Fokusguide för säkra OT-miljöer
Operational Technology och säker drift i en uppkopplad värld.
För beslutsfattare, IT- och säkerhetsansvariga samt dem som ansvarar för produktion, fastighet eller samhällsviktiga processer.
1. Inledning
När ett affärssystem stannar kan arbetet bli svårt. När ett styrsystem stannar kan en fysisk process stanna med det. Pumpar, ventilation, produktionslinjer och eldistribution styrs i allt högre grad av uppkopplad teknik. Den gör verksamheten effektivare, men skapar också beroenden som måste skyddas.
Den här guiden förklarar vad OT är, varför säkerhetsarbetet skiljer sig från vanlig IT och vilka steg som gör störst skillnad. Vår utgångspunkt är enkel: förstå vad som styr verksamheten, begränsa vem och vad som når det, upptäck avvikelser och öva på att hålla driften säker när något ändå händer.
2. Vad är OT?
OT står för Operational Technology: hårdvara och mjukvara som övervakar eller påverkar fysiska processer. Det kan vara styrsystem i en fabrik, pumpar i ett vattenverk, ventilation i en fastighet eller utrustning i ett elnät. En sensor mäter vad som händer, en styrning fattar eller vidarebefordrar beslut och en fysisk komponent utför dem.
Industriella styrsystem, ICS, är en viktig del av OT. Här ingår till exempel SCADA för övervakning och PLC:er som styr maskiner och processer. Begreppen överlappar, men OT är bredare än industrin: även byggnadsautomation och andra tekniska driftmiljöer kan omfattas. En uppkopplad kamera eller skrivare är däremot inte automatiskt OT bara för att den finns på samma anläggning.
Varför skiljer sig OT från IT
I IT väger skydd av information ofta tungt. I OT måste man dessutom skydda tillgänglighet, tillförlitlighet och människors säkerhet. En omstart, skanning eller uppdatering som fungerar på ett kontorsnät kan i OT-nät störa en känslig process. Utrustning lever ofta länge, kan vara svår att patcha och behöver ibland vara i drift dygnet runt. Därför måste säkerhetsåtgärder planeras tillsammans med dem som kan processen och anläggningen.
3. Från isolerade anläggningar till uppkopplad drift
OT-utrustning är framför allt byggd för att styra och övervaka fysiska processer med hög tillförlitlighet. Den ska hålla produktionen igång, reglera flöden och se till att maskiner fungerar som avsett. Många enheter är anpassade för särskilda uppgifter och krävande miljöer. Det kan vara små, inbyggda komponenter som arbetar självständigt under många år, utan koppling till kontorsnätet eller internet.
Tillverkarna har traditionellt haft sin främsta expertis inom utrustningen och processen som den styr. Fokus har legat på funktion, livslängd och driftsäkerhet. Skydd mot cyberangrepp har inte alltid varit en del av konstruktionen, särskilt när utrustningen utvecklades för en avskild miljö.
Det innebär att många OT-enheter inte kan hanteras som vanliga datorer. Det går ofta inte att installera säkerhetsprogram, och möjligheterna att uppdatera utrustningen kan vara begränsade. I äldre enheter kan det även saknas stöd för att ändra inbyggda lösenord. Även när en uppdatering är möjlig kan den kräva ett planerat driftstopp och noggranna tester för att inte påverka processen.
Nyare OT-utrustning utvecklas med större hänsyn till cybersäkerhet, men äldre enheter kommer att finnas kvar under lång tid. Livslängden är ofta betydligt längre än för en vanlig kontorsdator. Många verksamheter behöver därför skydda en blandning av äldre och nyare teknik med olika förutsättningar.
När denna utrustning kopplas samman med IT-system, fjärrservice och molntjänster förändras också riskerna. En enhet som har fungerat tillförlitligt i många år kan plötsligt bli åtkomlig på sätt som den aldrig konstruerades för.
Därför behöver en stor del av skyddet byggas runt OT-utrustningen. Det handlar om att begränsa åtkomsten, styra kommunikationen och upptäcka avvikelser utan att äventyra driften. Även miljöer utan direkt internetanslutning behöver skyddas, eftersom exempelvis servicedatorer och USB-minnen kan föra in skadlig kod. Stuxnet blev ett tydligt exempel på vilka konsekvenser det kan få.
