Veileder til sikkerhetsvurdering for AMS

Del denne sidenDel på e-post

Risikovurderinger ved endringer i AMS-systemet

Det skal gjennomføres risikovurdering ved endring av AMS-systemer.

Fremgangsmåte:

  • Kartlegg hvilke endringer som skal gjøres i AMS-systemet.
  • Vurder hvilke systemer og delsystemer som kan bli påvirket av den planlagte endringen.
  • Gjør dere kjent med trusselbildet

Gjennomfør risikovurderingen i tre møter som anbefalt i Veileder til internkontroll for informasjonssikkerhet.

Møte 1: Identifiser hvilke uønskede hendelser og sårbarheter som påvirkes av endringen (kolonnene ID, funksjon, system/delsystem, uønskede hendelser og sårbarheter i tabellen). Dersom nye uønskede hendelser eller sårbarheter blir identifisert, avgrens risikovurderingen til disse i møte 2.

Møte 2: Vurder risiko og foreslå nye tiltak (kolonnene eksisterende barrierer/tiltak, konsekvens, sannsynlighet, kunnskapsstyrke, risiko og nye tiltak i tabellen). Velg konsekvenskategorier ut fra om endringene påvirker integritet, konfidensialitet, tilgjengelighet eller flere av disse (se tabellen under). Fremstill risikobildet i en risikomatrise.

Møte 3: Prioriter tiltakene og sett frist for oppfølging (kolonnene prioritering, ansvarlig og frist i tabellen).

Oppdater risikobildet etter hvert som nye tiltak blir innført. Dette innebærer at:

  • Nye tiltak flyttes fra kolonnen «nye tiltak» til «eksisterende barrierer/tiltak» i skjemaet for risikovurdering
  • Vurdering av konsekvens, sannsynlighet og kunnskapsstyrke oppdateres med de nye barrierene/tiltakene på plass
  • Uønskede hendelser som påvirkes av tiltaket plottes på nytt i risikomatrisen.

 

Eksempler på endringer som gir behov for nye/oppdaterte risikovurderinger

En risikovurdering er ikke en engangsaktivitet. Følgende scenarier bør utløse en ny vurdering.

1. Endringer i autentisering eller tilgangskontroll

  • Ny IAM1 -plattform
  • Endringer i roller og struktur
  • Innføring av fjerntilgang
  • Ny leverandør eller underleverandør involvert

2. Innføring av nye AMS-målere eller firmware-versjoner

  • Større firmware-oppgradering
  • Ny målertype eller kommunikasjonsmodul
  • Ny head-end- eller konsentratorprogramvare

3. Endringer i kommunikasjonsarkitektur

  • Ny WAN/4G/5G-leverandør
  • Migrering fra én teknologi til en annen
  • Nettverkssegmentering eller ombygging av brannmur

4. Ny operativ funksjonalitet

  • Aktivere/endre fjernstyrt bryterfunksjon
  • Aktivere fjernstyrte programvareoppdateringer
  • Legge til funksjonalitet eller flere tjenestegrensesnitt
  • Nye API-integrasjoner med fakturering, feil- og avbruddsbehandling eller tredjepartsløsninger

5. Etter en cybersikkerhetshendelse eller mistenkelig aktivitet

  • Oppdagelse av uvanlig aktivitet
  • Mistanke om kompromitterte brukernavn/passord eller digitale adgangsnøkler (tilgangstoken)
  • Varsel fra sektormyndighet eller leverandør om relevant sårbarhet

Fotnote

  1. Identity and Access Management – et system som styrer identiteter, autentisering og tilgang til AMS-relaterte systemer i kraftbransjen (system for tilgangsstyring)