OT Security Specialist

En OT security specialist sikrer den teknologi, der styrer fysiske processer. OT står for operationel teknologi. Det er turbiner, pumper, ventiler, robotter, køleanlæg og pakkelinjer.

Forskellen til almindelig it-sikkerhed er vigtig. I it beskytter man data. I OT beskytter man en proces, der ikke må stoppe. En server kan genstartes. En smelteovn eller et rensningsanlæg kan ikke.

Arbejdet begynder næsten altid med at finde ud af, hvad der overhovedet står derude. Mange anlæg har udstyr, der er ældre end det netværk, det hænger på. Dokumentationen ligger tit i hovedet på en automatiktekniker tæt på pension.

Typiske opgaver

• Kortlægge alle enheder på OT-netværket: PLC'er, HMI'er, frekvensomformere, målere og gateways.
• Opdele netværket i zoner og conduits efter Purdue-modellen, så kontornetværket adskilles fra produktionen.
• Sætte passiv overvågning op, der lytter på trafikken uden at forstyrre styringen.
• Lave risikovurderinger sammen med driftsfolk og automationsingeniører, ofte efter standarden IEC 62443.
• Styre leverandørers fjernadgang, når en maskinbygger skal fejlsøge udefra.
• Planlægge patching og opdateringer i de få timers planlagt stilstand, anlægget har om året.
• Skrive og øve beredskabsplaner: hvad gør vagten klokken tre om natten, hvis SCADA'en er væk?
• Levere dokumentation til NIS2-tilsyn, revisorer og store kunders leverandørkrav.

En almindelig arbejdsdag

Dagen deles typisk mellem skrivebord og fabriksgulv. Formiddagen kan gå med at gennemgå alarmer fra overvågningen. De fleste er harmløse: en tekniker har koblet en bærbar på for at læse en PLC.

Midt på dagen er der ofte møde med driften om en ombygning. Her skal du forklare, hvorfor et nyt anlæg ikke bare må hænge direkte på internettet. Det kræver, at du kan tale med både en elektriker og en it-chef uden at tabe nogen af dem.

Eftermiddagen kan være besøg på et anlæg med sikkerhedssko og hjelm. Du tjekker fysisk, om switche står i aflåste tavler, og om der sidder ukendte USB-modemmer på skabene.

Meget af jobbet er forhandling. Driften vil have oppetid. Sikkerhed opleves som noget, der bremser. En dygtig OT security specialist finder løsninger, produktionen kan leve med.

Hvem ansætter?

Rollen findes hos energiselskaber, fjernvarmeværker, vandforsyninger, spildevandsselskaber og elnetselskaber. Også i medicinalproduktion, fødevareindustri, cementindustri og på havne. Dertil offshore, vindmølleparker, jernbane og maritime rederier. Mange arbejder som konsulenter og rådgivere for flere anlæg ad gangen.

Hvilken lovgivning dækker denne rolle?

Efterspørgslen er i høj grad drevet af EU's NIS2-direktiv. Direktivet er indført i dansk ret med lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau, i daglig tale NIS2-loven. Den stiller krav om risikostyring, hændelsesrapportering og ledelsesansvar i sektorer som energi, vand, transport, affald og produktion. Center for Cybersikkerhed er national myndighed på cybersikkerhed, mens Energistyrelsen fører tilsyn med energisektoren. Dertil kommer EU's CER-direktiv om kritiske enheders modstandsdygtighed og EU's Cyber Resilience Act, der stiller sikkerhedskrav til selve produkterne. Standarden IEC 62443 er ikke lov, men bruges i praksis som målestok for, om kravene er opfyldt.

Der findes ingen enkelt uddannelse, der hedder OT security specialist. Næsten alle kommer ind fra en af to sider: fra driften eller fra it-sikkerheden.

Vejen fra driften

Den mest almindelige vej i Danmark starter med teknisk forståelse for anlæg.

