Når vannforsyningen stopper, stopper samfunnet. Derfor har IVAR IKS løftet digital sikkerhet høyt på agendaen. Med skjerpet trusselbilde og ny lovgivning i kraft, valgte de selskapet Netsecurity som partner for sikkerhetsovervåking og hendelseshåndtering.
IVAR IKS leverer en av de mest kritiske samfunnsfunksjonene vi har: rent vann til 12 kommuner og 360 000 husstander i rogalandsregionen. I tillegg har de ansvar for avløpsrensing og gjenvinningstjenester. Med skjerpede trusselvurderinger fra blant annet Nasjonal sikkerhetsmyndighet og innføringen av digital sikkerhetslov og NIS2, var det nødvendig å styrke både kapasitet og kompetanse på cybersikkerhet.
– Vannforsyning er ikke bare samfunnskritisk, men livskritisk. Uten vann stopper både befolkning og beredskap, sier Svein Roar Aas som jobber som sikkerhetsrådgiver i IVAR IKS.
I 2024 ble han hentet inn for å strukturere og styrke selskapets digitale sikkerhetsarbeid. En av oppgavene var å kartlegge status. En av metodene som ble benyttet var en sjekk mot NSMs grunnprinsipper for IKT-sikkerhet og gjøre en grundig risikovurdering.
– Vi oppdaget at vi hadde mange logger og data, men begrenset kapasitet til å analysere dem. Det ble besluttet å hente inn en ekstern partner for overvåking og hendelseshåndtering, sier Aas.
Som interkommunalt selskap er IVAR IKS underlagt lov om offentlige anskaffelser. Regelverket er laget for å sikre åpenhet, konkurranse og likebehandling – men for virksomheter som driver kritisk infrastruktur kan det skape en alvorlig utfordring: For å gi leverandørene et kvalifisert grunnlag, må man ofte dele detaljerte beskrivelser av nettverk, systemer og arkitektur. Nettopp den typen informasjon kan fort utgjøre en sikkerhetsrisiko om den havner i feil hender.
– Anskaffelsesregelverket krever åpenhet, men vi kan ikke risikere at sensitiv informasjon om kritisk infrastruktur spres til mange aktører. Det er en krevende balanse, sier Aas.
IVAR startet derfor med en bred markedsdialog med flere leverandører, og valgte til slutt å gå til direkte anskaffelse. Begrunnelsen var både behovet for å handle raskt i et skjerpet trusselbilde – og hensynet til å minimere spredning av informasjon om egne systemer. Dette ble et viktig premiss for valget av Netsecurity som partner
Brage Roalkvam er kundeansvarlig for IVAR IKS i Netsecurity
Da beslutningen først skulle tas, handlet det derfor ikke bare om pris og formelle krav. IVAR trengte en partner de kunne stole på – som hadde nødvendig OT-kompetanse, riktige sertifiseringer og samtidig allerede kjente IVAR IKSs infrastruktur. Netsecurity oppfylte alle disse kriteriene, og kunne i tillegg bidra til en rask oppstart uten å spre sensitiv informasjon til flere aktører.
– Netsecurity skilte seg ut på flere områder. De hadde allerede gjort oppdrag for oss, blant annet penetrasjonstesting, ROS-analyser og trusselvurderinger. Det ga oss trygghet både på kompetanse og gjennomføringsevne. Samtidig hadde de riktig sertifisering og dokumentert OT-kompetanse, forteller Aas.
Svein Roar Aas i IVAR IKS sammen med Tor Ommund Ljosland i SecureNOK
Samarbeidet med Netsecurity innebærer sikkerhetsovervåking og hendelseshåndtering i IVARs OT-infrastruktur, med støtte fra Secure-NOKs teknologi for logginnsamling og trafikkanalyse.
– Onboardingen har vært veldig god. Netsecurity involverer både driftssjefer og operatører, og vi har jevnlige statusmøter. Vi opplever dem som en partner, ikke bare en leverandør. For oss er det viktig at dette er et samspill, der vi bygger kompetanse internt samtidig som vi får styrket overvåkingen, sier Aas.
Det har dukket opp forbedringskandidater underveis i onboardingen. Disse har fortløpende blitt håndtert og nødvendige sikkerhetstiltak har blitt implementert for å fjerne potensielle risikoer.
Et team med spesialister både fra Netsecurity og Secure-NOK bistår IVAR IKS med å sikre vannforsyningen
Netsecurity skilte seg ut på flere områder. Det ga oss trygghet både på kompetanse og gjennomføringsevne. Samtidig hadde de riktig sertifisering og dokumentert OT-kompetanse.