Stuxnet visade hur digitala angrepp kan få fysiska konsekvenser
Stuxnet upptäcktes 2010 och blev en milstolpe i cybersäkerhetens historia. Det var det första offentligt rapporterade skadeprogrammet som specifikt riktades mot industriella styrsystem. Angreppet förknippas framför allt med urananrikningsanläggningen i Natanz i Iran, där centrifuger användes för att anrika uran.
Stuxnet var en datamask, ett skadeprogram som kunde sprida sig mellan datorer, bland annat via USB-minnen. Det sökte efter en särskild kombination av styrprogram och industriell utrustning. När rätt miljö hittades kunde det ändra instruktionerna i de programmerbara styrenheterna, PLC, som styrde processen.
Genom att manipulera styrningen kunde Stuxnet förändra centrifugernas rotationshastighet och utsätta dem för påfrestningar som kunde skada utrustningen. Samtidigt dolde skadeprogrammet förändringarna och manipulerade den information som operatörerna såg. Processen kunde alltså påverkas utan att övervakningen gav en rättvisande bild av vad som hände.
Det som gjorde Stuxnet så uppmärksammat var kopplingen mellan skadlig kod och fysisk påverkan. Ett cyberangrepp kunde användas för att sabotera industriell utrustning, även i en miljö utan direkt internetanslutning.
Stuxnet var ett avancerat och noggrant riktat angrepp. För andra verksamheter är den praktiska lärdomen att även avgränsade OT-miljöer behöver skyddas. Man behöver kontrollera vad som ansluts, vem som får ändra styrningen och hur obehöriga förändringar upptäcks innan de får konsekvenser för processen.
Källa: Fortinet, The Evolution of OT Cyberattacks from 2010 to Present samt MITRE ATT&CK, Stuxnet – Software S0603
4. Några andra exempel på kända OT-angrepp
Ukraina 2015 när eldistributionen slogs ut
Den 23 december 2015 drabbades ukrainska elbolag av strömavbrott efter ett samordnat cyberangrepp. Angriparna hade tagit sig in i företagens miljöer och kunde fjärrmanövrera brytare i elnätet. Omkring 225 000 kunder blev utan el, och driftpersonalen behövde använda manuella arbetssätt för att återställa försörjningen.
Händelsen visar hur ett digitalt intrång kan orsaka ett fysiskt avbrott och varför beredskap för manuell drift, kommunikation och säker återstart behöver finnas innan något händer.
Källa: CISA/ICS-CERT, Cyber-Attack Against Ukrainian Critical Infrastructure.
Mellanöstern 2017 när säkerhetssystemet angreps med Trition
År 2017 använde angripare skadeprogrammet TRITON för att manipulera säkerhetsstyrsystem vid en petrokemisk anläggning i Mellanöstern. Dessa system ska ingripa och stoppa processen när farliga förhållanden uppstår. Under angreppet gick delar av utrustningen till ett säkert felläge och anläggningen stoppades, vilket ledde till att angreppet upptäcktes.
Händelsen visar att även de system som ska förhindra olyckor kan bli måltavlor. Att skydda OT handlar därför också om att skydda funktionerna som värnar människors säkerhet, miljön och den fysiska utrustningen.
Källor: Mandiant, Attackers Deploy New ICS Attack Framework “TRITON” and Cause Operational Disruption to Critical Infrastructure, samt USA finansdepartement, Treasury Sanctions Russian Government Research Institution Connected to the Triton Malware.
Ukraina 2022 när befintliga styrverktyg användes för angrepp
I oktober 2022 drabbades en ukrainsk energiverksamhet av ett cyberangrepp som orsakade ett oplanerat strömavbrott. Enligt Mandiants incidentutredning hade angriparna tagit sig in i OT-miljön och använde befintliga funktioner i SCADA-systemet för att sannolikt öppna brytare i elstationer. Två dagar senare användes även ett skadeprogram för att förstöra data i IT-miljön.
Händelsen visar att verksamhetens egna styrverktyg kan användas för ett angrepp. Säkerhetsarbetet behöver därför upptäcka obehöriga kommandon och förändringar, även när de utförs med legitima program.
Källa: Mandiant, Sandworm Disrupts Power in Ukraine Using a Novel Attack Against Operational Technology.
USA 2023 när standardlösenord gav åtkomst till styrsystem
Under 2023 angreps internetexponerade styrsystem från Unitronics i amerikanska vatten- och avloppsverksamheter. Enligt CISA utnyttjade angriparna bland annat standardlösenord. En berörd vattenverksamhet kopplade bort det påverkade systemet och gick över till manuell drift. CISA uppgav att det inte fanns någon känd risk för dricksvattnet i det fallet.
Händelsen visar hur grundläggande säkerhetsbrister kan ge angripare åtkomst till OT. Begränsad exponering, säkra inloggningsuppgifter och en plan för manuell reservdrift kan göra stor skillnad.
Källor: CISA, Exploitation of Unitronics PLCs Used in Water and Wastewater Systems, samt IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors.
Danmark 2024 när ändrat vattentryck orsakade ledningsbrott
I december 2024 angreps Tureby-Alkestrups vattenverk söder om Köpenhamn. Angriparna manipulerade pumpdriften och vattentrycket, vilket orsakade ledningsbrott och gjorde att kunder blev utan vatten i flera timmar. Enligt vattenverkets ordförande bidrog en otillräckligt skyddad lösning för fjärråtkomst till händelsen. Verksamheten hade beredskap för bland annat föroreningar och ledningsbrott, men saknade en plan för cyberangrepp.
Händelsen visar att även mindre verksamheter kan drabbas av angrepp med fysiska konsekvenser. Säker fjärråtkomst och beredskap för cyberincidenter behöver vara en del av arbetet med att trygga driften.
Källor: Miljøstyrelsen, Cybertruslen mod vandsektoren, samt Danske Vandværker, Vandposten nr 5, november 2025, sidan 32.
5. Varför behöver OT säkerhet nu
Tre förändringar driver frågan.
- Fler system kopplas samman
OT är idag en central del av verksamheten inom framför allt tillverkande industrier och andra verksamheter med styr- och reglerteknik. Systemen styr produktionen, säkerställer driftsäkerheten och samlar in data som underlag för beslut. För att använda informationen och effektivisera verksamheten kopplas allt fler OT-system samman med olika IT-system. - Fjärråtkomst och datadelning
Möjligheten att fjärrstyra utrustning och dela driftdata med externa parter skapar stora fördelar, exempelvis vid övervakning, underhåll och service. Samtidigt behöver varje anslutning kontrolleras så att rätt person får tillgång till rätt system och bara under den tid som behövs. - Beroende av uppkopplad tekning
Allt fler delar av verksamheten blir beroende av digital styrning och kommunikation. Maskiner, ventiler och reglerutrustning som tidigare styrdes lokalt är idag ofta digitalt styrda och uppkopplade. Det skapar nya möjligheter till fjärrstyrning, men också nya vägar för manipulation och angrepp.
Många äldre OT-system konstruerades framför allt för tillförlitlig och säker drift i en avgränsad miljö. Skydd mot dagens cyberhot var inte en självklar del av konstruktionen. När systemen kopplas upp behöver därför cybersäkerheten utvecklas utan att äventyra driften.
IT bidrar med kunskap om digitala miljöer och cybersäkerhet. Driftorganisationen kan processerna och konsekvenserna av en förändring. För att skydda OT behöver dessa kunskaper mötas, med tydliga roller och gemensamma beslut.
Fortinets globala OT-undersökning 2026* ger en bild av mognaden hos större organisationer. 14 procent av de tillfrågade uppgav full insyn i sina OT-system, upp från 5 procent året innan. Med andra ord uppgav 86 procent att de inte hade full insyn.
* Källa: Fortinet, 2026 State of Operational Technology and Cybersecurity Report (Undersökningen gäller större organisationer globalt och ska inte läsas som statistik över svenska OT-miljöer.”)
6. IoT och fysisk skugg-IT
IoT, Internet of Things, är uppkopplade saker som sensorer, kameror, skrivare, passersystem och fastighetsutrustning. Vissa kan ingå i en OT-process, men IoT och OT är inte samma begrepp. Det gemensamma säkerhetsproblemet är att en liten enhet kan få en nätverksanslutning, kommunicera utåt och bli svår att upptäcka i en miljö som ingen har kartlagt.
En verksamhetsdel kan köpa en kamera, kaffemaskin, skärm eller sensor för ett legitimt behov och ansluta den till kontorsnätet utan att IT eller säkerhet känner till den. Detta skapar fysisk skugg-IT, dvs fysiska enheter med nätverksåtkomst men utan tydlig ägare, godkännande, uppdateringsplan eller avgränsning. Om en sådan enhet får för bred åtkomst kan den bli en väg för vidare rörelse eller för att föra ut data.
