OT-säkerhet för hamnar
Skydda hamnen, från grinden till kajen
En hamn har styrsystem, ingenjörsstationer och många kameror. Leverantörer behöver nå sin utrustning, ibland mitt i natten. XoT döljer utrustningen och bestämmer vem som når den, utan att ni byter ut något.
Läget
Därför är hamnar särskilt utsatta
Utrustning som lever länge
Kranar, grindar, belysning, landström och uttag för kylcontainrar styrs av PLC:er och SCADA. Mycket av utrustningen får sällan säkerhetsuppdateringar.
Många leverantörer
Varje leverantör vill nå sin egen utrustning. Det blir 4G-modem, TeamViewer och konton i hamnens VPN.
Delade kajer
Hamnbolaget, terminaloperatörer och andra företag delar ofta område och nätverk.
Drift dygnet runt
Hamnen stänger aldrig. Ett fel mitt i natten kan hålla kvar ett fartyg vid kaj.
Börja med att ta reda på vilken utrustning som är ansluten och vad den pratar med. Traffic Discovery visar vilken trafik som går genom låsen.
Lagar
Flera regelverk gäller samma hamn
Exemplen nedan kommer från Sverige. Andra EU-länder har liknande lagar, eftersom NIS2 och CER är EU-direktiv.
Cybersäkerhetslagen
Sjöfart är en del av sektorn transport i NIS2. Den omfattar bland annat hamnar och företag som driver utrustning i hamnen. I Sverige har Transportstyrelsen tillsyn över transportsektorn.
Hamnskydd
Lagen om hamnskydd och ISPS-koden kräver skydd mot terrorism och andra avsiktliga angrepp. Transportstyrelsen har tillsyn även här. Kameror och passersystem är ofta en del av skyddet.
CER
Transport finns också med i CER, som handlar om motståndskraft. Sverige inför CER genom en ny lag.
Säkerhetsskyddslagen
Många hamnar är viktiga för Sveriges säkerhet. Då gäller också säkerhetsskyddslagen.
En betydande incident rapporteras till NCSC i tre steg. De första två ska lämnas inom 24 och 72 timmar, och en slutrapport inom en månad. Loggarna i XMS visar vem som anslöt till vad och när. Det ger underlag till rapporten.
Var ni kan börja
Börja med ingenjörsstationer och SCADA
En ingenjörsstation (EWS) och ett SCADA-system når många maskiner. Därför är de ett bra ställe att börja. Vi har skyddat både EWS och SCADA i hamnverksamhet med Hide and Protect.
Ingenjörsstationer
Ingenjörsstationen blir osynlig för alla som saknar behörighet. Bara de som får använda den når den, och varje anslutning loggas.
SCADA
Ett lås sitter framför SCADA-servern. Bara den trafik som behövs får gå mellan SCADA och utrustningen på kajen.
Kameror
Kameror vid kajer och grindar
En hamn har ofta många kameror. De sitter på platser som är lätta att nå, och många uppdateras sällan.
Ingen trafik ut
Ett lås framför kamerorna kan stoppa all trafik ut från dem, även till tillverkaren. En regel bestämmer vilken trafik som får gå, till exempel bara till ert VMS.
802.1X
Låset kan logga in mot switchen åt kameror som inte klarar 802.1X själva.
Axis
I kameror från Axis finns låset också som ACAP-app, för fjärråtkomst till kameran.
Leverantörer
Leverantörer som vill behålla sin egen åtkomst
TeamViewer
Leverantören kan fortsätta använda det, men via XoT-WebAccess. Då ser hamnen vem som ansluter och när.
Eget modem
Leverantörens modem kan sitta kvar. Hamnen sätter ett XoT-S1 mellan modemet och utrustningen. Då bestämmer hamnen vem som får ansluta, ser vad de ansluter till och får en logg över varje anslutning.
Godkännande av varje anslutning
Leverantören begär åtkomst, och någon i hamnen godkänner. Den som begär kan inte godkänna sin egen begäran. Åtkomsten upphör av sig själv.
