| dc.description.abstract | Sammendrag (norsk)
Kraftforsyningen i Norge er en kritisk samfunnsfunksjon som opplever en økende grad av digitalisering i sin kritiske infrastruktur. Dagens trusselbilde tilsier at kraftforsyningen, i likhet med andre kritiske samfunnsfunksjoner og infrastrukturer, er spesielt sårbare i møte med cybertrusler. Slike trusler er noe som virksomheter i kraftsektoren burde ha tatt en vurdering på både i henhold til lovkrav og dagens beredskapssituasjon i sektoren. Målet med oppgaven har vært å se hvordan virksomheter, henholdsvis to nettselskaper og to produksjonsselskaper, arbeider med prinsippene i Resilience Engineering (RE) og opprettholde driftskontinuitet gjennom et eventuelt cyberangrep på sektorens digitale systemer (SCADA). Oppgaven har dermed, gjennom et spesifikt scenario om cyberangrep, svart på problemstillingen «hvordan kan prinsippene for Resilience Engineering og opprettholdelsen av driftskontinuitet benyttes til å forbedre forsyningssikkerheten hos aktører i kraftforsyningen på et systemnivå?». Problemstillingen har blitt sett nærmere på gjennom RE-prinsippene: overvåke, forutse, respondere og lære, samt en forståelse av driftskontinuitet.
Vi har gjennomført en «Mixed Methods Approach» (MMA) hvor vi har benyttet oss av dokumentanalyse, gruppeintervjuer og en spørreundersøkelse. Vi har brukt Viable System Model (VSM) som et metodisk rammeverk for oppgaven for å kartlegge kraftforsyningen som helhetlig levedyktig system. Spørreundersøkelsen har vært en kartlegging av virksomhetenes generelle resiliens og er utformet ved hjelp av Resilience Analysis Grid (RAG). Gjennom gruppeintervjuene har vi undersøkt hvor resiliente virksomhetene er i møte med scenarioet vi har beskrevet og sett på dette opp mot resultatene fra spørreundersøkelsen.
Oppgavens hovedfunn har blitt presentert som tre diagnostiske problem utarbeidet ved hjelp av VSM. Det blir presentert løsninger på problemene gjennom oppgavens teoretiske grunnlag. Det første diagnostiske problemet omhandler mangelfull koordinering og samarbeid mellom nett- og produksjonsselskaper. Det andre diagnostiske problemet viser til en manglende kunnskap og erfaring rundt cyberangrep. Det tredje diagnostiske problemet baserer seg på nett- og produksjonsselskapenes prioriteringer av produksjonsmål vs. sikkerhetsmål. Forslagene viser til at virksomhetene burde ta i bruk prinsippene i RE og driftskontinuitet for å bli mer resiliente i møte med cybertrusler. I praksis ser vi at RE prinsippene kan anvendes i en praktisk tilnærming for å gjøre virksomhetene mer resiliente. Det vil nærmere bety at virksomhetene klarer å justere sine funksjoner både før, under og etter forstyrrelser og på den måten klarer å opprettholde nødvendige funksjoner i koordineringer med nødvendige aktører.
Abstract (english)
The Norwegian power supply is a crucial component of a society where digitalization is becoming more pervasive in critical infrastructure. The threat image for today indicates how vulnerable the power supply is to cyber threats, along with other critical functions of society and infrastructures. Actors in the power sector should have evaluated these dangers considering the sector's existing state of emergency situation as well as statutory obligations. The thesis's objective was to determine how the actors, two network companies and two production companies, utilize the principles of Resilience Engineering (RE), and maintain business continuity trough a potential cyberattack on the sector’s digital system (SCADA). Therefore, the purpose of this thesis was to address the following problem statement, "How can the principles of Resilience Engineering and business continuity of operations be used to strengthen the continuity of the (power) supply at a systemic level?", utilizing the description of a cyberattack scenario. The principles of RE: monitor, anticipate, respond, and learn, have been used to examine the problem in greater detail along with knowledge of business continuity.
Using a "Mixed Methods Approach" (MMA), we conducted a survey, group interviews, and a document analysis. As a methodological framework for the purpose of mapping the power supply as a viable system, we utilized the Viable system model (VSM). The survey was created with the guidance of Resilience analysis grid (RAG) and served as a mapping of the actors' overall resilience. We have looked at the actors' resilience considering the scenario we have outlined through group interviews, taking the survey results into consideration.
Three diagnostic problems have been described applying the VSM to represent the findings. The theoretical underpinning of the thesis provides solutions to the issues. The first diagnostic problem relates to an inadequate coordination and cooperation within the network and production companies. Lack of information and experience about cyber threats is the subject of the second diagnostic problem. The third diagnostic problem entails the companies’ prioritization of production measures above safety measures. Recommendations suggest that for companies to be more resilient when faced with cyber threats, they should implement the RE and business continuity principles. The application of the RE principles in practice can be linked to an increase of corporate resilience. This indicates that the actors have the flexibility to modify their functions before, during, and after disturbances and thus carry out the required tasks in collaboration with the required parties. | |
