Tio tips på hur du säkrar fastighetens automationssystem

Uppkopplade system för fastighetsautomation, exempelvis styrning av inomhusklimat och ventilation, ger nya möjligheter. Allt från enklare övervakning och konfiguration till nya tjänster som möjliggörs av den funktionalitet och den stora mängd data som ofta finns i dessa system. Attacker mot uppkopplade system har under de senaste åren blivit både allt vanligare och mer sofistikerade.  

Förövare använder både automatiserade och manuella, för målet skräddarsydda, verktyg för att hitta och angripa uppkopplade enheter. Motiven till angreppen är flera, allt från nyfikenhet eller rättighet att skryta till så kallade utpressningsattacker eller sabotage.

Några av de vanligaste bakomliggande orsakerna till ett lyckat angrepp är användning av standard- eller svaga lösenord, att känslig enhet är direkt åtkomlig via internet eller att enheten inte uppdaterats.

Oavsett vad motivet och orsakerna till ett angrepp är, är de potentiella konsekvenserna desamma, enheternas funktion kan påverkas eller sluta fungera helt, data kan gå förlorad eller hamna i orätta händer, eller så kan en mindre viktig enhet användas som ”vägen in” till andra enheter eller som språngbräda för andra attacker.

Det bör därför vara ett naturligt steg vid varje installation av fastighetsautomation att tänka på IT-säkerheten. Men glöm inte de system som redan är installerade. Det är viktigt att se över även dessa för att höja säkerheten även där.

Nedan listas i korthet några säkerhetsåtgärder er organisation kan vidta för att höja säkerheten avseende installation och användning av byggnadens fastighetsautomationssystem, såsom t.ex. system för styrning av inomhusklimat och ventilation.

1. Ändra standardlösenord och använd svårgissade lösenordsfraser

I de fall standardanvändare används för att logga in på den uppkopplade enheten rekommenderas att lösenorden för dessa ändras i samband med att enheten driftsätts och att svårgissade lösenord används. Styrkan på ett lösenord avgörs inte enbart av dess komplexitet (det vill säga förekomsten av många olika så kallade specialtecken). Två andra viktiga faktorer är hur svårt det är att gissa och, inte minst, dess längd. En utgångspunkt för att skapa långa, starka lösenord är att tänka ”lösenordsfras” istället för ”lösenord” – gärna 10 tecken eller längre. Till exempel är en fras eller en mening bestående av flera ord så som ”fingerskruvtränaryoga” betydligt starkare än ett traditionellt lösenord såsom ” bn^T65#_” och, dessutom, sannolikt enklare att komma ihåg.

2. Skapa unika och personliga användarkonton

Så kallade "delade konton" är något som bör undvikas. Istället bör varje användare tillägnas ett unikt och personligt användarkonto och uppmanas att byta lösenordet vid en första inloggning. Detta minskar inte bara risken för att ett lösenord hamnar i orätta händer, utan gör det också möjligt att, i utvalda produkter, spåra vilken individ som gjort vilken ändring, och när.

3. Följ principen om lägsta privilegienivå för användare

Respektive användares behörighetsnivå bör följa principen om lägsta privilegienivå. Det vill säga att en användare inte beviljas högre behörighet än vad som krävs för att kunna utföra sina arbetsuppgifter. Oftast är den lägsta åtkomstnivån tillräcklig för övervakning eller avläsning av data i enheterna.

4. Se till att mjukvaruuppdateringar installeras

Det är rekommenderat att den senaste versionen av systemprogramvaran för aktuell enhet används. Genom att uppdatera kan enheten få ytterligare funktioner, bättre användbarhet och bättre säkerhet.

Vissa enheter kan uppdateras automatiskt eller manuellt via funktioner i det administrativa gränssnittet medan andra behöver uppdateras med hjälp av ett minneskort. Kontakta Swegons servicekontor eller Helpdesk om du behöver hjälp.

5. Fysisk säkerhet

Det är rekommenderat att enheten placeras så att obehörig åtkomst minimeras, exempelvis genom att placera den i ett låsbart fläktrum, dator- eller serverskåp. Även data- och strömkablar bör skyddas och hållas åtskilda för att minska risken för störningar.

6. Aktivera och använd kryptering

Många enheter stödjer kryptering med krypteringsmetoden SSL/TLS för webb- och/eller e-postkommunikation. För att skydda nätverkskommunikation från obehörig insyn rekommenderas att dessa funktioner aktiveras och att samtliga användare uppmanas att ansluta via HTTPS istället för den icke-krypterade motsvarigheten HTTP.

7. Inaktivera tjänster som inte används och begränsa åtkomst med brandväggsregler

Enheterna har ofta flera kommunikationsvägar, tjänster och protokoll med olika tillämpningsområden. Det rekommenderas att tjänster som inte används inaktiveras och att åtkomst till aktiva tjänster begränsas med hjälp av brandväggsregler. För maximalt skydd bör enheterna placeras innanför organisationens egen brandvägg.

8. Skapa ett separat nätverk för styrutrustning

För att minska risken för driftstörningar eller otillbörlig exponering av information bör styrutrustning kommunicera på ett separat nätverk som är avskilt från kontorsnätverket, gästnätverk och liknande. Detta kan uppnås exempelvis genom att skapa ett unikt nätverk för styrutrustning genom brandväggskonfiguration eller genom att skapa ett separat fysiskt- eller trådlöst nätverk.

9. Undvik att exponera styrutrustning mot Internet

Att göra en enhet publikt åtkomstbar via internet innebär att vem som helst med en Internetuppkoppling kan nå enhetens funktioner, vilket medför en ökad risk för angrepp och intrångsförsök. En generell avrådan är därmed att styrutrustning exponeras publikt mot Internet. Om åtkomst från Internet är nödvändigt bör det ske via VPN, alternativt begränsa åtkomst till en explicit angiven lista på källadresser i brandväggens konfiguration.

10. Skapa säkerhetskopia efter driftsättning

För att minska risken för förlust av data och för att höja driftsäkerheten rekommenderas att en säkerhetskopia av information och konfigurationsinställningar skapas efter att en enhet driftsätts. På så vis går det snabbare att återställa avsedd funktionalitet utifall en enhet skulle behöva bytas ut eller installeras om.

Vill du läsa mer om Swegons säkerhetsrekommendationer för uppkopplad styrutrustning? Se Säkerhetsrekommendationer för COMPACT, GOLD, SuperWISE I och II.