Delade kajer
Flera företag i samma XMS
Hamnbolaget och terminaloperatörerna kan använda samma XMS och ändå hållas helt isär. Varje företag ser bara sin egen utrustning och godkänner sina egna begäranden.
Dygnet runt
När något händer klockan tre på natten
Support dygnet runt
Den erbjuds via vår partner Telia Cygate. Vår egen support har öppet vardagar 08–17 svensk tid.
Nödåtkomst
Om ingen kan godkänna en begäran används en hårdvarunyckel. Nyckeln kan ligga hos vakten eller i ett kassaskåp. Den kräver också en PIN-kod, som teknikern får av kontrollrummet. Allt loggas.
Om ett lås går sönder
Då släpper det inte igenom någon trafik, inte heller vid strömavbrott. Med två lås för samma utrustning tar det andra över efter ungefär två minuter. En omstart tar mindre än 33 sekunder.
Där låset inte ska sitta
Sätt inte ett lås framför nödstopp eller andra säkerhetsfunktioner. De ska fungera även när nätverket inte gör det.
Var XoT körs
Hela XoT kan köras hos er, utan internet
XoT kan köras i ert eget datacenter, helt avskilt från internet. Uppdateringarna görs då offline. Det enda som alltid behövs är XMS. Resten väljer ni efter vad ni ska lösa, till exempel XoT-S1, Virtual XoT eller XoT-WebAccess.
XoT utvecklas i Sverige, och hårdvaran XoT-S1 är konstruerad och tillverkad i Sverige.
Så går ni vidare
Från första frågan till pilot
1. Ställ era frågor skriftligt
Skicka era frågor till oss. Vi skickar gärna kvalitetsbeskrivning, SBOM och annat underlag för er leverantörsbedömning. Rapporter från penetrationstester får ni under ett sekretessavtal.
2. Prata med en referens
Vi kan förmedla en kontakt inom hamnverksamhet. Det är kunden som bestämmer om den vill ställa upp.
3. Workshop på plats
Vi kommer gärna till er. Där ritar vi upp anläggningen tillsammans med er och era leverantörer.
4. Pilot
Vi har inget färdigt pilotpaket. En pilot kan till exempel se ut som nedan.
Exempel på en pilot
- Ett fall, till exempel en leverantörs fjärråtkomst till en ingenjörsstation eller ett SCADA-system.
- Två till tre månader.
- Framgångskriterier som vi bestämmer tillsammans innan piloten börjar.
- Ert eget test. Er pentestpartner får gärna försöka ta sig förbi låset.
En pilot med några maskiner brukar rymmas inom direktupphandling. Är ni medlem i inköpscentralen Sinfra kan ni köpa via våra partner Plantvision och Telia Cygate.
Vanliga frågor
Fungerar XoT med våra industriprotokoll?
Ja, för protokoll över TCP och UDP, till exempel Modbus TCP, OPC UA, S7 och IEC 60870-5-104. Protokoll på lager 2 passerar inte låset utan vidare. Utrustning som pratar på lager 2 med varandra sitter därför bakom samma lås.
Måste vi bygga om nätverket?
Nej. Låset sitter framför utrustningen, och utrustningen behöver inte ändras.
Vad händer om XMS inte går att nå?
Förbindelser som redan är öppna fortsätter att fungera så länge åtkomstbiljetterna gäller. Nya regler och ändringar kräver att XMS nås.
Finns det en partner nära oss?
Se vilka partner vi har, eller fråga oss. Då föreslår vi den som passar er bäst.
Räcker XoT för att följa cybersäkerhetslagen?
Nej. XoT hjälper till med flera av åtgärderna, men lagen kräver fler. Vi har gått igenom vilka.
Det vi skriver om lagar är vår tolkning. Det är inte juridisk rådgivning.
Börja med en leverantör
Välj den leverantörsåtkomst som oroar er mest i dag.