A Gap Analysis of Implemented Barriers and Recommended Best Practices in Oil and Gas Cyber Security

Den økte bruken av informasjonsteknologi (IT) i industrielle styringssystemer (ICS) utsetter ICS for tidligere ukjente trusler. Følgelig har cybersikkerhet blitt en del av barrierestyringen som er ansvarlig for å ivareta helse, sikkerhet og miljø (HMS) på norsk kontinentalsokkel. De sofistikerte cyberangrepene, Stuxnet, Industroyer og Trisis, har vist at trusselaktører målrettet angriper ICS. Med et trusselbilde der sofistikerte trusselaktører er i stand til å forstyrre olje- og gassinstallasjoner gjennom cyberangrep, er det følgelig behov for å forstå hvordan installasjoner på norsk sokkel bør beskyttes mot cyberangrep. Denne masteroppgaven tar sikte på å bestemme hvordan implementerte cybersikkerhetsbarrierer på norsk sokkel er i samsvar med utvalgte veiledninger for cybersikkerhet i industrielle styringssystemer. For å svare på problemstillingen ble en gap-analyse gjennomført mellom de implementerte cybersikkerhetsbarrierene hos en operatør på norsk kontinentalsokkel, og tre utvalgte veiledninger for cybersikkerhet i industrielle styringssystemer. Gap-analysen ble gjennomført som en case-studie av en enkelt virksomhet hvor virksomhetens dokumentasjon av cybersikkerhetsbarrierer dannet grunnlaget for gap-analysen. De tre utvalgte veiledningene var NIST Cybersecurity Framework, Center for Internet Security (CIS) Controls, og IEC 62443 3-3. I tillegg ble fem utvalgte barrierer med identifiserte gap diskutert i detalj. Masteroppgaven inkluderer også et litteratursøk som ble brukt til å utforme et trusselbilde for norsk kontinentalsokkel. Gap-analysen viser at de interne kravene til barrierer i virksomheten dekker 53 av 108 (49%) subkategorier i NIST CSF, 46 av 190 subkontroller (24%) i CIS Controls, og 20 av 51 (39%) systemkrav i IEC 62443 3-3. Disse tre resultatene viser signifikante gap mellom de implementerte cybersikkerhetsbarrierene og tiltakene som foreslås i de tre veiledningene. Av den grunn konkluderer masteroppgaven med at dokumentasjonen av virksomhetens cybersikkerhetsbarrierer ikke samsvarer fullt ut med de anbefalinger som presenteres i de tre veiledningene. Videre, ved å undersøke de fem barrierene med identifiserte gap, konkluderes det med at cybersikkerhetsbarrieremodellen bør oppdateres. Følgelig er det behov for videre forskning for å lage en komplett cybersikkerhetsbarrieremodell tilpasset anbefalingene fra veiledninger for cybersikkerhet i industrielle styringssystemer