Informationssäkerheten i IoT- och OT-miljöer börjar med att skydda enheterna

Fallen visar konkret hur brister i informationssäkerheten hos uppkopplade IoT- och OT-enheter direkt kan påverka företagens verksamhet och den fysiska miljön. En automationsenhet som är tillgänglig via internet och som inte har uppdaterats eller skyddats tillräckligt kan ge en angripare tillgång till kritiska system.

I denna artikel granskar vi de senaste cyberangreppen i Europa och går igenom vad IoT- och OT-enheter är, varför det är viktigt att skydda dem och vilka praktiska åtgärder organisationer kan vidta för att minska cyberhoten mot dem.

Frys- och kylutrustning i europeiska butiker utsattes för cyberangrepp

Flera butiker i Frankrike utsattes för ett cyberangrepp i oktober 2026. Angreppet riktades mot styrsystem för frys- och kylutrustning som tillverkats av det danska företaget Danfoss. Angriparna hade ändrat utrustningens temperaturinställningar på distans, vilket ledde till att lager av färskvaror och frysta produkter förstördes. Angriparna tvingade utrustningen till kontinuerlig avfrostning genom att ställa in måltemperaturen på 50 grader Celsius. Frys- och kylutrustningen hade därmed värmts upp i flera timmar i stället för att hålla produkterna kalla.

Liknande angrepp rapporterades i början av november även i andra europeiska länder, såsom Belgien, Sverige, Irland och Estland. Liknande misstänkta cyberangrepp har nu också observerats i Finland.

I dessa fall riktades angreppen mot enheter som nått slutet av sin livscykel och som inte längre kunde få några säkerhetsuppdateringar. Dessutom hade en sårbarhet upptäckts i enheterna redan 2025, och det fanns inte längre någon korrigering tillgänglig för den. I denna artikel tittar vi närmare på hur liknande IoT- och OT-enheter kan skyddas mot cyberangrepp.

Vad är IoT- och OT-enheter?

IoT, dvs. Internet of Things, betyder sakernas internet. Det avser fysiska enheter som samlar in information, överför den via nätet eller möjliggör fjärrövervakning och fjärrstyrning av enheter.

IoT-enheter är till exempel:

• temperatur- och fuktsensorer
• smarta lås och övervakningskameror
• fjärravlästa elmätare
• utrustning för övervakning av förhållandena i byggnader
• uppkopplade hushållsapparater

OT, dvs. Operational Technology, betyder operativ teknologi som används för att övervaka och styra fysiska enheter, maskiner, produktion och processer.

OT-system används till exempel för:

• styrning av kyl- och fryssystem
• hantering av uppvärmning, ventilation och kylning i byggnader
• industriella produktionslinjer
• pumpstationer inom vattenförsörjningen
• elproduktion och energinät.

En IoT-enhet kan till exempel ha till uppgift att mäta temperaturen och skicka informationen till ett övervakningssystem. Ett OT-system kan i sin tur använda denna information för att starta en kylkompressor eller reglera kyleffekten. I praktiken kan samma helhet innehålla både IoT- och OT-teknologi. De har en viktig gemensam egenskap: ett informationssäkerhetsproblem i en enhet kan bli ett fysiskt problem.

Varför kan IoT- och OT-enheter vara synliga på internet?

IoT- och OT-enheter kan vara synliga på internet eftersom de är anslutna till nätet på ett sätt som gör det möjligt att upprätta en anslutning även utanför företaget eller fastigheten. I vissa fall kan enheter ha anslutits till internet av misstag. En tjänst i organisationen som endast är avsedd för internt bruk kan bli tillgänglig på det offentliga nätet av misstag eller t.ex. på grund av ett konfigurationsfel i brandväggen. Därför rekommenderas det att man tidvis kontrollerar om organisationens egen uppfattning om enheterna motsvarar verkligheten. Man ska se till att uppkopplade enheter uppdateras om de inte kan kopplas bort från nätet. Det är också viktigt att hantera livscykeln för gamla enheter.

Orsaker till att en IoT- eller OT-enhet är synlig på internet:

• Enhetens nätverksport har öppnats direkt mot internet
• Enheten har en funktion för fjärradministration som har lämnats synlig på internet
• Enheten ansluter själv till en molntjänst
• Inställningarna i routern eller brandväggen är felaktiga
• Informationssäkerheten i gamla system har inte utformats med tanke på dagens hot
• Det har ansetts viktigare att fjärradministrationen av enheten är enkel att använda än att den är säker

Hur ska IoT- och OT-enheter skyddas?

