Vilken information behöver ni när en incident påverkar produktionen – och går den fortfarande att nå då? I sin föreläsning hos oss på Plantvision Technology Insight 2026, knöt Ann-Sofi Fagerström och Marcus Skymne ihop processindustrins säkerhetsarbete med cybersäkerhet i OT-miljöer. Deras gemensamma budskap var att anläggningens data behöver stödja hela förloppet: förebygga händelser, ge beslutsunderlag när något inträffar och göra det möjligt att förstå orsaken och förhindra en upprepning.
Se konsekvensen i produktionen
En incident kan börja med ett utrustningsfel, ett oavsiktligt agerande eller ett cyberangrepp. Orsakerna skiljer sig åt, men följderna kan mötas i samma kontrollrum: förlorad överblick, påverkan på produktionen eller svårigheter att stänga ned anläggningen säkert. Föreläsningen placerade därför incidentberedskapen i ett bredare sammanhang än skyddet av enskilda system. Ytterst handlar den också om att undvika skador på människor och miljö.
Processäkerhet och OT-säkerhet behöver ses tillsammans med den verksamhet de ska skydda. Automation, nätverk och fysiska komponenter samverkar i produktionen. Om de behandlas som separata frågor riskerar beredskapen att missa beroenden som blir avgörande när en händelse eskalerar.
Använd data för att upptäcka avvikelser tidigare
Anläggningen har redan flera källor till relevant information. Styrsystem, processhistorik, brand- och gasdetektorer, underhållssystem, kraftförsörjning och inpasseringssystem bidrar med olika delar av lägesbilden. Förändringar i tryck, temperatur, nivå, flöde eller vibrationer kan ge operatörerna möjlighet att agera innan en avvikelse får allvarliga konsekvenser.
Här fick prediktivt underhåll en tydlig säkerhetsdimension. Att upptäcka tecken på ett kommande haveri kan minska underhållskostnader, men också förebygga olyckor. I föreläsningens exempel från raffinaderier kan ett pumphaveri leda till läckage av het olja under tryck och därmed brand. Samma data som stödjer underhållsarbetet kan alltså vara viktig för att skydda anläggningen.
På nätverkssidan fyller loggar och trafikövervakning en motsvarande funktion. När normalläget är känt blir ovanliga inloggningar och förändrade trafikmönster lättare att upptäcka. Kartläggning av tillgångar och kommunikation ger också underlag för segmentering och för att identifiera sårbarheter som behöver åtgärdas. Informationen får värde både genom det den avslöjar idag och det den hjälper verksamheten att förbereda sig för.
Öva på vad som händer när överblicken försvinner
Föreläsningen lyfte scenarioarbete som en länk mellan riskanalys och praktisk beredskap. Vilka händelser kan få störst konsekvenser i den egna anläggningen? Vilka resurser krävs, hur behöver personalen agera och vad behövs för att återgå till produktion? Processdata och kunskap om exempelvis lagrade produkter kan göra scenarierna konkreta och stödja planeringen tillsammans med räddningstjänsten.
Samma arbetssätt kan användas för cyberincidenter. Ett exempel var ransomware i kontrollrummet: hur agerar organisationen om operatörerna inte längre ser vad som händer? Övningen behöver omfatta både tekniken och samspelet mellan dem som ansvarar för systemen och dem som ansvarar för produktionen.
Ett särskilt tydligt medskick var att knyta ansvar till roller, inte till enskilda personer. Beredskapen ska fungera även när någon är sjuk, på semester eller har slutat. Roller, kontaktvägar och ägandeskap behöver vara kända innan incidenten kräver snabba beslut.
Ge kontrollrum och krisledning en gemensam lägesbild
I en pågående incident kan mycket information finnas tillgänglig utan att den är lätt att använda. Operatörer som behöver leta mellan många skärmbilder får svårare att snabbt skapa överblick. Föreläsningen visade hur ett på förhand utvalt underlag kan samlas i en gemensam vy för kontrollrum och krisledning.
En sådan lägesbild kan förena en områdeskarta med kritiska processvärden, kamerabilder, väderinformation, aktiva larm och status på säkerhets- och kraftsystem. Vilka uppgifter som behövs beror på verksamhetens risker. I en anläggning med risk för gasutsläpp kan vindriktning vara avgörande; vid en brand kan information om produkt och mängd stödja räddningsinsatsen. Poängen är att välja det som behövs för beslut, utifrån den egna anläggningen.
Även larm från OT-miljön kan bidra till kontrollrummets överblick. Operatörerna behöver förstå informationen och veta vem de ska kontakta, samtidigt som hanteringen sker tillsammans med rätt specialister. En teknisk åtgärd, exempelvis att stänga av en dator, måste bedömas utifrån vad den innebär för produktionen. Därför behöver IT, OT och drift kunna samordna sina beslut.
Säkra underlaget för återstart och lärande
Beredskapen behöver också besvara frågan om var den kritiska informationen finns under själva incidenten. Om underlaget påverkas tillsammans med övriga system blir det svårare att avgöra vad som hänt och när verksamheten kan återgå till produktion. Att ett system fungerar igen är inte i sig ett svar på om hotet finns kvar någon annanstans.
Efter händelsen bidrar larmhistorik, processvärden, operatörsåtgärder och kommunikationsloggar till att rekonstruera förloppet. Tillsammans med intervjuer och andra iakttagelser ger de underlag för att förstå grundorsaken. Resultatet kan peka mot förändrade rutiner, tekniska åtgärder eller andra förbättringar. På cybersäkerhetssidan hjälper motsvarande analys till att förstå hur ett hot kom in, hur det förflyttade sig och vad som behöver åtgärdas inför återgång till produktion.
Börja med det ni behöver kunna besluta
Ett konkret nästa steg, utifrån föreläsningens medskick, är att välja ett kritiskt scenario och gå igenom vilken information som krävs före, under och efter händelsen. Var finns den idag? Kan ansvariga nå den när systemen är påverkade? Vem fattar vilka beslut? En gemensam övning kan synliggöra både informationsluckor och otydliga ansvarsförhållanden.
Föreläsningens samlade poäng var att data, ansvar och samarbete behöver hänga ihop. Processindustrins erfarenheter av riskanalys och beredskap kan stärka arbetet med OT-säkerhet, medan nätverks- och systeminformation kan komplettera förståelsen av anläggningen. Tillsammans ger de bättre förutsättningar att upptäcka, hantera och lära av incidenter.
Vill ni resonera om hur beredskapen fungerar i er anläggning? Vi pratar gärna vidare om de situationer ni vill vara bättre förberedda för och den information ni behöver för att kunna agera. Hör av er, så tittar vi tillsammans på var ett första steg skulle göra mest nytta.