Hva er forskjellen på OT-sikkerhet og IT-sikkerhet?

Hva gjør du hvis produksjonen stanser på grunn av et cyberangrep? Industriell digitalisering har gjort produksjonsmiljøer mer datadrevne og effektive, men det har også gjort at digitale angrep ikke lenger bare rammer IT-systemer.

Industrirapporter viser at cybertrusler rettet mot OT-systemer har økt betydelig de siste årene. I perioden 2024-2025 ble det rapportert en 87 % økning i ransomware-aktivitet rettet mot industrielle kontrollsystemer.

I denne artikkelen ser vi nærmere på hva OT-sikkerhet innebærer, og hva som er forskjellen på OT-sikkerhet og IT-sikkerhet.

OT-sikkerhet handler om å beskytte systemer som styrer fysiske prosesser i industri og kritisk infrastruktur. Dette omfatter blant annet SCADA-systemer, PLS-er og industrielle kontrollsystemer som brukes til å overvåke og styre produksjon, energi, vann og andre lignende prosesser. Målet med OT-sikkerhet er å sikre stabil og trygg drift, og redusere risiko for produksjonsstans og ulykker.

IT-sikkerhet handler om å beskytte data i IT-systemer mot uautorisert tilgang, tyveri og skade. Dette inkluderer både forretnings- og persondata som befinner seg i IT-miljøer. OT-sikkerhet handler om å beskytte fysiske prosesser i industri og infrastruktur, og inkluderer ulike kontrollsystemer som sikrer at produksjonen gjennomføres riktig. Kort oppsummert handler IT-sikkerhet om å beskytte informasjon, mens OT-sikkerhet handler om å beskytte den fysiske virkeligheten informasjonen styrer.

Selv om vi tydelig kan skille mellom hva OT- og IT-sikkerhet omfatter, henger de tett sammen i praksis med økt digitalisering og integrasjon. I mange tilfeller starter angrep mot OT-miljøer som et vanlig IT-angrep, med for eksempel phishing, kompromitterte brukerkontoer eller sårbar fjerntilgang. Dette stiller krav til at IT- og OT-sikkerhet ses i sammenheng.

Ulike sikkerhetsprinsipper, ansvarsområder og teknologi kan gjøre dette krevende. Nettopp derfor er samarbeid mellom IT, drift og ledelse nødvendig for å redusere risiko. 

OT-angrep kan gi store samfunnsmessige, økonomiske og helsemessige konsekvenser. Her ser vi nærmere på potensielle konsekvenser i kritisk infrastruktur og produksjonsindustri. 

Det er først de siste årene, med økt digitalisering, at fokuset på OT-sikkerhet har fått mer oppmerksomhet. Tidligere var industrielle kontrollsystemer i stor grad isolert fra omverdenen, og risikoen for cyberangrep var begrenset. I dag er situasjonen en annen. OT-systemer er i økende grad koblet til IT-nettverk, skyplattformer og eksterne leverandører. Samtidig har de fleste produksjonsmiljøer utstyr med lang levetid og varierende alder, der eldre systemer ofte mangler moderne sikkerhetsmekanismer som autentisering og kryptering.

Men selv om IT- og OT-miljøer beveger seg nærmere hverandre, kan ikke sikkerhetstiltak gjennomføres på samme måte. I IT-miljøer er det vanlig å skanne aktivt for potensielle trusler. I OT-miljøet kan aktiv skanning ødelegge eller resette utstyr som PLS-er og andre enheter, som kan føre til farlige situasjoner.

Også backup av kjørende automasjonssystemer er kritisk. Hvis man ved et havari mangler riktig versjon av backup med riktige kjøreparametere kan det gi store konsekvenser for driften. For personell som skal jobbe med OT-sikkerhet, er det viktig å forstå at backup av automasjonssystemer ikke er det samme som vanlig filbasert IT-backup, og må behandles annerledes.

Dette gjør OT-sikkerhet til et område der det tradisjonelle skillet mellom IT og drift utfordres. IT-personell må forstå industrielle kontrollsystemer og driftskritiske prosesser, mens drift og automasjon må forholde seg til cybersikkerhet som tidligere har vært utenfor deres ansvarsområde. Uten et samarbeid mellom IT og OT blir OT-sikkerhet vanskelig å håndtere i praksis.

NIS2 er EUs lov for nettverks og informasjonssikkerhet, og stiller krav til hvordan virksomheter i kritiske og viktige sektorer forebygger, håndterer og rapporterer cyberhendelser. Dette betyr at cybersikkerhet ikke lenger kun er et teknisk ansvar, men et tydelig ledelsesansvar. I Norge er NIS2 implementert via digitalsikkerhetsloven.

NIS2-direktivet og digitalsikkerhetsloven omfatter OT-sikkerhet med fokus på tilgjengelighet, driftskontinuitet og risikostyring i tillegg til beskyttelse av data. Hendelser som fører til produksjonsstans, redusert drift eller sikkerhetsrisiko er noen eksempler som kan være rapporteringspliktige.

Les også: Hva er NIS2?

Har du spørsmål om OT-sikkerhet i din bedrift? Kontakt oss for en prat, eller se vår løsning for OT-sikkerhet. Her får du oversikt over alle sårbarheter, samtidig som systemet også håndterer automatisk backup og versjonskontroll av OT-miljøet.