Hur skiljer sig OT från IT?

Att förstå skillnaden mellan IT- och OT-säkerhet är avgörande för att fatta rätt beslut. Det handlar inte bara om olika tekniker — det är fundamentalt olika prioriteringsordningar.

Ett OT-system som slutar fungera kan stoppa en hel fabrik, stänga av ett kraftverk eller i extremfall äventyra människoliv. Det är därför tillgänglighet alltid prioriteras. Och det är just detta som gör patchningen så problematisk — du kan inte starta om en PLC som styr en kontinuerlig kemisk process "på tisdagskvällen".

Realtidskraven skapar ytterligare komplikationer. Traditionella IT-säkerhetslösningar som brandväggar med djup paketinspektion kan introducera latens i storleksordningen millisekunder. I ett IT-nätverk är det försumbart. I en industriell process som kräver deterministisk kommunikation kan det vara katastrofalt.

Varför OT-säkerhet är kritiskt just nu

Hotbilden har förändrats i grunden

Enligt Dragos, som är den ledande aktören inom OT-hotunderrättelsetjänster, härstammar den överväldigande majoriteten av OT-incidenter från IT-sidan av organisationens nätverk. Det betyder att en angripare som komprometterar en kontorsarbetsstation kan ta sig vidare in i OT-miljön om segmenteringen är bristfällig.

Den geopolitiska spänningen driver statliga aktörer att kartlägga och förbereda angrepp mot kritisk infrastruktur. Grupper som Sandworm (kopplad till rysk militär underrättelsetjänst) har upprepade gånger demonstrerat förmåga att angripa elkraftsystem. Sverige, med sin strategiska position och sitt Nato-medlemskap, är inte undantaget från denna hotbild.

Ransomware-grupper har också fått upp ögonen för industriella miljöer. Betalningsviljan är högre när alternativet är produktionsstopp till en kostnad av miljoner kronor per dygn. Vi har sett detta mönster eskalera sedan 2024.

NIS2 ställer bindande krav

NIS2-direktivet, nu implementerat i svensk lag, ställer explicita krav på organisationer som driver samhällsviktig verksamhet. Det omfattar energi, transport, vatten, hälso- och sjukvård samt digital infrastruktur — alla sektorer med tungt OT-beroende.

Kraven inkluderar:

• Riskhantering — dokumenterade riskbedömningar som täcker OT-specifika hot
• Incidentrapportering — till MSB inom 24 timmar för allvarliga incidenter
• Leverantörsgranskning — även leverantörer av OT-utrustning och fjärrunderhåll
• Ledningsansvar — VD och styrelse bär personligt ansvar för bristande efterlevnad

För svenska organisationer innebär detta att OT-säkerhet inte längre är en teknisk fråga som kan delegeras till driftpersonalen — det är en styrelserumsfråga med juridiska konsekvenser.

Molnsäkerhet och NIS2-efterlevnad

De fem vanligaste OT-sårbarheterna

Baserat på vad vi ser i kundmiljöer och vad CISA (Cybersecurity and Infrastructure Security Agency) rapporterar, är dessa de mest förekommande bristerna:

1. Avsaknad av nätverkssegmentering

Platta nätverk där kontorsdatorer och SCADA-servrar delar samma nätverkssegment. Det är den enskilt farligaste konfigurationen vi stöter på.

2. Standardlösenord och avsaknad av autentisering

PLC-enheter som levererats med fabriksinställda lösenord — eller helt utan autentisering — som aldrig ändrats. Modbus-protokollet saknar dessutom helt inbyggd autentisering.

3. Föråldrade operativsystem

SCADA-servrar som kör Windows XP eller Windows Server 2003 utan möjlighet till säkerhetsuppdateringar. Vi ser detta regelbundet i svensk industri.

4. Okontrollerad fjärråtkomst

Tredjepartsleverantörer med VPN-tunnel direkt in i OT-nätverket, ofta utan multifaktorautentisering eller sessionsloggning.

5. Bristande tillgångsinventering

Organisationen vet inte vilka OT-enheter som finns, vilka firmwareversioner de kör eller hur de kommunicerar. Du kan inte skydda det du inte vet finns.

Så bygger du ett OT-säkerhetsprogram — steg för steg

Steg 1: Tillgångsinventering

Kartlägg alla OT-tillgångar med passiva nätverksskannare (aktiv skanning kan krascha känsliga OT-enheter). Dokumentera tillverkare, modell, firmwareversion, kommunikationsvägar och ansvarig person.

