OT‑grænsen: hvor IT‑testen stopper, og produktionsnettet begynder

I en virksomhed med produktion, lager eller tekniske anlæg findes der et sted, hvor kontornettet slutter, og nettet med styringer, maskiner og anlæg begynder. For IT-afdelingen er det stedet, hvor en almindelig penetrationstest skal stoppe, medmindre andet er aftalt med dem, der ejer anlæggene. Svaret på, hvor grænsen går, og hvad der må ske ved den, hviler på to ting: en beskrivelse af, hvor de to net faktisk mødes, og en skriftlig aftale med anlæggets ejer om, hvad testen må berøre.

Køberens opslag om test af produktionsanlæg og OT findes på penetrationtest.dk. Her er det IT-afdelingens del: grænsen set fra kontornettet.

Hvorfor grænsen skal trækkes skarpt

OT, operationel teknologi, er de systemer, der overvåger og styrer fysiske processer. NIST’s vejledning om OT-sikkerhed fremhæver, at de har særlige krav til ydeevne, pålidelighed og sikkerhed for mennesker. NCSC formulerer forskellen sådan, at prioriteterne i OT ofte er sikkerhed, pålidelighed og tilgængelighed, fordi en fejl kan få fysiske følger.

Det har en direkte betydning for testen. En undersøgelse, som en kontorserver tåler uden problemer, kan få en ældre styring til at reagere uventet. Aktive test i et produktionsanlæg kræver derfor særlig forsigtighed og anlægsejerens udtrykkelige accept. Uden den accept ligger anlæggene uden for testen, også selv om de kan nås fra kontornettet.

Hvem ejer hvad ved grænsen

Grænsen er ikke kun teknisk. Den er også organisatorisk.

• IT-afdelingen · ejer kontornettet, identiteten og typisk firewallen eller forbindelsen mod produktionen.
• Produktion eller vedligehold · ejer anlæggene og afgør, hvad der er en acceptabel risiko for driften.
• Anlæggenes leverandører · kan have serviceaftaler, der stiller krav til, hvem der må ændre hvad. → Fjernadgang til anlæggene i produktionen
• Fælles systemer · fx planlægning, kvalitetsdata eller historik, som henter data fra anlæggene og bruges på kontoret.

Det fjerde punkt kan være uklart. Systemer, der står mellem de to verdener, har tit ingen klar ejer, og de er netop dem, der binder nettene sammen.

Det, IT-testen kan afprøve fra sin side

Uden at berøre anlæggene kan en test tage udgangspunkt på kontornettet og stille spørgsmål til grænsen.

1. Er nettene adskilt · kan en almindelig maskine på kontornettet nå noget på produktionsnettet? → Segmentering i dybden
2. Hvilke forbindelser findes · hvilke systemer på kontoret har en åbning ind mod produktionen, og passer de til den dokumentation, I har?
3. Hvem kan administrere grænsen · kan firewallen eller forbindelsen mod produktionen administreres fra kontornettet, og med hvilke konti?
4. Delte konti og domæner · bruger produktionens maskiner det samme katalog eller de samme konti som kontoret?
5. Fælles systemer · kan de systemer, der henter data fra anlæggene, nås og overtages fra kontoret?

Testen stopper ved grænsen. Viser den, at noget på produktionsnettet kan nås, er det fundet. Den går ikke videre ind, medmindre anlæggets ejer har aftalt andet skriftligt.

Forberedelsen sammen med anlæggets ejer

Selv en test, der kun ser på grænsen, skal forberedes sammen med produktionen.

• Beskriv grænsen · hvor de to net mødes, og hvilke forbindelser der er tilladt. Beskrivelsen kan i sig selv vise forbindelser, ingen har brug for. → Netværkstegning og systemoversigt
• List det, der ikke må berøres · adresser og net, som testen skal holde sig fra, også ved en fejl.
• Aftal tidspunktet · fx uden for produktionstimer eller under et planlagt stop.
• Udpeg en kontakt i produktionen · en person, der kan sige stop, og som er til at få fat i under testen.
• Aftal, hvad der sker ved tvivl · hvis testeren er usikker på, om noget hører til produktionen, stopper testeren og spørger.

