Assessing Current Measures and Proposing Actions for Smart Building Security

Abstract

Smarte bygninger er en voksende trend i eiendomsbransjen, og kompleksiteten til disse bygningene øker samtidig som IT- og OT-miljøene konvergerer. Dette skaper utfordringer for informasjonssikkerheten, da aktører i bransjen mangler kompetanse til å planlegge, implementere, drifte og vedlikeholde byggteknologi på en sikker måte. Dette forskningsprosjektet har som mål å vurdere aktørers nåværende tilnærming til informasjonssikkerhet i konstruksjonsprosjekter for smarte bygninger og å foreslå metoder eller tiltak som kan redusere potensielle utfordringer.

Studien bruker en kvalitativ design, der forskeren vil bruke dybdeintervjuer som hovedmetode for datainnsamling. Forhåndsdefinerte interessenter som var involvert enten i planlegging, implementering, drift eller vedlikehold av tilkoblede systemer i smarte bygg, ble rekruttert. Ved å analysere deltakernes svar fra intervjuene, ble de bli kategorisert som "nåværende utfordringer", "nåværende tiltak", "fremtidige utfordringer" og "foreslåtte løsninger".

Resultatene indikerer at smarte byggeprosjekter har manglende systematiske tilnærminger til risikostyring og planlegging av systemimplementasjoner når det kommer til informasjonssikkerhet. Resultatene peker også til at aktørene i byggebransjen ikke klarer å tilpasse seg fort nok til den økte kompleksiteten som smarte bygg innebærer. Dette har ført til at systemer ikke blir implementert med tilstrekkelige sikkerhetsmekanismer. Videre fører mangelen på planlegging for drift og vedlikehold av bygningene til utilstrekkelig samarbeid mellom interessenter som er ansvarlige for denne fasen. For å løse disse utfordringene, foreslås metoder som er delt inn i tre kategorier: Nasjonale og bransjeløsninger, foreslåtte tiltak for byggherrer og teknologiske løsninger. For øyeblikket må byggherrene selv sørge for at informasjonssikkerhet blir en større del av deres byggeprosjekter, og at relevante interessenter er samstemte og etablerer driftsprosedyrer som tillater sikker drift og vedlikehold.

Smart buildings are a growing market trend in the real estate industry and the complexity of these buildings increase at the same time as Information Technology (IT) and Operational Technology (OT) environments are converging. This pose a challenge for information security as stakeholders in the industry are lack- ing the competence to plan, implement, operate and maintain building techno- logy in a secure manner. This research project aims to assess the current state of stakeholders approach to information security in construction projects of smart buildings and to propose methods or measures that can mitigate potential chal- lenges.

The study is using a qualitative design, using in-depth interviews as the primary method for collecting data. Predefined stakeholders that were involved in either planning, implementation, operation or maintaining connected systems in smart buildings were recruited. By analysing the participants answers from the inter- views, answers would be categorized into "current challenges", "current meas- ures", "future challenges" and "proposed solutions"

The findings indicate that smart building projects lack systematic approaches to risk management and insufficient planning of system implementation when it comes to information security. Furthermore, stakeholders in construction projects are seemingly not able to adapt fast enough to the increased complexity that smart buildings require. This has lead to systems not being implemented with adequate security controls. Also, the lack of planning for the operation and maintenance of the buildings leads to inadequate alignment of stakeholders being responsible for this phase. To solve these challenges, methods are proposed that are divided into three categories: national and industry solutions, proposed actions for the project owners and technological solutions. In general, the project owners need to address information security in early stages of construction projects and facilitate alignment between stakeholders when it comes to implementing security meas- ures, as well as planning for operation and maintenance with information security in mind.