---
title: "Anbefalte krav til leverandører av OT-løsninger (eiendomsteknologi)"
canonical: "https://forvarelset.tazk.no/space/TO/222036049/Anbefalte%20krav%20til%20leverand%C3%B8rer%20av%20OT-l%C3%B8sninger%20(eiendomsteknologi)"
format: markdown
---
`Leser du på mobil? Vend den horisontalt for en bedre visning av innholdet i tabellene på denne siden.`

> Macro (toc)

<details>
<summary>Begreper</summary>

**OT-løsninger**

OT står for *operasjonell teknologi* og er digitale løsninger for blant annet:

1. Fysisk og elektronisk sikring
2. Strømforsyning og nødstrøm
3. Varme, ventilasjon og klimaanlegg
4. Brannvarsling og slukkeanlegg
5. Heiser og andre tekniske installasjoner

**Beskyttelsesbehov**

Hvor viktig det er å unngå:

- tilgang for andre enn de som skal ha tilgang til løsningen.
- uønsket endring eller sletting av konfigurasjon eller informasjon i løsningen.
- feil, nedetid eller andre uønskede hendelser som:
  - gjør løsningen utilgjengelig for de som skal ha tilgang til den.
  - fører til forsinkelser eller stans i kundens prosesser/drift fordi det oppstår feil eller nedetid i løsningen eller i løsningens funksjoner.
</details>

<details>
<summary>Veiledning</summary>

Sikring av OT-løsninger krever på enkelte områder en annen tilnærming enn for IT-løsninger. Årsaker til det står det mer om [her](https://tazk.atlassian.net/wiki/spaces/TO/blog/2025/01/26/214466923).

Det er lurt å gjøre en verdi og risikovurdering før du bruker kravbanken. Ellers er det vanskelig å vite nok om beskyttelsesbehovet → hvilket nivå du skal legge deg på.
</details>

## Kravbank

| **Tema** | **Krav** |
| --- | --- |
| Dokumentasjon | Vis løsningens oppbygning, sikkerhet og leverandørkjede. |
| Risikoscenarier | Gi eksempler på vanlige sårbarheter i OT-miljøer, beskriv aktuelle risikoscenarier for hendelser og hvordan de kan påvirke driften. |
| Levetid | Dokumenter komponenters varighet og plan for utskiftning. Garanter for reservedeler og at disse kommer fra fra pålitelige kilder. |
| Sikker arkitektur | Løsningen skal ha funksjonalitet for å:<br>1. Kartlegge og holde oversikt over kritiske systemer og komponenter
2. Segmentere miljøer slik at trafikk inn og ut begrenses.
3. Etablere toveis kommunikasjon der dette er nødvendig.
4. Aktivere beredskapsmodus som reduserer tilkoblinger og aktive enheter ved kritiske hendelser |
| Sikker fjernaksess | Løsningen skal ha:<br>1. Funksjonalitet som identifiser og strukturer alle fjernaksesspunkter.
2. MFA (flerfaktorautentisering) som kan aktiveres der det er mulig, spesielt for eksterne tilkoblinger.
3. Funksjonalitet som reduserer sårbarheter der MFA ikke er mulig:
  1. “Jump hosts” og "break and inspect" for å dirigere eksterne tilkoblinger via “choke points” for økt overvåking.
  2. Mulighet for å kutte kommunikasjon ved behov. |
| Logging | Løsningen skal ha funksjonalitet for datafangst og logging. Fra systemer som HMI og EWS, samt hendelseslogger fra komponenter i OT-løsningen. |
| Overvåking | Løsningen skal ha funksjonalitet for å overvåke og analysere nettverkstrafikk og kommunikasjon.<br>1. Nettverksovervåking med dyp pakkeinspeksjon (DPI) av OT-protokoller for å analysere samspillet mellom systemer.
2. Passiv overvåking som ikke forstyrrer driften:
  1. Gir oversikt over hele systemet (asset inventory).
  2. Identifiserer OT-protokoller, sårbarheter og trusler.
  3. Legger til rette for en bevisst og kontrollert håndtering av sårbarheter for å opprettholde kontinuitet i OT-miljøet. |
| Sikkerhetskopi og gjenoppretting | Løsningen skal ha funksjonalitet for å gjennomføre, vedlikeholde og teste sikkerhetskopier av all kritisk systemkonfigurasjon, programvarelogikk og lisensdata. |


## Kilder/inspirasjon

[https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls/](https://www.sans.org/white-papers/five-ics-cybersecurity-critical-controls/)

[https://www.nist.gov/news-events/news/2023/09/nist-publishes-guide-operational-technology-ot-security](https://www.nist.gov/news-events/news/2023/09/nist-publishes-guide-operational-technology-ot-security)

[https://nsm.no/regelverk-og-hjelp/rad-og-anbefalinger/grunnprinsipper-for-ikt-sikkerhet/ta-i-bruk-grunnprinsippene/](https://nsm.no/regelverk-og-hjelp/rad-og-anbefalinger/grunnprinsipper-for-ikt-sikkerhet/ta-i-bruk-grunnprinsippene/) 

## Se også

 [https://tazk.atlassian.net/wiki/spaces/TO/pages/133726209](https://tazk.atlassian.net/wiki/spaces/TO/pages/133726209)