Hvis anlæggene senere skal med

Det sker, at produktionen efter en test af grænsen ønsker at vide mere om selve anlæggene. Det er en anden opgave, og den skal behandles som sådan. Den bestilles og afgrænses sammen med anlæggets ejer, eventuelt med anlæggets leverandør, og den kræver en tester med erfaring fra den slags miljøer.

For IT-afdelingen er rollen her at levere viden om grænsen og om de forbindelser, IT har ansvaret for, ikke at udvide den igangværende test. En udvidelse midt i testen, fordi testeren alligevel er i gang, er præcis den situation, grænsen skal forhindre. En gennemgang af dokumentation og arkitektur kan være et mere passende første skridt i produktionen end en aktiv test, og valget ligger hos anlæggets ejer.

Fundene og prioriteringen

Fund ved grænsen kan handle om forbindelser, der er for brede, om konti, der går på tværs, og om administration af grænsen, der kan ske fra kontornettet. Nogle af dem kan rettes fra IT-siden uden at røre anlæggene.

CISA og andre amerikanske myndigheder anbefaler i en fælles vejledning at adskille IT- og OT-nettene og lade data passere via en mellemzone i stedet for direkte. Overført til jeres miljø betyder det på begrebsniveau: færre og smallere forbindelser, adskilte konti for produktionens administration og en grænse, der administreres fra et sted, brugerne ikke kan nå. → Administrationsnet

Rettelser, der berører produktionen, skal planlægges med produktionen. Det kan kræve et planlagt stop, og det tager tid. Afhjælpninger på kontorsiden kan gennemføres i mellemtiden, fx ved at lukke forbindelser, som ingen kan forklare, eller ved at stramme, hvem på kontoret der kan administrere grænsen. Notér hvert fund med to ejere, når både IT og produktionen skal handle, så ingen af dem venter på den anden.

Det skal I lade være med

• At lade anlæggene indgå, fordi de kan nås. Uden anlægsejerens accept er de uden for testen.
• At planlægge grænsetesten uden produktionen. Kun de, der kender anlæggene, kan sige, hvad der er følsomt.
• At regne de fælles systemer for kontor-IT. De kan være broen mellem nettene.
• At bruge kontorets administratorkonti i produktionen. Så rækker et fund på kontoret hele vejen ind.
• At skrive rapporten, som om anlæggene var vurderet. Grænsen og det, der var udenfor, skal fremgå.

Hvad kan og ikke kan konkluderes

En test af grænsen kan vise, om adskillelsen holdt fra de udgangspunkter på kontornettet, testen havde, og om forbindelserne passede til dokumentationen. Den siger intet om anlæggenes egen sikkerhed, om leverandørernes adgang ad andre veje eller om forhold, testen ikke måtte berøre. En holdbar grænse er værdifuld viden, men den er ikke en vurdering af produktionen.

Tjekliste til OT-grænsen

• ☐ Er det beskrevet, hvor kontornet og produktionsnet mødes?
• ☐ Har anlæggets ejer skriftligt accepteret, hvad testen må berøre?
• ☐ Er adresser og net, der ikke må berøres, listet?
• ☐ Er der en kontakt i produktionen, der kan sige stop?
• ☐ Er de fælles systemer mellem nettene med i overblikket?
• ☐ Er det aftalt, at testen stopper ved tvivl?

Kilder

• NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security: OT-systemers særlige krav til ydeevne, pålidelighed og sikkerhed, typiske arkitekturer og anbefalede modforanstaltninger.
• NCSC: Operational technology: britisk myndigheds samling om OT; at prioriteterne ofte er sikkerhed, pålidelighed og tilgængelighed, og at øget forbindelse til virksomhedens net kan give nye sårbarheder.
• CISA, FBI, EPA og DOE: Primary Mitigations to Reduce Cyber Threats to Operational Technology (maj 2025): adskillelse af IT- og OT-net med en mellemzone og fjernelse af OT-forbindelser til internettet.

Senest gennemgået: oktober 2026.

Næste skridt

• Fjernadgang til anlæggene i produktionen
• Segmentering i dybden

Del af: Artikler til IT-afdelingen

Læs også: Enheder uden ejer i IT · Skrøbelige systemer

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT