AT.JOBBER | Stillingsmarked
– Maskininnkjøp er blitt sikkerhetspolitikk
CYBERSIKKERHET: Tone Lindberg Grøstad, administrerende direktør i MGF, ber entreprenører og byggherrer undersøke opprinnelsesland, sensorer, datalagring og fjernstyring før kontrakten signeres.
Publisert
Sist oppdatert
AT.no omtalte allerede i januar Grøstads advarsel om at moderne anleggsmaskiner kan fungere som «spionmaskiner». Under NECIAs Cyber & AI Summit i Moss 17. september tok hun problemstillingen et steg videre: Hvem slipper maskinene inn på sikkerhetskritiske anlegg – og hvilke krav stilles i kontrakten?
Sikkerhetsklarerer folk – men ikke maskinen
Grøstad gjentok mye av budskapet hun fremførte under Anlegg Norge 2026 i januar: En moderne anleggsmaskin er ikke lenger bare stål, hydraulikk og motorkraft. Kameraer, GPS, lidar, mikrofoner og andre sensorer registrerer omgivelsene kontinuerlig. Data kan sendes via wifi, mobilnett eller satellitt til eksterne servere for analyse, maskinstyring og fjernsupport.
Den samme teknologien som gir sikrere og mer effektiv drift, åpner også nye sårbarheter. Maskinen kan overvåkes, fjernstyres og under gitte forhold stoppes utenfra.
– Hva skjer dersom gravemaskinen ikke fungerer når den trengs for å bygge flomvern?
På sikkerhetsseminaret i Moss rettet Grøstad oppmerksomheten mot sikkerhetshullet som kan oppstå i kontraktskjeden. En offentlig byggherre inngår avtale med en stor entreprenør, som benytter mindre entreprenører og underleverandører. Til slutt kan en lokal maskineier rulle inn på byggeplassen med tre gravemaskiner.
– Det settes ikke krav til denne typen sikkerhet i anbudene i dag, sa Grøstad.
På et sikkerhetskritisk prosjekt kan personellet være kontrollert, samtidig som maskinen samler inn data døgnet rundt. Maskinstyringen kan vite hvor strøm, vann og kommunikasjon ligger, hvordan bygget er utformet, og hvor maskinen har gravd.
Grøstad viste til at detaljerte maskinstyringsdata kan avsløre hvor kritiske forsyningslinjer ligger, også et stykke utenfor selve anlegget. En sabotør som vil ramme en flyplass, kan ifølge henne ha større nytte av informasjon om infrastrukturen noen kilometer unna enn av å forsøke å ta seg inn på det inngjerdede området.
Hun påpekte at de samme opplysningene kunne vært beskyttet dersom de lå i en byggetegning. Når opplysningene ligger i maskinstyringen, er det ikke nødvendigvis samme kontroll med hvem som får tilgang.
Se bak merket på panseret
Det er heller ikke nok å se på produsentnavnet eller landet der maskinen er satt sammen. Sensorene, kommunikasjonsutstyret og prosessorene kan komme fra en rekke underleverandører i forskjellige land.
– Du må vite hvilke sensorer maskinen har, hvor de kommer fra, hvor de sender dataene, og hvem som har tilgang, sa Grøstad.
Det betyr ikke at entreprenører enkelt kan velge bort alle komponenter fra Kina. Selv norsk eller europeisk teknologi kan inneholde komponenter produsert andre steder.
– Vi kommer ikke rundt det. Men da må vi vite hva komponentene er, hva de gjør, hvor dataene sendes og hvem som faktisk har tilgang, la hun til.
Hun mener derfor at entreprenører som skal kjøpe maskiner må vurdere både leverandøren, teknologien og lovgivningen i landene som kan få tilgang til utstyret eller dataene.
– Du er nødt til å gjøre en geopolitisk og sikkerhetspolitisk vurdering når du kjøper maskiner, sa hun.
Samtidig er det forskjell på en liten entreprenør som planerer golfbaner eller hyttefelt, og en entreprenør som bygger regjeringsbygg, vannforsyning eller annen kritisk infrastruktur.
Grøstad understreket at mange undervurderer hvor mye verdifull informasjon som faktisk ligger i maskinstyringsdataene og andre sensordata i alt fra kompressorer til gaffeltrucker.
Vil ha maskinene inn i ROS-analysene
For en aktør som vet hva den leter etter, kan tilsynelatende uskyldige driftsdata avsløre aktivitetsmønstre, kritiske forsyningspunkter og mulige sårbarheter. Kombinert med muligheten til å fjernstyre eller stoppe maskiner kan informasjonen få betydning for både beredskap og nasjonal sikkerhet, påpekte Grøstad.
Hun etterlyser nå tydeligere krav i offentlige anskaffelser og mener maskinene må inn i virksomhetenes risiko- og sårbarhetsanalyser.
– Robusthet bygges før krisen – gjennom innkjøpene, kontraktene og den daglige driften, sa Grøstad.
