Beskyttelse av kritisk infrastruktur – med innebygd sikkerhet mot nye risikoer
Hva har sikkerhet å si for beskyttelse av mobilnett og kritisk infrastruktur? I denne artikkelen får du et innblikk i flere aspekter knyttet til kritisk infrastruktur og dens evolusjon innen telekom-sektoren. Det vil si alt fra 5G, telekomnettverkenes rolle i å støtte kritiske operasjoner, fremveksten av nye teknologier som confidential computing, til betydningen av regulatorisk etterlevelse.
Tekstbidrag fra:
Kaël Haddar, Customer Security Director, Ericsson
Denne artikkelen er oversatt fra originalspråket og redaksjonelt tilpasset for publisering i Digital Sikkerhet 2024.
Telekommunikasjon har utviklet seg til å bli en helt essensiell del av tiden vi lever i, og kobler sammen mennesker på kryss og tvers av landegrenser over hele verden.
Telekommunikasjon har også direkte innvirkning på både økonomisk utvikling, industrielle fremskritt og global konnektivitet. Tjenesteavbrudd kan få store konsekvenser for både samfunnsfunksjoner, økonomisk stabilitet og statlig styring.
Som en avgjørende del av dagens kritiske infrastruktur, stilles det også strengere myndighetskrav til mobile nettverk, inkludert revisjoner og verifisering av sikkerhet. Etterhvert som mobilteknologien brukes på nye måter i industrielle og virksomheters nettverk, betyr det også at man må ta nye hensyn med tanke på både sikkerhet og trygghet. Alt dette er med på å forme sikkerhetsaspektene innen fremtidig testing, utvikling og operasjonell drift.
I denne artikkelen ser vi nærmere på den avgjørende rollen sikkerhet spiller i å beskytte kritisk infrastruktur innen telekommunikasjon. Teksten omfatter ulike sider, som viktigheten av 5G, telekomnettverkenes rolle i å støtte kritiske operasjoner, fremveksten av nye teknologier som confidential computing, og betydningen av regulatorisk etterlevelse.
Kritisk infrastruktur avhenger av 5G, sikkerhet og resiliens
Både myndigheter og næringsliv er raskt ute med å implemen- tere avanserte 5G-drevne teknologier, både for å sikre mer stabil drift og å styrke sikkerheten i kritiske operasjoner.
Den viktigste funksjonen et robust 5G-system har, er evnen til å levere uavbrutt tilgjengelighet, stabilitet og responsivitet – selv ved forstyrrelser eller angrep. Pålitelighet, tilgjengelighet, robusthet og sikkerhet er ikke bare egenskaper som bidrar til å ivareta personvernet, men sørger også for kontinuitet i tjenestene.
Parallelt med at stadig flere kritiske funksjoner blir digitalisert, har telenettverkene utviklet seg til å bli avgjørende bærebjelker for eksisterende operasjoner – samtidig som de åpner for nye og innovative bruksområder. For eksempel krever den stadige økningen av fjernstyring av utstyr og maskineri lynrask kommunikasjon, noe som igjen senker responstiden i møte med potensielle trusler.
Kritisk infrastruktur utvikler seg raskt – med intelligente nettverksplattformer som tilbyr et bredt spekter av viktige funksjoner, som sikkerhet, personvern, stabilitet og robusthet, tilpasset ulike bruksområder. Etter hvert som vi nå går fra 5G til 6G, blir det stadig viktigere å styrke disse nettverkene med avanserte komponenter for å sikre ytterligere robusthet og effektivitet.
Konfidensiell databehandling (confidential computing) har utviklet seg til en sentral teknologi som styrker sikkerheten i virtualiserte systemer. Ved å beskytte data under behandling og lagring, bidrar konfidensiell databehandling til økt tillit blant både brukere og myndigheter. At dette integreres i nettverksarkitekturen legger grunnlaget for sikker identitetsstyring og gjør det mulig å automatisere tillitsvurdering på tvers av alle nettverkselementer.
