OT-Sikkerhetsrisikoer: Kategorier, Eksempler og Tiltak
60% av industrivirksomheter opplevde minst ett alvorlig OT-sikkerhetsbrudd i 2025 (Claroty State of CPS Security Report, 2025). OT-sikkerhetsrisikoer kan struktureres i fire hovdkategorier: tekniske sarbarheter, menneskelige faktorer, leverandorrisiko og fysiske risikoer. Forstaelse av kategoriene hjelper organisasjoner med a implementere tiltak som faktisk adresserer de reelle risikokildene.
Viktige punkter
- 60% av industrivirksomheter hadde OT-brudd i 2025 (Claroty)
- Tekniske risikoer er oftest nevnt, men menneskelige risikoer og leverandorrisikoer er like vanlige inngangsportaler
- 62% av OT-brudd involverer en tredjepart eller leverandor (Ponemon, 2025)
- Fysiske risikoer (USB, uautorisert tilgang) er undervurderte i digitale risikovurderinger
De fire kategoriene av OT-sikkerhetsrisikoer
En systematisk OT-risikovurdering ma dekke alle fire kategoriene. Organisasjoner som fokuserer utelukkende pa tekniske sarbarheter glemmer at menneskelige feil og leverandortilgang er like vanlige angrepsvektorer. IEC 62443-3-2 anbefaler nettopp en bred risikotilnarming som inkluderer alle disse dimensjonene. (IEC 62443-3-2, 2020)
Trenger dere hjelp med cloud?
Book et gratis 30-minutters møte med en av våre spesialister innen cloud. Vi analyserer behovet ditt og gir konkrete anbefalinger — helt uten forpliktelse.
Tekniske risikoer
Tekniske risikoer er sarbarheter i OT-systemer og -nettverk. De viktigste tekniske risikokategoriene er: upatchede sarbarheter (40% av kritiske OT-sarbarheter med tilgjengelige patches er upatchede, Dragos 2025), svak autentisering (standardpassord, ingen MFA for fjerntilgang), uherdet nettverkseksponering (SCADA-grensesnitt pa internett, unodvendige apen porter), utdaterte OS og firmware (Windows XP, ikke-supported SCADA-versioner), og usikre protokoller (Modbus uten autentisering, DNP3 uten kryptering). (Dragos, 2025)
Primere tiltak: systematisk sarbarhetsstyring med risikoprioritering, herding av SCADA/PLS/HMI per leverandoranbefaling, nettverkssegmentering og passord-policy.
Menneskelige risikoer
Menneskelige risikoer er handlinger av OT-ansatte, IT-ansatte eller ledelse som skaper sarbarheter. De vanligste er: insider-trusler (enten ondsinnet eller uforsiktig, som a koble en privat USB til en OT-stasjon), phishing (OT-operatorer og -ingeniorer som klikker phishing-lenker pa IT-siden som brukes som inngangspunkt for lateral bevegelse), feil konfigurasjon (feil i nettverkskonfigurasjon ved vedlikehold), og manglende sikkerhetsbevissthet. Ca. 35% av OT-sikkerhetsbrudd kan spores til menneskelig feil eller insider-handlinger. (IBM, 2025)
Primere tiltak: OT-spesifikk sikkerhetsopplaring, USB-kontroll og policy, tilgangskontroll basert pa minste privilegium, og bakgrunnssjekk for personell med OT-tilgang.
Leverandørrisikoer
Leverandorrisikoer er sarbarheter skapt av tredjeparts leverandorer, integratorer og vedlikeholdsfirmaer med tilgang til OT-systemer. 62% av OT-sikkerhetsbrudd involverer en tredjepart (Ponemon Institute, 2025). Typiske leverandorrisikoer er: bred nettverkstilgang via VPN uten segmentering, bruk av felles leverandorpassord delt mellom kunder, leverandorer med installert fjernstyringsverktoy (TeamViewer, RDP) som ikke er deaktivert, og kompromitterte leverandorer brukt som inngangspunkt (supply chain-angrep, som SolarWinds).
Primere tiltak: formalisert leverandorstyring med sikkerhetskontrakter, begrenset tilgang basert pa minste privilegium, MFA og just-in-time tilgang for leverandorer, full sesjonslogging.
Fysiske risikoer
Fysiske risikoer er kompromittering via fysisk tilgang til OT-utstyr. Disse undervurderes i en tid med fokus pa digitale trusler. De viktigste fysiske risikokategoriene er: USB-malware (Stuxnet ble spredt via USB-minnepinne), uautorisert tilgang til PLS-skap (adgangskontroll til kontrollrom og automatiskasjonsskap er kritisk), og sabotasje av fysisk maskinvare (kompromittering av nettverksutstyr eller PLS). (ESET Research, 2017)
Primere tiltak: deaktivere USB-porter pa OT-systemer, fysisk tilgangskontroll med logging til kontrollrom og PLS-skap, kabloversikt og sikring av nettverksinfrastruktur i OT-omrader, og eskorteplikt for besokende i OT-omrader.
Generelle risikoreduserende tiltak
Pa tvers av alle fire risikokategoriene gjelder folgende generelle tiltak: (1) Kartlegg alle OT-eiendeler og tilgangspunkter, (2) Implementer nettverkssegmentering som reduserer skadeomfanget av en hendelse, (3) Etabler loggforing fra alle OT-systemer der det er mulig, (4) Gjennomfor regelmassigg OT-sikkerhetsrisikovurdering som inkluderer alle fire kategorier, (5) Test hendelsesresponsplanen arlig inkludert scenarioer fra alle fire risikokategorier. (CISA, 2025)
Skrevet av
Country Manager, Sverige
Johan leder Opsios virksomhet i Sverige og driver AI-innføring, DevOps-transformasjon, sikkerhetsstrategi og skyløsninger for nordiske bedrifter. Med over 12 års erfaring innen skyinfrastruktur har han levert mer enn 200 prosjekter på AWS, Azure og GCP — med spesialisering innen Well-Architected-vurderinger, landingssonedesign og multi-sky-strategi.
Redaksjonelle retningslinjer: Artikkelen er skrevet av skyeksperter og gjennomgått av vårt ingeniørteam. Vi oppdaterer den når teknologien eller regelverket den omhandler endres; datoene på siden viser siste oppdatering. Opsio er redaksjonelt uavhengig.