Uppkopplad teknik måste vara byggd för att hålla. Också när hoten förändras.

Allt fler produkter och system kopplas upp mot internet. Men vad händer när en säkerhetsbrist upptäcks flera år efter att produkten har tagits i drift? För Jemac handlar cybersäkerhet inte bara om att skydda tekniken från början, utan om att kunna ta ansvar för den över tid.

Efter cyberattacken mot matbutikers kyl- och fryssystem intervjuades Jemacs vd, Daniel Larsson, av SVT Nyheter Småland om säkerhetsriskerna med uppkopplad teknik.

Bilar, laddboxar, värmepumpar, ventilationssystem och industriella styrsystem är bara några exempel på teknik som i dag kommunicerar med omvärlden. Uppkopplingen skapar stora möjligheter, men innebär också nya risker.

I intervjun lyfte Daniel vikten av att bygga in säkerheten redan när systemen utvecklas och att ansvaret behöver delas mellan tillverkare, leverantörer och användare.

Men det finns ytterligare en dimension. Vad händer med säkerheten efter att produkten har levererats?

Säkerheten måste kunna följa med

En uppkopplad produkt kan fungera precis som den ska när den levereras. Men nya sårbarheter kan upptäckas långt senare. Då behöver det finnas möjlighet att åtgärda problemen utan att hela systemet behöver bytas ut.

Ett konkret exempel är fjärruppdatering av firmware, den programvara som styr produktens funktioner.

Genom att bygga in möjligheten till säkra uppdateringar på distans kan sårbarheter åtgärdas även i produkter som redan är installerade och i bruk. Det minskar behovet av att fysiskt samla in eller byta ut stora mängder hårdvara.

För Jemac är möjligheten att underhålla och uppdatera produkten en viktig del av utvecklingsarbetet.

Säkerhet är ett konstruktionsbeslut

Att bygga säker uppkopplad teknik handlar om en rad tekniska val. Säker kommunikation, hantering av certifikat och kryptografiska nycklar, signerad firmware och verifiering mot relevanta säkerhetskrav är några av de områden som Jemac arbetar med.

De behöver finnas med från början.

Men arbetet slutar inte när produkten lämnar utvecklingsavdelningen. Säkerheten behöver kunna upprätthållas när nya sårbarheter upptäcks, tekniken vidareutvecklas och omvärldens krav förändras.

Kontroll handlar också om att kunna välja

En annan viktig fråga är hur beroende kunden blir av en specifik leverantör eller en specifik teknisk lösning.

Uppkopplade system består ofta av flera delar: hårdvara, kommunikation, operatörer, bakomliggande system och olika integrationer. När dessa delar är alltför hårt sammanbundna kan förändringar bli både kostsamma och komplicerade.

Jemac arbetar därför med modulära lösningar där kunden, beroende på produkt och tillämpning, kan välja exempelvis kommunikationssätt, operatör, backend och integrationer.

Målet är att ett byte av en komponent eller tjänst inte ska kräva att hela lösningen byggs om.

Leverantörsoberoende är inte i sig en garanti för bättre cybersäkerhet. Men det kan ge kunden större handlingsfrihet och bättre förutsättningar att hantera förändringar, tekniska beroenden och framtida krav.

Tekniken måste fungera även i morgon

Uppkopplade produkter blir en allt större del av vår vardag, vår industri och vår samhällsinfrastruktur. Därför behöver vi ställa krav som sträcker sig längre än bara funktionerna vid leverans.

Hur ska produkten uppdateras? Vem ansvarar för säkerheten? Vad händer om en leverantör byts ut? Vilka möjligheter har kunden att anpassa lösningen när behoven förändras?

För Jemac är de frågorna en naturlig del av ingenjörsarbetet.

För det räcker inte att utveckla teknik som fungerar i dag. Den måste vara byggd för att fungera även i morgon.

Daniel Larsson, vd för Jemac, intervjuades av SVT Nyheter Småland i samband med cyberattacken mot matbutikers kyl- och fryssystem. [Se SVT:s reportage här.]