Sikre identiteter og protokoller utgjør en annen hjørnestein innen nettverkssikkerhet, og er essensielt for å beskytte kommunikasjonskanaler på tvers av ulike sektorer. Nye teknologier som pålitelige identiteter, rammeverk for autentisering og tilgangsstyring gir sikker kommunikasjon på alle nivåer, og fremmer enhetlig identitetsstyring og automatisert datastyring.
I tillegg er sikkerhetsgarantier og forsvarsmekanismer nødvendige i både utviklings-, distribusjons- og driftsfasen. Mens nåværende metodikk primært fokuserer på produktsikkerhet, vil fremtidige løsninger inneholde innebygde mekanismer som sikrer etterlevelse av sikkerhetsstandarder og forskrifter, som GDPR.
Det regulatoriske landskapet spiller i det hele tatt en viktig rolle i utformingen av sikkerhets- og personvernstandarder innen kritisk infrastruktur. At man overholder strenge regulatoriske krav fremmer tillit blant alle involverte og sikrer samsvar med sikkerhetsspesifikasjoner og standarder i stadig utvikling.
Den viktigste funksjonen et robust 5G-system har, er evnen til å levere uavbrutt tilgjengelighet, stabilitet og responsivitet.
Veien mot motstandsdyktige nettverk
Når vi beveger oss mot motstandsdyktige og sikre nettverksinfrastrukturer, vil samarbeid, innovasjon og etterlevelse av regulatoriske krav være avgjørende for å kunne beskytte kritiske verdier og sikre bærekraftig vekst i de ulike næringene.
For å møte utviklingen i trusselbildet på en effektiv måte, er tre utviklingskomponenter helt avgjørende for å oppnå pålitelige systemer. Disse komponentene driver innovasjon og robusthet, og gir 5G-nettverk muligheten til å tilpasse seg og virkelig komme til sin rett i møte med stadig skiftende omgivelser.
Pålitelighet
Påliteligheten til den trådløse infrastrukturen bygges på bruk av internasjonale standarder, sterke sikkerhetsløsninger og tydelig definerte prosesser – kombinert med god trusseletterretning, som er aktivt og kontinuerlig oppdatert på aktuelle sikkerhetstrusler.
Skalert sikkerhet
Skalert sikkerhet innebærer blant annet å kunne beskytte store mengder enheter og data som har en rekke ulike bruksområder. For å oppnå dette, forsker Ericsson på tilpasningsdyktige, skalerbare og automatiserte sikkerhetsløsninger for fremtidige nettverk og tilkoblede enheter.
Policybasert automatisering
Policybasert automatisering, i tråd med bransjestandardene, sammen med regelbasert analyse (for kjente trusler) og AI-basert analyse (for avvik og ukjente trusler) gjør det mulig med holistisk og kostnadseffektiv tilnær- ming til sikkerhet for fremtidige bruksområder.
Ericssons tilnærming til telekom-sikkerhet bygger på fire sentrale pilarer: standardisering, produktutvikling, implementering og drift. Disse fire områdene bidrar til å skape en sikker plattform som gir et ideelt grunnlag for utvikling av store, sikkerhetssensitive systemer.
Ericsson har en lang historie med å systematisk innarbeide sikkerhets- og personvernhensyn i alle relevante aspekter og faser av verdistrømmene til våre produkter.
Vi har et veletablert rammeverk for internkontroll, Security Reliability Model (SRM), med en kontrollert, risikobasert tilnærming til sikkerhets- og personvernhåndtering, der kravene er tilpasset målgruppens omgivelser og behov. Denne tilnærmingen gjør det enklere for oss å møte interessenters forventninger og følge den raske teknologiutviklingen og de stadige regulatoriske endringene globalt.
Veien til Zero Trust Architecture for kritisk infrastruktur
I møte med de mange utfordringene knyttet til kritisk infrastruktur, fokuseres det mer og mer på operasjonell resiliens. Evnen til å ivareta operasjonell resiliens i en tid preget av stadig flere cyber-trusler, naturkatastrofer og nye arbeidsformer, utgjør et vedvarende dilemma for mange virksomheter. Disse utfordringene krever en omfattende tilnærming til sikkerhet og resiliens, som inkluderer robuste protokoller, avanserte teknologier og proaktive strategier for risikohåndtering.