• Automationsteknolog på erhvervsakademi tager 2 år. Adgang med relevant erhvervsuddannelse, fx automatiktekniker eller elektriker, eller med gymnasial eksamen og matematik C.
• Maskinmester er en professionsbachelor og tager typisk 4-4,5 år. Mange maskinmestre ender med ansvar for både drift og styresystemer.
• Diplomingeniør i elektroteknologi, automation eller stærkstrøm tager 3,5 år. Adgangskravene er som regel matematik A samt fysik B eller kemi B.

Har du allerede svendebrev som automatiktekniker eller elektriker, kan du bygge på med kurser og certificeringer i stedet for en ny uddannelse. Det er en helt reel vej.

Vejen fra it-sikkerheden

Datamatiker tager 2,5 år. Professionsbachelor i softwareudvikling eller it-sikkerhed tager 3-3,5 år. Der findes også kandidatuddannelser i cybersikkerhed på blandt andet DTU, Aalborg Universitet og Syddansk Universitet.

Kommer du denne vej, mangler du procesforståelsen. Du skal lære, hvad en PLC gør, hvorfor en ventil ikke må lukke for hurtigt, og hvorfor man ikke scanner et produktionsnetværk aggressivt. En aggressiv portscanning kan i værste fald få gammelt udstyr til at gå ned.

Certificeringer, der faktisk tæller

• GICSP fra GIAC er den mest anerkendte OT-specifikke certificering.
• SANS-kurserne ICS410 og ICS515 er dyre, men vægter tungt i ansættelser.
• Certificeringer i IEC 62443 udbydes af blandt andre ISA, TÜV og Exida.
• CISSP eller CISM bruges ofte af dem, der kommer fra it-siden.

Hvor lang tid tager det?

Regn med 2-5 års erfaring med enten anlæg eller it-sikkerhed, før du kan stå alene i rollen. Arbejdsgivere ansætter sjældent direkte fra skolebænken til denne titel. Junior-indgange findes i stedet som SOC-analytiker, automationstekniker eller it-supporter i en produktionsvirksomhed.

Hvad gør dig attraktiv

Evnen til at oversætte. Du skal kunne forklare en driftschef, hvad risikoen er, uden at bruge ordet trusselsaktør. Og du skal kunne forklare en it-afdeling, hvorfor de ikke bare kan tvinge en opdatering igennem klokken 14 på en tirsdag.

En OT security specialist arbejder med udstyr, der ofte er ældre end de fleste it-systemer. En PLC kan sagtens have kørt i tyve år uden en eneste opdatering.

Protokoller og styresystemer

Du møder Modbus, Profinet, EtherNet/IP, DNP3, OPC UA og IEC 61850 i elsektoren. Mange af dem har ingen indbygget kryptering eller autentificering. Det er derfor, netværksadskillelse fylder så meget.

Af leverandører går især Siemens, Rockwell Automation, Schneider Electric, ABB og Beckhoff igen. Kendskab til Siemens TIA Portal eller en enkelt SCADA-platform er en klar fordel.

Overvågning og kortlægning

Passiv OT-overvågning er standardværktøjet. De mest brugte platforme er Nozomi Networks, Claroty, Dragos, Tenable OT Security og Microsoft Defender for IoT. De lytter på en spejlet netværksport og laver automatisk en liste over udstyret.

Wireshark bruges konstant til at læse trafik manuelt. Til logsamling og alarmer bruges typisk Splunk, Microsoft Sentinel eller Elastic.

Adskillelse og adgang

Firewalls fra Fortinet, Palo Alto Networks eller Cisco bruges mellem zonerne. På kritiske anlæg ses datadioder fra fx Owl eller Fox-IT, som kun tillader trafik den ene vej. Fjernadgang for leverandører styres gennem jump hosts og løsninger som Cisco Secure Equipment Access eller Claroty Secure Access.

Rammeværk og dokumentation

IEC 62443 er det bærende rammeværk med zoner, conduits og security levels. NIST SP 800-82 bruges som praktisk håndbog. Purdue-modellen bruges til at tegne niveauerne fra sensor til forretningssystem.

Meget af arbejdet ender i Visio- eller draw.io-tegninger, risikoregistre i Excel og GRC-værktøjer til NIS2-dokumentation. Undervurder ikke tegningerne. På mange anlæg er dit netværksdiagram det første fælles overblik, nogen har lavet.