Resiliens i fastighetsnät – hur mycket avbrott ska verksamheten tåla?

Kärnfrågan är enkel: Vad slutar fungera, hur länge kan påverkan accepteras och hur återställs nätet inom den tiden?

Fastighetsnätets särart ändrar vad resiliens betyder

NIST SP 800-160 Volume 2 beskriver cyberresiliens som förmågan att förutse, motstå, återhämta och anpassa system efter störningar. Den definitionen rymmer både teknisk redundans och planerad återställning.

NIST:s vägledning för OT-säkerhet omfattar bland annat byggnadsautomation och fysisk åtkomstkontroll. Vägledningen betonar att OT har egna krav på säkerhet, tillgänglighet och den fysiska processen. Det passar fastigheter bättre än en ren datacentermodell.

En lokal undercentral eller programmerbar styrenhet kan fortsätta reglera värme och ventilation när anslutningen till ett överordnat system bryts. Nätavbrottet kan ändå slå ut larmöverföring, historik, fjärråtkomst eller den centrala operatörsbilden. Påverkan beror på systemarkitekturen och hur funktionen har provats.

För ett fastighetsnät kan resiliens därför betyda att:

• den lokala funktionen fortsätter i ett känt läge
• driftorganisationen snabbt upptäcker avbrottet
• rätt reservutrustning och konfiguration finns tillgänglig
• nätet återställs inom en beslutad tid

Kontrollera vad som faktiskt stannar

Ett kommunikationsbortfall får olika följder i olika system. Tabellen visar frågor för ett fiktivt fastighetsbestånd. Svaren måste verifieras i den verkliga anläggningen.

Ta bara med hyresgästtjänster i analysen när de använder fastighetsägarens infrastruktur eller en gemensam tjänst. En allmän formulering om att nätavbrottet drabbar hyresgäster blir annars missvisande.

Skyddsfunktioner kräver en egen kontroll

Brandtekniska och utrymningsrelaterade funktioner ska bedömas separat från vanlig driftövervakning. Boverkets aktuella regler och vägledning ställer funktionskrav på tekniska system som är viktiga för utrymning vid brand. Grundkravet är att den avsedda funktionen ska finnas kvar vid strömbortfall. Reglerna innehåller särskilda undantag för vissa funktioner. Brandteknisk kommunikation och styrning behöver också tåla brandpåverkan tills säkerhetsfunktionen har fullgjorts.

Reglerna anger funktionen som ska säkerställas. Den granskade bestämmelsen anger inte i sin ordalydelse att varje signal måste vara hårdkopplad till en I/O-modul. Hårdkopplade signaler och lokal logik är vanliga tekniska sätt att minska beroendet av ett centralt IP-nät. Valet måste följa den aktuella brandskyddsprojekteringen, systemets krav och verifierad funktion.

Den praktiska principen är tydlig. Fastighetsnätet får inte bli en dold gemensam felkälla för en skyddsfunktion som måste fungera när övrig kommunikation faller bort. En brandkonsult och berörd systemprojektör behöver bekräfta den tekniska lösningen i varje projekt.

Välj mellan lokal autonomi, snabb återställning och redundans

NIST beskriver både kall reserv, varm reserv och aktiv redundans som möjliga resiliensåtgärder. Publikationen betonar också att reservkapacitet ökar livscykelkostnaden och kan göra systemet mer komplext. Omfattningen ska därför bygga på analys av kritiska funktioner och gemensamma felkällor.

Samma resonemang fungerar väl i en fastighet:

Tekniken behöver inte få samma nivå överallt. En pragmatisk bedömning utgår från lokal funktion, verklig återställningstid och kostnaden för kvarstående risk. Prioritera de gemensamma komponenter som flera viktiga funktioner är beroende av.

Snabb återställning kan ge tillräcklig resiliens

Ett switchfel kräver inte alltid ett redundant switchpar. Om lokal automation fortsätter och organisationen kan byta switchen snabbt kan en kall reserv vara mer rimlig.