Parallelt med at truslene har utviklet seg, har både mobilnettverksoperatører (MNO-er) og myndigheter aktivt omfavnet konseptet Zero Trust Architecture (ZTA) som et ledd i å beskytte kritisk infrastruktur.
ZTA representerer et paradigmeskifte innencybersikkerhet, der vi beveger oss fra den tradisjonelle perimeterbaserte sikkerhetsmodell til en langt mer granulær og dynamisk tilnærming. ZTA legger til grunn at ingen uten videre er til å stole på – uavhengig av om de er på ut- eller innsiden av en barriere. ZTA innebærer strenge tilgangskontroller, kontinuerlig autentisering og sanntidsovervåking for å redusere risikoer og forhindre uautorisert tilgang.
Det å oppnå en Zero Trust Architecture innebærer imidlertid mer enn bare å følge bransjestandarder.
Telekombransjens 3GPP-standarder (The 3rd Generation Partnership Project) er en sammeslutning av syv nasjonale og regionale standard-organisasjoner innen telekom, som blant annet har utviklet spesifikasjonene for 2G, 3G, 4G og 5G mobilnett. Selv om disse standardene gir et grunnleggende rammeverk for å implementere zero trust i nettverksfunksjoner (NF-er) og grensesnitt, omfatter operasjonell sikkerhet langt mer enn det som er mulig å standardisere.
ZTA innebærer strenge tilgangskontroller, kontinuerlig autentisering og sanntidsovervåking for å redusere risikoer og forhindre uautorisert tilgang.
Operasjonell sikkerhet omfatter et bredt spekter av praksiser og prosedyrer, der målet er å beskytte nettverksinfrastruktur, data og ressurser mot interne og eksterne trusler. Dette inkluderer – men er ikke begrenset til – regelmessige sikkerhetsrevisjoner, sårbarhetsvurderinger, beredskapsplanlegging og så videre.
I tillegg krever en vellykket implementering av ZTA god forståelse av den enkelte nettverkskonteksten og de operasjonelle kravene til hver MNO. Det er viktig å skreddersy utrulling og konfigurasjon av ZTA, slik at arkitekturen er tilpasset de spesifikke utfordringene og rammebetingelsene virksomheten står overfor. Dette innebærer, men er ikke begrenset til, grundige risikovurderinger, identifisering av kritiske punkter og avhengigheter, og å etablere klare retningslinjer og prosedyrer for å implementere og administrere ZTA-kontroller.
Ericsson-produkter har som mål å tilby de nødvendige egenskapene som trengs for å realisere en ZTA, og vi er aktivt engasjert i ZTA-reisen sammen med MNO-er og bransjeorganisasjoner som O-RAN Alliance, 3GPP og ATIS. Å realisere en ZTA som er i tråd med alle de syv prinsippene for zero trust fra NIST samt CISA ZTMM, krever en høy grad av automatisering og synlighet i mobilnett-sikkerhetsoperasjoner. Derfor tilbyr Ericsson en løsning for sikkerhetsstyring designet for å automatisere og orkestrere sikkerhetsoperasjoner, og slik styrke mobilnettet mot eksterne og interne trusler.
Behov for fortsatt samarbeid på tvers av bransjen
For å oppnå robust sikkerhet i distribuerte nettverk, kreves det en mangefasettert tilnærming som innebærer mer enn bare standardisering. Med sikkerhet og personvern som en stadig viktigere del av kritisk infrastruktur, kombinert med enda flere regulatoriske hensyn, er det avgjørende at bransjens aktører samarbeider effektivt i implementering av cybersikkerhet.
Samhandlingen bør naturligvis prioritere forretningsresultater innen nettverksytelse og tilgjengelighet, men også omfavne prinsippene for Zero Trust Architecture (ZTA).
Ved å konsolidere sikkerhetskontroller og tilby omfattende anbefalinger, baner initiativer som disse veien for at bransjen kan lykkes med å realisere de fire viktige utviklingskomponentene som er kritiske for å bygge pålitelige systemer og ZTA i 5G-nettverk. I tiden fremover vil fortsatt samarbeid og samsvar med regulatoriske krav være helt essensielt for å sikre motstandsdyktighet og integritet i mobilnettene, i møte med trusler i stadig utvikling.
