DSB Sevesokonferansen:

Security – hvordan sikre

kontrollsystemer og unngå

sabotasje

Sjef.Ing. Ragnar G. Stokke, Process Owner

(Fagsjef) E&A, Yara International, 21.09.2016

Hvem er jeg ?

Personal: Ragnar Georg Stokke

· 1951 Oslo, Norway

· Living in Porsgrunn, Norway

Education: · MSc, Process Control (NTNU, 1975)

Worklife: · Man Machine Communication & Training Simulators-

1976-81 OECD Halden Nuclear Reactor Project

1981-99 · Operation, Maintenance, Projects - Hydro Porsgrunn

1999-04 · Head of Electrical & Automation - Yara Porsgrunn

2004-09 · Head of Electrical & Automation - Yara Project Office, Brussels

Current

Assignment: Process Owner Electricity & Automation, Yara International

2009-16

Experiences: ‚A lot‘ in E&A during 40 years in process industry and R&D

Office address: Porsgrunn, Norway

RGS 21.09.2016 Page 2

DSB: Sevesokonferansen 2016:

Tema: Sikring mot uønskede villede handlinger

DSB spurte:

• ‘Kan du dele Dine erfaringer med IT sikkerhet i kjemisk industri, og dele

gode råd til virksomheter om hva de bør være opptatt av på dette området’.

YARA svarte:

• Siden 2006 har Yara fokusert på trusselbilde fra den digitale automatisering

• I 2010 implementerte vi en spesifikk teknisk bestemmelse – TOPS 1-19

• Alle våre produksjon- og distribusjons-anlegg er pålagt å følge denne

• Foredraget peker på hvorfor det er nødvendig å være forberedt på å møte

dette trusselbildet og hvordan Yara valgte å gjøre det

• Løsningen ikke bare er et engangs prosjekt, men en kontinuerlig prosess der

teknologi og humanoria begge er nødvendige bidragsytere

21.09.2016 RGS 3

Basis for all gjødsel: Energi, luft og mineraler

Ammoniakk Ferdige produkter: Urea Nitrates NPK KS Spesialgjødsel Industriprodukter

Naturgass (HxCy)

Nitrogen (N2) fra lufta

Naturlige mineraler: Fosfater (P), Kalisalter (K), m.fl.

Salpetersyre NPK og KS

Oksygen (O2) fra lufta

Yara omsatte 33million tonn; tilsvarende mer enn 4kg gjødsel til hvert menneske på jorda

21.09.2016 RGS 4

Yara’s viktigste rom – før og nå

21.09.2016 RGS 5

21.09.2016 RGS 6

Teknologien

Gode Gamle Dager – ‘As Was’

21.09.2016 RGS 7

Administrasjon

1991:

Internett

Operatører i

kontrollrom

Fastkablet

Krysskobling

Fastkablet

Regulatorer

Logikk

Panel

Instrumenter

Brytere

Felt-

instrumenter,

pådragsorganer

Prosess

Papir

‘Verden’

‘Hackers’

Fysisk adskillelse (Gjerde / Port)

Fabrikk

Den gang: Hva feilet da?

21.09.2016 RGS 8

Nivåbryter (flottør) fastlåst i en posisjon på grunn av

olje forurensing –

sikkerhets funksjonen ville ikke virke ved behov.

Brann gjødsel fabrikk; Motorhuset

smeltet, stator falt ned på gulvet, rotoren

henger i maskinen.

Dagens Bilde – ‘As Is’

21.09.2016 RGS 9

Administrasjon

/ IT avdeling

Operatører i

kontrollrom

Programmert

Krysskobling

Programmert

Regulatorer

Logikk

PC

Intelligente/

Digitale

Felt-instrumenter,

pådragsorganer

Prosess

‘Verden’/

Internett

‘Hackers’

Teknologi /

OT

21.09.2016 RGS 10

Hva kan feile nå? (i tillegg til alt det andre)

Trusselbilde og sårbarheter

21.09.2016 RGS 11

Yara Porsgrunn: Kontrol rom NPK3

Hva kan skje om vi ikke beskytter oss?

21.09.2016 RGS 12

Hvem har ansvaret ?

IKT/ IT ?

Produksjon / ElAut?

Yara: Automatiseringsavdelingen !

Gartner Group: ‘Join Forces around OT’

OT= Operational Technology

‘STUXNET’

Paranoia?

‘There are only two types of companies: Those that have been hacked and those that will be.

And even they are converging into one category; companies that have been hacked and will be

hacked again.’

21.09.2016 RGS 13

NSM Sikkerhetskonferansen ‘Risiko 2016’:

‘Det er stor risiko forbundet med IKT-angrep og annen spionasje I 2016 og årene fremover.’