Akvariet på kasinot
I ett känt fall från 2017 var ett uppkopplat akvarium (IoT) ingångspunkten till ett nordamerikanskt kasinos nätverk. Akvariet hade uppkopplad teknik för att övervaka temperatur och salthalt samt styra matningen. Angriparen tog kontroll över enheten och omkring 10 GB data fördes ut via akvariet till en enhet i Finland. Kasinot hade gett akvariet en separat VPN-anslutning, men den hindrade inte angreppet. Fallet visar hur en liten, oväntad enhet kan bli en väg in och varför dess trafik måste begränsas och övervakas.
Källa: Darktrace, Global Threat Report 2017 – Selected Case Studies
Samma grundarbete behövs för IoT som för annan uppkopplad teknik: godkänn inköp och anslutning, ge varje enhet en ägare, inventera den, byt standarduppgifter, begränsa dess nätåtkomst och utgående trafik, följ upp uppdateringar och upptäck avvikande beteenden. En IoT-enhet som bara behöver prata med en viss tjänst ska inte kunna nå hela kontorsnätet.
7. Så bygger man en säkrare OT-miljö
Börja med processen och kartlägg tillgångarna
Identifiera vilka processer som är kritiska, vad som händer om de avbryts och vilka personer som kan fatta driftbeslut. Kartlägg sedan utrustning, versioner, ägare, beroenden och kommunikationsvägar: vilka system pratar med varandra, vilka förbindelser går mot IT eller internet och hur tar leverantörer sig in? Passiv nätverksövervakning kan ofta ge en första bild utan att störa driften.
Skapa tydliga gränser och styr kommunikationen
Dela in miljön i zoner efter funktion och risk. Begränsa trafiken mellan IT och OT och mellan olika delar av OT till det som faktiskt behövs. En kontrollerad mellanzon, ofta kallad DMZ, kan användas för datautbyte och administration. Segmentering minskar möjligheten att röra sig vidare om en enhet komprometteras, men förutsätter att man först förstår de legitima trafikflödena. Att sätta upp en brandvägg utan genomtänkta regler skapar inte nödvändigtvis en säker arkitektur.
Upptäck avvikelser utan att störa processen
Övervaka trafik (vad kommunicerar med vad), inspektera innehållet i trafiken (vad sägs i kommunikationen) och granska avvikande händelser på ett sätt som passar OT-protokoll och anläggningens driftskrav.
Med andra ord, leta efter nya enheter, ändrade kommunikationsmönster, oväntade styrkommandon och obehöriga försök till åtkomst. Koppla larmen till både säkerhetsteam och driftpersonal. Här blir kopplingen och samarbetet mellan IT och OT tydliga. De som känner processen (verksamheten) kan avgöra om en avvikelse (upptäckt av ett IT-system) är ett fel, planerat underhåll eller en möjlig attack.
Planera ändringar och incidenter tillsammans
Uppdateringar, sårbarhetsskanning och isolering behöver planeras i underhållsfönster eller testmiljö när driften kräver det. Där patchning inte är möjlig får andra kontroller bära mer av skyddet, till exempel begränsad åtkomst, segmentering och övervakning. Öva på incidenthanteringen med tydliga roller för vem som får stoppa en process och vem som kontaktar leverantören, samt rutiner för manuella arbetssätt och säker återstart. En automatisk blockering som är rimlig i IT kan vara olämplig i OT om den avbryter en kritisk funktion.
Säkerställ också att det finns skyddade säkerhetskopior av styrprogram, konfigurationer och den dokumentation som behövs för att återställa miljön. I OT räcker det inte alltid att starta om en enhet eller installera om ett system. Rätt inställningar och styrlogik måste finnas kvar för att processen ska fungera säkert.
Testa därför återställningen under kontrollerade former tillsammans med driftpersonal och berörda leverantörer. Då vet ni både vad som går att återställa och hur lång tid det tar innan verksamheten kan vara igång igen.
8. Fem frågor att ta med till nästa möte
- Vet vi vilka OT- och IoT-tillgångar som finns, vem som äger dem och hur de är anslutna?
- Kan ett intrång i kontorsnätet nå en kritisk driftprocess, och var går gränsen?
- Vem ser ett avvikande styrkommando, och vem kan bedöma den fysiska konsekvensen?
- Vilka system kan inte uppdateras utan driftstopp, och vilka kompenserande skydd har de?
- Har IT, säkerhet och drift övat ett scenario där processen måste fortsätta säkert under en incident?
Ett första steg är att välja en kritisk process och rita upp dess beroenden. Då blir det möjligt att prioritera skydd efter verklig konsekvens i stället för efter en lång lista med produkter.
