BRUG IT MED OMTANKE IT-SIKKERHED I KONTROLRUM OG TEKNISKE SYSTEMER AUGUST 2015
INDLEDNING Denne folder er udarbejdet af IT-beredskabsgruppen, som er nedsat af Dansk Energi. Folderen henvender sig til kontrolrumsansatte og driftspersonale i elsektoren. Vores budskab er, at vi altid skal være bevidste, når vi bruger PC ere og kobler os på systemer og netværk, hvorigennem der kan opnås adgang til SCADA-systemer og andre tekniske IT-systemer, relæbeskyttelse/rtu er, fjernaflæste målersystemer mv. Folderen henvender sig også til personale, som varetager den daglige drift og support af IT-systemer, der anvendes i og understøtter driften af elnettet eller elproducerende enheder i Danmark. Eksempler herpå kan være IT-administratorer, IT-driftspersonale og IT-ansvarlige. Indholdet i denne folder kan anvendes som inspiration for udarbejdelse af eget informationsmateriale og egne retningslinjer, eller som supplement til allerede eksisterende materiale og retningslinjer, som virksomheder i elsektoren måtte have. Som ansat i elsektoren er du selv en del af sikkerheden! CYBER-TRUSLER SKAL TAGES ALVORLIGT Som ansat i elsektoren i Danmark, er det os, der sidder med knapperne til at sikre, at det danske samfund har strøm i stikkontakten. Det er også os, der skal sikre, at der ikke er nogen, der hacker sig ind og forstyrrer vores elforsyning. Som ansat i et af elselskabernes mange kontrolrum eller IT-driftsorganisationer har vi ansvar for forsvarlig adgang til og brug af IT-systemer, som understøtter driften af elsystemet i Danmark. Truslerne mod IT-systemerne i elsektoren er reelle. Verden over udsættes IT-systemer hvert eneste minut for IT-sikkerhedshændelser og forsøg på cyberangreb af forskellig art. Nogle angreb er kortvarige og velkendte, mens andre angreb er mere målrettede, ukendte, trojanske, vedholdende og udmattende.
SEKS TEMAER 9 ANBEFALINGER OG 40 CM Hvordan bør virksomheder og ansatte i elsektoren anvende og tilgå IT for at medvirke til en højere IT-sikkerhed i elsektoren i Danmark? Svaret er ikke entydigt klart. IT-sikkerhed er et spørgsmål om prioritering og den rette balance på godt og ondt. Ethvert tiltag for at højne IT-sikkerheden er forbundet med en økonomisk omkostning, og der vil også ofte medfølge begrænsninger i brugernes muligheder og rettigheder. Denne folder giver IT-beredskabsgruppens bud på, hvad vi ser som vigtige fokuspunkter. Folderen er opdelt i seks temaer: Politikker for opdatering af systemer Netværk og tilslutning af PC ere Data og information Data- og systemejere, brugere og rettigheder Leverandører, gæster og andre eksterne Hav en plan! TEMA 01 POLITIKKER FOR OPDATERING AF SYSTEMER Hav nedskrevne politikker og procedurer for opdatering af kontrol-, beskyttelses- eller målesystemer og for opdatering af de IT-systemer, som understøtter disse systemer Følg altid kendte og aftalte procedurer/processer og politikker ved opdatering Verificér data/pc før upload Virusscan altid data før upload Udskyd ikke en opdatering/patchning selvom du er midt i en anden opgave Opdatér nu. Det næste link eller vedhæftning kan være ondsindet TEMA 02 NETVÆRK OG TILSLUTNING AF PC ERE Kend dit netværks forbindelser og koblinger mod interne og eksterne systemnetværk Anvend aldrig tablets som adgang til kontrolrums-funktionalitet og andre tekniske IT-systemer Anvend aldrig trådløse netværk for tilslutning til kontrolrums-funktionalitet og andre tekniske IT-systemer. Anvend kun kablede forbindelser Og husk ellers: De 40 cm altså afstanden mellem dig, din PC og dit tastatur er dem, som gør forskellen! DIN IT-SUPPORTFUNKTION ER DIN VEN Husk at din IT-support er din nærmeste ven. Hvis uheldet skulle være ude, fx at du har fået åbnet en vedhæftet fil, som viser sig at se mistænkelig ud, så er dine kollegaer i din IT-supportfunktion de nærmeste til at hjælpe dig og din virksomhed. Jo før der kan iværksættes en undersøgelse af en given IT-sikkerhedshændelse, jo bedre vil man stå senere. Vi kan altid være bagkloge, reflektere og tage ved lære. Men når en ondsindet angriber først er kommet ind, så skal der handles hurtigt, og så er hvert minut kostbart. TEMA 03 DATA OG INFORMATION Beskyt oplysninger om din IT-infrastruktur. Det bedste forsvar er at undlade at oplyse om, hvordan jeres system er bygget op Overvej generel klassifikation af data og information Definér, som minimum, hvad der er følsomme data, herunder hvad der er personfølsomme data. Gør det i samarbejde med dataejer, da denne kender data bedst Orientér relevante medarbejdere om, hvilke data der er følsomme/personfølsomme Udlevér ikke følsomme/personfølsomme data. Udlevér kun data, hvis det er nødvendigt og påkrævet Del ikke data og anden information via online-fildelingstjenester Distribuér altid data via en verificeret server Derfor skal du huske, at det er vigtigt, at du kontakter IT-supportfunktionen hurtigt, hvis du har fået klikket på et link eller åbnet en vedhæftning, du måske ikke skulle have haft åbnet. Ring gerne til din IT-supportfunktion inden du klikker på et ukendt link eller vedhæftning, hvis du føler dig i tvivl. Ring hellere en gang for meget end en gang for lidt.