Mnemonic 1.September 2016: ‘Innloggingsdata for 68 millioner Dropbox-brukere lekket’

US/ FBI (Robert Mueller):

Page 14 Author: Thomas Wegner 2015-06-15

Recent Cases

21.09.2016 RGS 14

2010 STUXNET

1/11/2011 Page 15 Ragnar Georg Stokke

Datainnbrudd og offentliggjøring fra Wada

21.09.2016 RGS 16

Page 17 Author: Thomas Wegner 2015-06-15

Key Technical Risk

Critical

Process

Control

System

Loss of view

blank or frozen screen

Manipulation of view

faked or

irrelevant screen

Loss of control

unresponsive system,

malicious remote control

Shutdown, Hazard

set crazy values

or alarm thresholds,

hide or induce

hazardous conditions

21.09.2016 RGS 17

21.09.2016 RGS Page

18

Produksjon OT vs IT – Hva har prioritet?

Join forces with IT!

Prod. IT / OT: IT/ IKT:

Page 19 Author: Thomas Wegner 2015-06-15

Business Perspective – Where are the borders?

Seconds - Minutes

Quarters - Months - Weeks

Years - Quarters - Months Strategic

Tactical

Operational

Nature of Decisions Time Perspective Enterprise Perspective

Days - Shifts - Hours

mSec - Seconds

21.09.2016 RGS 19

Page 20 Author: Thomas Wegner 2015-06-15

Information Flow Perspective – Where are the borders?

21.09.2016 RGS 20

Swiss Cheese Model – Layered Defense

21.09.2016 Page 21 RGS

21.09.2016 RGS 22

Hva skal vi gjøre?

21.09.2016 RGS 23

Hvor langt skal vi gå ?

Vær edruelig – ikke overdriv – det er krevende – det koster tid & penger

The Fire Wall works

21.09.2016 Page 24 RGS

Also for protection

against malware!

HOPS 1-17

21.09.2016 RGS Page

25

4.1 Role and Resource Assignment

4.2 System Inventory

4.3 System Criticality Assignment

4.4 Global Security Integration

4.5 Incident Prevention

4.6 Incident Detection

4.7 Incident Response

4.8 Vulnerability Management

4.9 Continuous Improvement

4.10 Compliance

4.11 Operational Recommendations

Yara: ‚Production IT Security Standard‘

21.09.2016 RGS Page

26

• Til sentral ledelse; forankring, sponsorer • Upstream Plant Manager Meeting, Ghent, December 2010

• Ethical Hackers Video

• Til de som ‘håndterer’ OT • for å styrke Social Engineering

• Yara Porsgrunn

Hvordan kommunisere dette i egen organisasjon?

‘- Hyr en HACKER!’

21.09.2016 RGS 27

1. Ikke tro at ’dette rammer ikke oss’ – gjør noe!

2. Lag en standard for Produksjons IT (PIT / OT) Sikkerhet

3. ’Selg’ løsningen internt høyt oppe i organisasjonen

4. Identifiser og klassifiser alle PIT systemer som ’alt annet’

5. Topologi: Definer ’Domener’ som skiller PIT fra IT

6. ’Herd’ alle PIT maskiner maksimalt (IE, MediaPlayer, etc.)

7. ’Keep the System Current’ (’Keep the Current System’)

8. Installer Fysisk Adgangs- og Bruker-kontroll til all PIT

9. Innfør strengt regime rundt mobile medier & (USB) porter

10. Legg press på leverandørene – krev sertifisering (WIB)

Hva gjør vi? Noen gode råd

May 2016: Newsletter www.ControlGlobal.com:

‘10 Strategies for Cybersecurity Success’

‘Effective cybersecurity protection is like many human endeavors that are more about journey than endpoint.’

1. Adopt a standard (e.g. IEC 62443) to give participants a common vocabulary

2. Identify all OT (P-IT) assets and make an inventory (e.g. as F/L in SAP PM)

3. Prioritize your assets – which will directly influence your business in case of an event?

4. Do gap analyses checking for vulnerabilities

5. Execute mitigation begins with putting cybersecurity protection in place

6. Survey the complete system involves collecting configuration files

7. Store config files securely onsite and offsite and practice recovery as often as possible

8. Inform all stakeholders and tell them your production processes have cybersecurity threats

9. Verify on a regular basis because threats and their vectors change regularly

10. Educate everyone because people are the first line in defense in isolating OT systems

• Build zones and conduits (ISA99 / IEC 62443)

21.09.2016 RGS 28

Page 29 Author: Thomas Wegner 2015-06-15

Hva gjør vi? Segregering av domener med FW

21.09.2016 RGS 29

Page 30 Author: Thomas Wegner 2015-06-15

There Is No Safety

Without

Cyber-Security !

21.09.2016 RGS 30

Gårsdagens beskyttelse er ikke alltid tilstrekkelig

21.09.2016 RGS 31

21.09.2016 RGS 32

21.09.2016 RGS 34

Page 35 Author: Thomas Wegner 2015-06-15 21.09.2016 RGS 35