9. Nästa steg med Cuebid
Att skapa en säker OT-miljö börjar med att förstå vad som behöver fortsätta fungera. Vilka processer är kritiska, vilka system är de beroende av och vem ansvarar för att skydda dem?
När verksamhet, drift, IT och säkerhet arbetar tillsammans blir det lättare att prioritera rätt åtgärder. Med en gemensam bild av miljön kan ni begränsa åtkomsten, upptäcka avvikelser och förbereda er för att hantera en incident med hänsyn till både cybersäkerhet och säker drift.
Cuebid hjälper er att kartlägga nuläget, identifiera risker och ta fram en plan utifrån verksamhetens behov och förutsättningar.
Cybersäkerhet från grunden
Cuebids uppdrag är att stärka våra kunders cybersäkerhet genom expertis inom kommunikation, infrastruktur och datacenter.
Våra experter erbjuder rådgivning, design, validering, analys, utbildning samt support- och beredskapstjänster. Genom att kombinera detta med noggrant utvalda partners och vårt eget Operations Center erbjuder vi både standardiserade funktionstjänster och skräddarsydda förvaltnings- och driftstjänster.
Vi är drivna, nyfikna och utmanande, med integritet, en ödmjuk ton och ett tydligt mål att stärka er inom de grundläggande cybersäkerhetsförmågorna Skydda, Upptäcka och Hantera.
Vi ger er en säker grund för en tryggare morgondag.
10. Ordlista och förkortningar
Autentisering
Kontroll av att en användare eller enhet är den som den utger sig för att vara.
DMZ – Demilitarized Zone
En avgränsad mellanzon i nätverket som används för kontrollerat datautbyte mellan miljöer, exempelvis IT och OT.
ICS – Industrial Control Systems
Samlingsbegrepp för industriella styrsystem som övervakar och styr fysiska processer. PLC och SCADA är exempel på delar som kan ingå.
IoT – Internet of Things
Uppkopplade fysiska enheter som kan samla in, skicka eller ta emot data, exempelvis sensorer, kameror och smart fastighetsutrustning.
IT – Information Technology
Informationsteknik som används för att hantera, lagra, bearbeta och kommunicera information.
Komprometterad
Ett system, konto eller en enhet vars säkerhet har brutits, exempelvis genom att en angripare har fått obehörig åtkomst.
MFA – Multi-Factor Authentication
Multifaktorautentisering. Identiteten verifieras med minst två olika typer av faktorer, exempelvis ett lösenord och en fysisk säkerhetsnyckel.
OT – Operational Technology
Hårdvara och mjukvara som övervakar eller påverkar fysiska processer, exempelvis produktion, vattenrening och ventilation.
OT-protokoll
Regler för hur utrustning i en OT-miljö kommunicerar, exempelvis för att överföra mätvärden eller styrkommandon.
Passiv nätverksövervakning
Övervakning som analyserar befintlig nätverkstrafik utan att aktivt skicka frågor eller skanningar till de övervakade enheterna.
Passkeys
Lösenordsfria inloggningsnycklar som bygger på kryptografi. Användaren godkänner vanligtvis inloggningen med exempelvis fingeravtryck, ansiktsigenkänning eller enhetens PIN-kod.
PLC – Programmable Logic Controller
En programmerbar industriell styrenhet som kontrollerar maskiner och processer, exempelvis genom att starta pumpar eller öppna ventiler.
SCADA – Supervisory Control and Data Acquisition
System för övervakning, datainsamling och övergripande styrning av processer och anläggningar.
Segmentering
Uppdelning av nätverket i avgränsade delar med kontrollerad kommunikation mellan dem. Begränsar vilka system som kan nå varandra och minskar möjligheten för ett angrepp att spridas.
Skugg-IT
Teknik som används i verksamheten utan IT- eller säkerhetsfunktionens kännedom eller kontroll. Fysisk skugg-IT kan exempelvis vara en kamera, en uppkopplad kaffebryggare eller annan uppkopplad enhet som anslutits utan godkännande.
Styrsystem
System som kontrollerar hur en maskin, anläggning eller fysisk process fungerar.
VPN – Virtual Private Network
En teknik som skapar en skyddad, vanligtvis krypterad anslutning över ett annat nätverk. Används bland annat för fjärråtkomst och kommunikation mellan olika platser.
Fyll i formuläret så kontaktar vi dig så fort vi kan!
Vanligtvis inom 8 timmar (kontorstid).
