Standardlandskapet

En enda kommunal anläggning berörs av dussintals standarder samtidigt. Fastighetsautomation, belysning, uppkopplade enheter, styrsystem, nät, informationssäkerhet och dataskydd — var och en med sina egna versioner och revideringar. Att hålla sig ajour manuellt ligger bortom vad en människa hinner, och det avgör hur arbetet ska läggas upp.

Målet är att veta vilka standarder som gäller var, och vad det kostar när de inte följs.

Problemet

Standarder tittas på en i taget. Ur ett verksamhetsperspektiv gäller de samtidigt, på samma anläggning, för samma utrustning.

Följden

Man vet inte vilken standard som gäller, kan inte visa efterlevnad, och riskerar att stå utan svar när en kund eller myndighet frågar.

Lösningen

Placera standarderna på kartan, vid de noder de gäller, och låt bevakningen skötas av något som inte tröttnar.

De tre familjerna en kommun möter

1 · Ledningssystem för informationssäkerhet

Standarden för ledningssystem för informationssäkerhet, ISO/IEC 27001, beskriver hur en organisation systematiskt styr informationssäkerhet: omfattning, riskbedömning, åtgärdsval, uppföljning och ständig förbättring. Den är organisationsinriktad — den säger hur man arbetar, inte hur en switch ska konfigureras.

För en kommunal IT-organisation är den användbar av två skäl: den ger en struktur som tillsyn känner igen, och den tvingar fram en omfattningsbeskrivning. Den senare är ofta det mest värdefulla, eftersom den frågan — vad ingår — sällan har ett tydligt svar innan någon ställer den.

2 · Industriella styrsystem och operativ teknik

IEC 62443 är standardserien för säkerhet i industriella automations- och styrsystem. Den är relevant långt utanför industrin: fastighetsautomation, vattenverk, reningsverk, energianläggningar och passagesystem faller under samma logik.

Två begrepp ur serien är användbara även för den som aldrig läser standarden:

• Zoner och förbindelser. Anläggningen delas i zoner med gemensamt skyddsbehov, och förbindelserna mellan dem beskrivs uttryckligen. Det är en riskbaserad segmentering, och den blir naturlig när verkligheten redan är ritad.

• Säkerhetsnivåer. Fyra nivåer, från den lägsta till den högsta, som anger vilket skydd en zon ska ha. Det gör det möjligt att säga att en zon ska ha nivå två i stället för att säga att den ska vara säker.

3 · Produktkrav genom lagstiftning

Cyberresiliensförordningen skiljer sig från standarderna genom att vara bindande. Den anger vad som ska uppnås — säker konstruktion, sårbarhetshantering och stöd under en angiven period — medan standarderna beskriver hur det görs. Utvecklingskraven i IEC 62443 pekas ofta ut som en väg för komponenttillverkare att visa säker konstruktion i förordningens mening.

För en köpande organisation innebär det att frågan i upphandlingen kan ställas i två steg: vilken standard följer ni, och hur uppfyller ni de bindande kraven?