Risikostyring
Fra tekniske fejl til målrettede angreb
Et vandværk kan have stabile pumper, regelmæssigt vedligehold og velfungerende nødprocedurer. Alligevel kan en kompromitteret fjernadgang til et styringssystem i værste fald skabe problemer for hele forsyningen.
Det illustrerer forskellen på en teknisk fejl og et målrettet angreb. Hvor et pumpesvigt kan skyldes slid eller materialefejl, kan en angriber bevidst forsøge at ramme den funktion, som er vanskeligst at undvære.
Begge scenarier hører hjemme i en risikovurdering. Men de kræver ikke nødvendigvis den samme tilgang.
I september 2026 offentliggjorde EU's cybersikkerhedsagentur ENISA rapporten ENISA Threat Landscape 2026, som analyserer cyberhændelser i EU i 2025. Rapporten fremhæver blandt andet betydningen af digitale afhængigheder og geopolitiske udviklinger for cybertrusselsbilledet.
Det rejser et centralt spørgsmål: Er organisationens risikovurdering indrettet til at opdage de sårbarheder, som en målrettet modstander kan forsøge at udnytte?
Historiske data fortæller ikke hele historien
Risikovurderinger er en grundsten i teknisk sikkerhed. Ved at identificere mulige hændelser og vurdere deres sandsynlighed og konsekvenser kan organisationer prioritere forebyggelse, vedligeholdelse og beredskab.
Metoder som HAZOP og FMEA samt forskellige former for risikomatricer skaber systematik i arbejdet med tekniske fejl, procesafvigelser og driftsforstyrrelser. De kan også indgå i bredere sikkerhedsanalyser.
Men hvis en konkret risikovurdering primært bygger på kendte fejlscenarier og historiske hændelser, kan den få blinde vinkler.
Et system, som aldrig tidligere har oplevet alvorlige nedbrud, kan eksempelvis fremstå som en begrænset risiko. Det fortæller imidlertid ikke nødvendigvis noget om, hvor attraktivt systemet er for en angriber.
En målrettet modstander søger ikke nødvendigvis det sted, hvor fejl historisk har været hyppigst, men kan forsøge at identificere det sted, hvor et angreb vil have størst effekt.
Sandsynlighed er fortsat relevant, men målrettede angreb kan være vanskelige at vurdere ud fra historiske data alene. Derfor bør risikovurderingen også inddrage relevante trusselsaktørers intentioner, kapabiliteter og muligheder for at ramme bestemte systemer.
Det mest kritiske punkt er ikke altid det mest fejlbehæftede
Forestil dig en forsyningsvirksomhed med flere pumpestationer, som overvåges og styres gennem et centralt SCADA-system.
I en driftsorienteret risikoanalyse vil man blandt andet undersøge risikoen for pumpesvigt, strømafbrydelser, kommunikationsfejl og sensorfejl.
En trusselsbaseret analyse vil derudover undersøge, hvordan uvedkommende kan få adgang til styringssystemet, hvilke funktioner der kan påvirkes, og hvilke konsekvenser et kompromitteret system kan få.
Analysen kan eksempelvis vise, at en ekstern serviceleverandør har fjernadgang til flere anlæg, eller at centrale funktioner er afhængige af det samme digitale system.
Det gør ikke i sig selv løsningen usikker. Men det peger på afhængigheder, som skal vurderes i sammenhæng med mulige trusler og eksisterende sikkerhedsforanstaltninger.
Målrettede angreb har heller ikke nødvendigvis til formål at ødelægge et anlæg. En angriber kan forsøge at skabe driftsforstyrrelser, økonomiske tab eller usikkerhed om organisationens evne til at levere en kritisk funktion.
Ved hybride trusler kan det samtidig være vanskeligt at afgøre, om en forstyrrelse skyldes en teknisk fejl eller en bevidst handling. Selv en kortvarig afbrydelse kan få betydelige følgevirkninger, hvis den rammer en kritisk proces på et særligt sårbart tidspunkt.
Derfor skal risikovurderingen ikke kun omfatte enkelte komponenter, men også den samlede funktion, de understøtter, og organisationens afhængigheder af systemer, mennesker og leverandører.