Steg 2: Nätverkssegmentering

Implementera en demilitariserad zon (DMZ) mellan IT- och OT-nätverken enligt Purdue-modellen (ISA/IEC 62443). Ingen direkt kommunikation mellan företagsnätet och styrsystemen — all datatrafik ska gå via hopp-servrar i DMZ:en.

Steg 3: Passiv nätverksövervakning

Använd verktyg som är byggda för industriella protokoll (Claroty, Nozomi Networks, Dragos Platform) för att övervaka trafik utan att påverka OT-processerna. Korrelera med IT-sidans SIEM för att fånga laterala rörelser.

Steg 4: Åtkomsthantering

Inför multifaktorautentisering för all fjärråtkomst. Begränsa leverantörsåtkomst med tidsbegränsade sessioner. Logga allt.

Steg 5: Incidenthanteringsplan

Bygg en plan som täcker OT-specifika scenarier: vad gör ni om en PLC omprogrammeras? Vem kontaktar ni? Hur isolerar ni utan att stoppa produktionen? Öva regelbundet.

Managerade SOC-tjänster för hybrid IT/OT

Purdue-modellen — referensarkitekturen

ISA/IEC 62443-standarden bygger på Purdue Enterprise Reference Architecture, som delar in nätverket i nivåer:

Den kritiska poängen: ingen trafik ska passera direkt mellan nivå 4–5 och nivå 0–3. DMZ:en är den obligatoriska gränsen. Det här låter självklart, men i verkligheten ser vi regelbundet svenska industriföretag där en SCADA-server har direkt IP-adress på företagsnätet.

Opsios perspektiv: Vad vi ser i produktion

Från vår SOC i Karlstad hanterar vi övervakning av hybridmiljöer där IT- och OT-trafik korreleras i realtid. Tre observationer från faktiska kunduppdrag:

Synligheten saknas nästan alltid. De flesta organisationer som kommer till oss har ingen fullständig bild av sina OT-tillgångar. En tillgångsinventering avslöjar typiskt 30–40 procent fler enheter än vad organisationen trodde sig ha.

IT-teamet och OT-teamet pratar inte med varandra. Säkerhetspolicyer skrivs av IT, men OT-driften arbetar efter egna rutiner. Det skapar luckor som angripare utnyttjar.

Molnet komplicerar bilden. Allt fler organisationer skickar OT-data till molnbaserade analysplattformar (Azure IoT Hub, AWS IoT Greengrass). Det öppnar nya angreppsvektorer om inte arkitekturen är genomtänkt.

Molnmigrering med säkerhetsfokus

Vanliga frågor

Vad är skillnaden mellan OT-säkerhet och IT-säkerhet?

IT-säkerhet skyddar data och följer CIA-triaden med konfidentialitet först. OT-säkerhet skyddar fysiska processer och prioriterar tillgänglighet framför allt — ett produktionsstopp kan kosta miljoner per timme eller i värsta fall äventyra människoliv. Protokoll, livscykler och patchningsrutiner skiljer sig fundamentalt.

Vilka svenska lagar reglerar OT-säkerhet?

NIS2-direktivet, implementerat i svensk lag, ställer bindande krav på organisationer som driver samhällsviktig verksamhet. MSB är tillsynsmyndighet och ställer krav på incidentrapportering, riskhantering och leverantörsgranskning. GDPR gäller om OT-system behandlar personuppgifter.

Hur börjar man med OT-säkerhet i praktiken?

Steg ett är alltid en fullständig tillgångsinventering — du kan inte skydda det du inte vet finns. Därefter segmenterar du IT- och OT-nätverken med en DMZ, inför passiv nätverksövervakning och bygger en incidenthanteringsplan som täcker både IT- och OT-scenarier.

Kan man patcha OT-system som man patchar IT-system?

Sällan. Många OT-system kör föråldrade operativsystem och kräver planerade driftstopp för uppdateringar. I kontinuerliga processer — som pappersbruk eller kraftverk — är det ofta omöjligt. Kompenserande kontroller som nätverkssegmentering och whitelisting av applikationer är vanligare.

Vad gör en SOC/NOC för OT-miljöer?

En SOC med OT-kompetens övervakar nätverkstrafik i industriella protokoll (Modbus, OPC UA, DNP3), detekterar avvikelser och korrelerar händelser från både IT- och OT-sidan. Opsios SOC i Karlstad hanterar den typen av korrelering dygnet runt för kunder med hybrid-infrastruktur.