Förmågan bygger då på mer än en kartong i ett lager. Organisationen behöver ha:

• kompatibel hårdvara med rätt licenser och programvaruversion
• aktuell och kontrollerad konfigurationsbackup
• färdiga mallar för grundkonfiguration
• dokumenterade portar, VLAN, adresser och beroenden
• åtkomst till nycklar, certifikat och administratörskonton
• en provad rutin för byte, kontroll och återgång till normal drift

NIST SP 1339 rekommenderar att OT-backuper kopplas till ändringshanteringen, skapas regelbundet och provas under återställningsövningar. Det gör konfigurationsbackupen till en faktisk återställningsförmåga.

I många fastigheter kan ett sådant byte ge ett så kort avbrott att den lokala driften knappt påverkas. Den bedömningen gäller först när återställningstiden har mätts och systemens lokala beteende är känt.

Avbrottsfri kraft hjälper bara den matade kedjan

En enhet för avbrottsfri kraft (UPS) till brandväggen håller brandväggen igång. Den håller inte automatiskt resten av fastighetens funktioner igång. Om undercentraler, givare, ställdon eller operatörens utrustning saknar kraft kan nätets fortsatta drift ha begränsat värde.

Samma sak gäller trådlösa accesspunkter och annan utrustning som matas med Power over Ethernet (PoE). En UPS-matad switch kan försörja dem om switchens PoE-budget och batteritid räcker. Även uppströms brandvägg, operatörsöverlämning och mottagande tjänst måste fungera.

Att UPS-mata all aktiv utrustning kan kräva stor batterikapacitet. Investering, plats, värme, underhåll och batteribyten kan då kosta mer än den minskade avbrottstiden är värd. Dimensionera efter den funktion som ska finnas kvar och hur länge den behövs.

Fråga vad nätet ska åstadkomma när resten av fastigheten är strömlös. Svaret kan vara fortsatt larmöverföring, lokal kommunikation för vissa system eller en ordnad nedstängning. Om svaret saknas går UPS-kapaciteten inte att motivera.

Operatörsavbrottet behöver fysisk diversitet

Den externa operatörsförbindelsen kan vara en återkommande felkälla för fjärråtkomst och centrala tjänster. Två abonnemang ger ett begränsat skydd om båda fibrerna går genom samma kanalisation eller ansluter till samma nod i stadsnätet.

Begär underlag för den fysiska vägen. Där konsekvensen motiverar det kan fastigheten ta in fiber från två väderstreck och ansluta via skilda noder. Två operatörer kan sedan ge ytterligare separation, men den bakomliggande infrastrukturen måste kontrolleras.

Prova också omkopplingen. Brandväggsregler, VPN-tunnlar, namnuppslagning och externa tillåtelselistor kan göra reservförbindelsen oanvändbar trots att den är tekniskt uppe.

Sätt tidskrav innan ni väljer åtgärd

Uttrycket ”hög tillgänglighet” går inte att följa upp. Ett användbart krav anger vilken funktion som påverkas och hur snabbt den ska återställas.

Fastställ följande för varje prioriterad funktion:

• Lokalt beteende: Vad fortsätter fungera när nätet eller operatörsanslutningen försvinner?
• Acceptabel avbrottstid: När blir påverkan oacceptabel för drift, säkerhet eller avtalad tjänst?
• Återställningsmål: Hur snabbt ska nätkomponenten eller förbindelsen vara tillbaka?
• Tolererad informationsförlust: Får larm, mätvärden eller loggar saknas och hur synkroniseras de?
• Verifieringsmetod: Hur visar ni att offlinefunktion, byte eller automatisk omkoppling fungerar inom tiden?

Jämför sedan kostnaden för aktiv redundans med kostnaden för reservlager och snabb återställning. Lägg till kostnaden för provning, licenser, batteribyten och kompetens. Beslutet ska visa vilken risk som återstår efter vald åtgärd.

Börja med ett verkligt avbrottsscenario

Välj en prioriterad funktion och koppla bort ett beroende i taget under kontrollerade former. Kontrollera lokal funktion, larm, historik och återanslutning. Mät hur lång tid ett utrustningsbyte tar med reservdel och färdig konfiguration.

Resultatet visar om ni behöver dubblerad teknik, bättre reservrutiner eller tydligare krav på operatören. Det ger också ledningen ett konkret underlag för att acceptera kvarstående risk.

Attiva arbetar med nätverksarkitektur för IT och OT. Ett första uppdrag kan avgränsas till en funktion, dess beroenden och en jämförelse mellan redundans och snabb återställning.