IoT- och OT-enheter ska skyddas eftersom de kan ge åtkomst till företagets system och eventuellt göra det möjligt att direkt påverka den fysiska världen. Om till exempel styrenheten för en kylanläggning hamnar i en angripares händer kan det leda till att livsmedel förstörs, utrustning skadas eller betydande ekonomiska förluster uppstår. En central princip är att IoT- och OT-enheter inte ska exponeras direkt mot det offentliga internet om det inte är absolut nödvändigt. Om fjärråtkomst behövs ska den genomföras på ett kontrollerat och säkert sätt.

Följande allmänna rekommendationer hjälper dock till att skydda mot många olika typer av hot och hotaktörer. Efter dessa grundläggande skyddsåtgärder är det bra att fokusera på andra viktiga cybersäkerhetskontroller.

• Säkerställ hanteringen av enhetstillgångar. Organisationen bör föra en förteckning över de enheter som används, hur de är uppkopplade till internet och statusen för deras uppdateringar.
• Kontrollera om enheten är synlig på det offentliga internet och om detta är nödvändigt. Alltför stor exponering kan till exempel göra det möjligt att utnyttja sårbarheter i enheterna. Ett allmänt gott råd är att isolera och separera enheterna i egna skyddade nätverk (IT/OT/IoT) och på så sätt minska angreppsytan. Rådet gäller särskilt enheternas administrationspaneler, men ganska ofta även hela enheten. Åtkomsten till enheterna kan begränsas med tekniska kontroller, såsom inställningar i brandväggar och routrar, VPN och särskilt tillåtna IP-adresser. Kontrollera regelbundet hur väl isoleringen och separeringen fungerar. Säkerställ att enheterna endast kan ansluta till de nätverk som de behöver ha åtkomst till för att fungera korrekt.
• Använd eller kräv en skyddad och säker anslutning för fjärradministration om fjärradministration av enheten är nödvändig. Tillåt inte att vem som helst kan ansluta till enheten direkt från det offentliga internet, när som helst och varifrån som helst.
• Inaktivera onödiga tjänster på automationsenheten. Även om enheten är isolerad från internet kan olika tjänster som du inte behöver fortfarande vara aktiva på den. Det är bra att inaktivera onödiga tjänster, vilket minskar risken för missbruk via dem även från interna nätverk. Man kan försöka minska automatiserade angreppsförsök genom att byta de standardportar som tjänsterna använder, men som enda kontroll är sådan så kallad säkerhet genom oklarhet (security by obscurity) inte tillräcklig.
• Håll enheterna uppdaterade. Enheter som inte har uppdaterats kan innehålla sårbarheter som hotaktörer kan utnyttja på olika sätt, på distans eller lokalt.
• Byt enhetens standardlösenord och tillämpa en god lösenordspolicy.
• Aktivera multifaktorsautentisering (MFA) alltid när det stöds. Även om någon av kontrollerna ovan skulle fallera eller någon av någon annan orsak skulle få åtkomst till enheten trots dem, hjälper byte av lösenord och multifaktorsautentisering i situationer där lösenordet har stulits, kan tas reda på eller kan gissas.
• Inför metoder för övervakning av miljön för att upptäcka informationssäkerhetsincidenter.

Hur påverkar EU:s cyberresiliensförordning säkerheten hos IoT- och OT-enheter?

EU:s cyberresiliensförordning, Cyber Resilience Act (CRA), har stor betydelse för hur digitala enheter utformas, tillverkas, uppdateras och underhålls. Den gäller direkt IoT-enheter och många digitala produkter i OT-system, såsom uppkopplade styrenheter och programvara. Ett centralt mål med förordningen är att cybersäkerheten inte ska vara ett problem som enbart köparen eller användaren av enheten måste lösa. Även tillverkaren ansvarar för produktens säkerhet och hanteringen av sårbarheter under produktens hela livscykel.

Tillverkarna ska säkerställa att produkten utformas, utvecklas och tillverkas i enlighet med de väsentliga cybersäkerhetskrav som fastställs i cyberresiliensförordningen. Kraven gäller både produktens tekniska egenskaper och tillverkarens skyldigheter att hantera sårbarheter och tillhandahålla säkerhetsuppdateringar under produktens livscykel. De väsentliga cybersäkerhetskraven tillämpas på produkter som släpps ut på EU-marknaden fr.o.m. den 11 december 2027. Utsläppande på marknaden betyder att en produkt kommer ut på EU-marknaden för första gången.

De väsentliga cybersäkerhetskraven genomförs baserat på riskerna. Dessa är till exempel:

• säker standardkonfiguration och automatiska säkerhetsuppdateringar
• skydd mot obehörig åtkomst
• konfidentiell behandling av uppgifter och dataminimering
• skydd av centrala funktioner