Risikostyring skal også omfatte modstanderens perspektiv
Der findes allerede etablerede metoder til at håndtere tilsigtede trusler.
Det amerikanske National Institute of Standards and Technology (NIST) beskriver i vejledningen SP 800-30 om risikovurdering, hvordan organisationer kan inddrage trusselsaktørers intentioner, kapabiliteter og valg af mål i deres risikoanalyser.
I praksis kan det ske gennem trusselsmodellering, scenarieanalyser og vurderinger af mulige angrebsveje.
Her suppleres spørgsmålet Hvad kan gå galt? med Hvordan kan nogen bevidst få det til at gå galt?
Det kan eksempelvis afdække utilstrækkeligt kontrolleret fjernadgang, manglende opdeling af netværk eller kritiske leverandørafhængigheder.
Samtidig skal eksisterende sikkerhedsforanstaltninger og barrierer indgå i vurderingen. En teknisk sårbarhed fører ikke automatisk til et vellykket angreb, og ikke alle tænkelige angrebsscenarier er lige relevante.
Formålet er at skabe et bedre grundlag for at prioritere sikkerhedsindsatsen.
Fem spørgsmål, der kan styrke din risikovurdering
- Hvilke funktioner er mest kritiske? Kortlæg de processer og systemer, hvor en afbrydelse vil have størst konsekvenser for drift, sikkerhed eller forsyning.
- Hvem eller hvad er vi afhængige af? Identificér kritiske leverandører, digitale styringssystemer, adgangsforhold og enkeltpunkter, hvor én fejl eller ét kompromitteret system kan påvirke flere funktioner.
- Hvilke målrettede trusler er relevante? Vurdér mulige trusselsaktører, deres motivation og kapabiliteter samt realistiske veje til at påvirke organisationens kritiske funktioner.
- Hvor hurtigt opdager vi et angreb? Undersøg mulighederne for at registrere unormal aktivitet og skelne mellem almindelige driftsfejl og tegn på bevidste handlinger.
- Kan vi opretholde eller genoprette driften? Afprøv nødprocedurer, alternative driftsformer og organisationens evne til at håndtere længerevarende afbrydelser.
Nye krav skærper behovet for helhedsorienteret sikkerhed
Det øgede fokus på modstandsdygtighed afspejler sig også i lovgivningen.
Med den danske NIS2-lov, der trådte i kraft den 1. juli 2025, er der indført krav til styring af cybersikkerhedsrisici for de organisationer, der er omfattet af loven.
Samtidig stiller CER-loven om kritiske enheders modstandsdygtighed, der også trådte i kraft den 1. juli 2025, krav til blandt andet risikovurdering og modstandsdygtighed hos udpegede kritiske enheder.
Lovene har forskellige anvendelsesområder, og visse sektorer er reguleret særskilt. Men udviklingen understreger betydningen af systematisk forebyggelse, håndtering af hændelser og genopretning.
Det gælder ikke mindst i industrien og forsyningssektoren, hvor digitale systemer er tæt forbundet med fysiske processer.
NIST fremhæver i sin vejledning om sikkerhed i operationel teknologi, SP 800-82, at beskyttelsen af industrielle styringssystemer skal tage højde for særlige krav til driftssikkerhed, pålidelighed og fysisk sikkerhed.
Det handler derfor om at vurdere sikkerheden på tværs af digitale systemer, fysisk adgang, leverandører og beredskabsprocedurer – og omsætte risikovurderingen til konkrete beslutninger.
Det kan eksempelvis være at begrænse fjernadgang, etablere alternative driftsmuligheder eller afprøve, hvor hurtigt en kritisk funktion kan genoprettes efter et angreb.
Driftsorienterede risikoanalyser er fortsat nødvendige. Men de bør suppleres med et trusselsbaseret perspektiv, så organisationen både er forberedt på det, der kan gå galt af sig selv, og det, nogen bevidst kan forsøge at fremkalde.
Læs mere:
Kontakt
Få hjælp nu
Find relevante, kvalitetssikrede kurser og efteruddannelse.