Taggat med: FOI

Säkra leverantörskedjor för styrsystem

Totalförsvarets forskningsinstitut

Totalförsvarets forskningsinstitut (FOI) har släppt en ny rapport om säkra leverantörskedjor för styrsystem. Rapporten visar på en ny trend när det gäller leverantörsskedjor som representeras av ett växande antal specialiserade leverantörer. Kedjan från leverantör till driftsatt industriellt informations- och kontrollsystem (ICS) blir då lång och komplex.

Rapporten går igenom olika regulatoriska krav såsom NIS-direktivet, Cyber Security Act och även branschpraxis samt rekommendationer från bl.a. ISO/IEC, MSB, FRA och CPNI.

Även intressanta saker såsom ansvarförhållanden och förtroendenivåer mellan operatörer och leverantörer tas upp i rapporten och hur dessa förhåller sig mellan olika standarder.

Rapporten är på 52 sidor och kan hittas här som PDF:

Säkra leverantörskedjor för styrsystem

Säkra leverantörskedjor går under benämningen Supply Chain Cyber Security på engelska. Författare till rapporten är Erik Zouave och Margarita Jaitner.

Bild på kontrollpanel av Patryk Grądys från Unsplash

Presentationer från IT-försvarsdagen

Nu har Totalförsvarets forskningsinstitut (FOI) publicerat presentationer från den myndighetsinterna konferensen vid namn IT-försvarsdagen publicerats. Konferensen gick av stapeln den 23 oktober 2018 i Försvarsmaktens Högkvarter på Lidingövägen 24.

Agendan såg ut enligt följande:

Presentationer

Följande presentationer har än så länge publicerats:


CRATE – En övningsmiljö för cyberattacker

Totalförsvarets forskningsinstitut (FOI) har sedan 10 år tillbaka förvaltat och utvecklat en övningsmiljö för cyberattacker (cyber range) vid namn CRATE. Miljön används för att bygga upp olika scenarion med hjälp av cirka 800 virtuella servrar och ett simulerat internet.

Huvudkunder för denna miljö är Myndigheten för samhällsskydd och beredskap (MSB) samt Försvarsmakten som båda har bidragit till uppbyggnaden av Crate. Övning i miljön kan också ske utanför anläggningen genom en extern anslutning till spelnätet via VPN. Dessutom går det att koppla in skrivare, telefoner, styrsystem och olika övervakningsstationer (ICS/SCADA etc) samt det mesta som VirtualBox kan hantera.

Fotografi från Crate City. Foto: FOI.

Crate är en viktig komponent för att öka Sveriges förmåga att hantera cyberangrepp. Vi ser anläggningen som en arena för samverkan mellan såväl det privata och offentliga som på ett nationellt och internationellt plan. Crate är unikt och hjälper verkligen företag och myndigheter att öka sin cybersäkerhet.

Konstaterar Åke Holmgren som är MSB:s chef för cybersäkerhet och skydd av samhällsviktig verksamhet

Dock verkar det inte helt lätt att komma igång med CRATE eftersom jag saknar en ”sign up” knapp, manuell kontakt som verkar gälla. Därför tror jag att många privata aktörer istället väljer lösningar från leverantörer såsom Hackthebox.eu eller bygger eget med Amazon EC2, vilket jag själv gör när jag vill sätta upp labbar eller övningar. Har du tips på andra leverantörer av cyber-rangers, lämna gärna en kommentar nedan.

Och förutom vid träning och övning används CRATE även för forskningsprojekt samt för test och försök.

Film från CRATE med en bro avsedd för leksakståg:

CRATE står för Cyber Range And Training Environment.