SCADA Security Engineer

En SCADA security engineer sikrer de systemer, der overvåger og styrer fysiske processer. Det kan være pumper på et vandværk, transformerstationer i elnettet eller en produktionslinje hos en fødevarevirksomhed.

Arbejdet handler sjældent om at rulle ny antivirus ud. Det handler først om at forstå anlægget. Mange PLC'er og SCADA-servere har 15-20 år på bagen. De kan vælte af en helt almindelig sårbarhedsscanning. Derfor bruger man passiv aflytning af netværket i stedet.

En typisk arbejdsdag kan indeholde:

• Kortlægning af udstyr: hvilke PLC'er, HMI'er og servere findes der overhovedet
• Gennemgang af firewallregler mellem kontornet og anlægsnet
• Segmentering af netværket i zoner og conduits efter Purdue-modellen
• Styring af leverandørers fjernadgang, fx når Siemens eller en møllefabrikant skal fejlsøge
• Planlægning af patching i de få timer, hvor anlægget alligevel står stille
• Risikovurdering af et anlæg efter standarden IEC 62443
• Sikkerhedskrav ind i kravspecifikationen til nye anlæg, og test af dem ved FAT og SAT
• Beredskabsøvelser: hvad gør vi, hvis SCADA-serveren er krypteret klokken 03

En stor del af tiden går med mennesker. Automatikteknikeren vil have anlægget til at køre. It-afdelingen vil have opdateringer og standardværktøjer. Du oversætter mellem de to verdener.

Prioriteringen er vendt om i forhold til almindelig it. I it-sikkerhed kommer fortrolighed først. I OT kommer driftssikkerhed og menneskers sikkerhed først. Et vandværk, der står stille, er værre end et lækket dokument.

Du kommer også fysisk ud på anlæggene. Sikkerhedssko, adgangskort og en teknikerkollega, der viser vej i tavlerummet.

Du arbejder tæt sammen med automationsingeniører, driftsledere, indkøb og leverandører. I større virksomheder rapporterer du typisk til en CISO eller en OT-chef.

Hvilken lovgivning dækker denne rolle?
Faget er ikke autoriseret. Man skal ikke have en autorisation fra Sikkerhedsstyrelsen for at kalde sig SCADA security engineer. Til gengæld findes stillingen i dag først og fremmest, fordi lovgivning kræver den. EU's NIS2-direktiv er i Danmark gennemført med NIS2-loven, altså lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau. Den kræver risikostyring, netværkssikkerhed, beredskab og hurtig rapportering af hændelser hos væsentlige og vigtige enheder. Energisektoren har sin egen NIS2-lovgivning, hvor Energistyrelsen fører tilsyn. Center for Cybersikkerhed er national cybersikkerhedsmyndighed og udgiver vejledninger om OT-sikkerhed. Dertil kommer EU's CER-direktiv om kritiske enheders modstandsdygtighed og EU's Cyber Resilience Act, som stiller sikkerhedskrav til selve produkterne, fx PLC'er og styringer.

Der findes ingen dansk uddannelse, der hedder SCADA security engineer. Folk kommer typisk ind ad to veje.

Vejen fra automation
Du starter som automatiktekniker, en erhvervsuddannelse på cirka 4,5 år. Eller du læser automationsteknolog på et erhvervsakademi, to år. Elektriker med industrierfaring tæller også. Derefter arbejder du nogle år med PLC-programmering og anlæg i drift. Så bygger du sikkerheden ovenpå med kurser og certificeringer. Denne vej giver den bedste fornemmelse for, hvorfor man ikke bare genstarter en server midt i en batch.

Vejen fra it
Du læser datamatiker (2,5 år), it-teknolog eller diplomingeniør i elektronik, netværk eller cybersikkerhed. DTU, Aalborg Universitet og Syddansk Universitet udbyder relevante ingeniøruddannelser. Adgangskravet til ingeniør er typisk matematik A og fysik B. Mangler du fagene, kan du tage adgangskursus eller et suppleringsfag. Derefter arbejder du et par år med netværk, firewalls eller i et SOC. Så flytter du dig mod OT.

Der findes også rene kandidatuddannelser i cybersikkerhed, blandt andet på DTU og Aalborg Universitet. De giver teori, men ikke anlægsforståelse.

Certificeringer, der reelt tæller

• GICSP fra GIAC er den mest anerkendte i OT-miljøet
• SANS-kurserne ICS410 og ICS515 er dyre, men vejer tungt hos arbejdsgivere
• ISA/IEC 62443 Cybersecurity Specialist knytter sig direkte til standarden
• CISSP giver bredde og ledelsessprog, men dækker ikke OT specifikt
• Siemens, Rockwell og Schneider Electric har egne kurser i deres platforme

Ingen arbejdsgiver forventer, at du kan det hele fra dag ét. De fleste ansætter enten en fra automation, der skal lære sikkerhed, eller en fra it, der skal lære anlæg. Anlægsforståelsen tager længst tid at bygge op. Regn med to til tre år, før du er selvkørende.

Studiejob og praktik hos forsyningsselskaber, Vestas, Grundfos, Danfoss eller et rådgivende ingeniørfirma er en god genvej. Det samme er en tur som automationsingeniør hos en systemintegrator. Du lærer ti anlæg på den tid, det tager at lære ét indefra.

Mange lærer også faget ved at bygge et lille testmiljø hjemme. En brugt Siemens S7-1200 eller en simulator, Wireshark og tålmodighed rækker langt.

Overvågning og kortlægning af OT-netværk
Nozomi Networks, Claroty, Dragos, Tenable OT Security og Microsoft Defender for IoT. De lytter passivt med på trafikken og finder udstyr uden at forstyrre driften.

Netværk og adgang
Firewalls fra Fortinet, Palo Alto Networks eller Cisco. Datadioder og unidirektionelle gateways, fx fra Waterfall eller Advenica. Jump hosts og styret fjernadgang til leverandører.

Selve anlægssystemerne
Siemens SIMATIC WinCC og PCS 7, Rockwell FactoryTalk, Schneider Electric EcoStruxure, ABB 800xA, Emerson DeltaV og Ignition. Du skal kunne læse og navigere i dem. Du skal ikke nødvendigvis kunne programmere dem.

Protokoller du skal kunne genkende
Modbus TCP, DNP3, IEC 60870-5-104, IEC 61850 i elstationer, OPC UA, PROFINET, EtherNet/IP og BACnet i bygninger. Flere af dem har ingen indbygget autentifikation. Det er ofte selve pointen i din risikovurdering.

Rammeværk og dokumentation
Standarden IEC 62443 er den bærende i faget. NIST SP 800-82 bruges som praktisk vejledning til OT-sikkerhed. Purdue-modellen bruges til at tegne niveauer og zoner. Visio eller draw.io til netværkstegninger. Wireshark til at se, hvad der faktisk løber på kablet.

Det kedelige, men mest brugte
Regneark til asset-lister og risikoregistre. Et ticketsystem til ændringer. Referater fra driftsmøder. Meget af værdien ligger i at holde overblikket opdateret.