Cybersecurity Barrier Management

Prosjektet vil utvikle ny kunnskap, metoder og veiledning for å sikre industrielle kontroll- og sikkerhetssystemer mot cyberangrep. Antall trusselsaktører og cyberangrep rettet mot petroleumssektoren øker og fører til nye fare- og ulykkessituasjoner som må tas hensyn til under design og drift av petroleumsinstallasjoner. Petroleumstilsynet krever at bransjens satsing på digitalisering må bidra til forbedret sikkerhet og beskriver prinsipper for god barrierestyring som sikrer at nødvendige barrierer (tiltak, mottiltak, løsninger) er identifiserte og tilstede for å unngå negative følger for personell, ytre miljø, og materielle verdier. Disse prinsippene er like relevante for cybersikkerhet. Norske olje- og gasselskaper har utviklet systemer for barrierestyring for sikkerhet som ivaretar både tekniske, operasjonelle og organisatoriske forhold, men systemene dekker i liten grad cybersikkerhet. Et overordnet prosjektmål er å utvikle ny kunnskap og veiledning for etablering av cybersikkerhetsbarrierer som en kontinuerlig prosess under utvikling og drift, som dekker både tekniske og ikke-tekniske aspekter, og som bygger bro mellom sikkerhets- og cybersikkerhetsdomenene. Gjennom aktiv deltakelse av to ledende olje- og gasselskaper (Equinor og Lundin Energy), samarbeid med internasjonale eksperter innen cybersikkerhet og standardisering, samarbeid med mer enn 20 industribedrifter, samt prosjektteamets tverrfaglige ekspertise, vil prosjektet kunne bidra til å forbedre cybersikkerhet i petroleumssektoren, så vel som i andre sektorer som bruker industrielle automatiserings- og kontrollsystemer. Prosjektet inkluderer en doktorgradsstudent ved NTNU.

The overall project objective is to provide new research-based knowledge and guidance for cybersecurity barrier management as a continuous process during development and operation (incl. maintenance) of ICS in the petroleum industry, covering both technical and non-technical aspects, bridging the safety and cybersecurity domains. Digitalization calls for novel concepts to be able to exploit the potential in digitalization while at the same time managing a considerable growth in cybersecurity threats. Main challenges addressed in this project are protection of ICS to security threats and software upgrade procedures to ensure that newly discovered cyber-security threats are resolved fast. There is a need to develop new research-based knowledge on establishment and follow-up of cybersecurity requirements for technical as well as non-technical barrier elements, and to investigate and develop new innovative work processes for improved interaction between the office IT systems and ICS. The challenge of mastering the interdependencies between safety and cybersecurity is still significant and will be a major challenge for many years to come. The industry needs more practical guidelines and standardized approaches for integrating the safety and security domain to ensure that cybersecurity does not interfere with the proper safe operation of the production process. There is also a need to build new scientific knowledge on the transition from unidirectional to continuous processes for operation and maintenance of ICS, in a context with a multitude of suppliers.