. (2) Identifiera vilka kryptografiska funktioner som är lämpliga att implementera i kontexten av industriella informations- och styrsystem. Intervjuer genomfördes med två operatörer inom branscher med olika skyddskrav samt en intervju med en leverantör av styrsystemskomponenter. Resultatet av litteraturstudierna och intervjuerna leder till en rekommendation att all extern trafik samt lagrad data krypteras. Intervjuernas respondenter motsätter sig kryptering av de interna nätverken då detta avsevärt försvårar övervakning. Istället läggs stor vikt på autentisering av kommunikation i de interna nätverken.