TEMA 04 DATA- OG SYSTEMEJERE, BRUGERE OG RETTIGHEDER Kend dine data- og systemejere Ændringer skal altid styres og godkendes af system- og/eller dataejeren Begræns antallet af personer med adgang, og begræns deres rettigheder til det reelle arbejdsbetingede behov. Bed løbende dine data- og systemejere forholde sig til personers adgange og rettigheder TEMA 05 9 ANBEFALINGER FOR BRUG AF PC ER I KONTROLRUM OG TEKNISKE SYSTEMER LEVERANDØRER, GÆSTER OG ANDRE EKSTERNE Luk aldrig ukendte/uautoriserede personer ind til dine systemer, og ledsag altid dine gæster Sikr dig, at gæster har gyldigt adgangs- eller gæstekort. Ret henvendelse til gæster og spørg, hvis du er i tvivl om, hvem der er gæstens retmæssige kontaktperson i virksomheden Informér gæster og leverandører om virksomhedens sikkerhedspolitikker Overvej behovet for clearing af eksterne personer, som skal have adgang til virksomhedens netværk Eksterne leverandører bør ikke forbinde egen PC direkte til servere, RTU er mv. Adgang skal altid ske gennem virksomhedens egne PC ere og ellers ske via afgrænsede arbejdszoner (fx jump-host-løsning) TEMA 06 HAV EN PLAN! Hav en plan for håndtering af varsler om IT-sikkerhedshændelser fx fra GovCERT eller udsendt via elsektorens kontrolstruktur Hav en plan for hvad I gør, hvis I skulle blive udsat for en IT-sikkerheds hændelse eller kompromittering Opbyg et beredskab, så I kan håndtere IT-sikkerhedshændelser 24-7-365 1. Anvend aldrig trådløs mus/keyboard 2. Tilslut aldrig noget, som anvender USB (ud over kablede mus og tastaturer). Blænd evt. alle USB-porte af, og respektér, hvis en port er blændet af 3. Tast ikke brugernavn og password, mens andre kigger. Udlevér aldrig dine bruger navne og passwords til nogen 4. Opdatér dine brugernavne og dine passwords hyppigt. Undlad at genbruge dit brugernavn/password for login andre steder 5. Skal du på internettet, så kontrollér at du har skrevet den rigtige URL. Ét ekstra sekunds omtanke skader ikke 6. Anvend aldrig PC er i kontrolrum og til tekniske systemer til at gå på sociale medier som Facebook, Twitter, LinkedIn el. lign., og del ikke følsom/personfølsom information om virksomhedens tekniske anlæg og systemer eller virksomhedens kunder på de sociale medier 7. Åbn aldrig filer eller links, hvis du bare har en lille mistillid til indholdet eller rigtig heden af afsenderen. Bed evt. afsenderen om at fremsende filen/linket igen, når afsenderen har bekræftet rigtigheden af indholdet 8. Lås altid din PC, når du forlader den (Windows-tast + L) 9. Installér kun programmer, som du og din administrator har tillid til
IT-SIKKERHED FORUDSÆTTER BRUG AF IT MED OMTANKE Som ansat i elsektoren skal vi anvende IT med omtanke. Der er ingen tvivl om, at vores daglige brug af IT kan udgøre en potentiel trussel for IT-sikkerheden. Vi bør derfor løbende minde hinanden om, at vi med vores brug af IT både kan højne og reducere IT-sikkerheden i elsektoren. Hvis vi anvender IT med omtanke, er der en god chance for, at vi hæver sikkerhedsniveauet både i det daglige, når det uforudsete indtræffer og i den pressede situation. Som ansat i elsektoren er du selv en del af sikkerheden! KONTAKT Dansk Energi Vodroffsvej 59 1970 Frederiksberg C Tlf. 35 300 400 www.danskenergi.dk DANSK ENERGI Kontakt Peter Kjær Hansen Tlf. 20 90 77 79 pha@danskenergi.dk DANSK ENERGI Kontakt Jørgen Christensen Tlf. 20 90 77 80 jsc@danskenergi.dk BRANCHEFÆLLESSKAB FOR INTELLIGENT ENERGI Jeppe Røn Hartmann Tlf. 35 30 04 42 jrh@danskenergi.dk DESIGN: ESSENSEN.COM FOTO: COLOURBOX, DANSK ENERGI