Vyspělost · Bezpečnost kritických a průmyslových infrastruktur

Bezpečnost kritických a průmyslových infrastruktur se neomezuje na kybernetickou bezpečnost automatizačních sítí. Zahrnuje segmentaci mezi podnikovým IT a průmyslovými systémy, řízení vzdálených přístupů pro údržbu, evidenci programovatelných automatů a řídicích zařízení, fyzickou ochranu technických prostor, detekci událostí na OT sítích, kontinuitu a obnovu provozu a konečně řízení dodavatelů, kteří zasahují na výrobních linkách. IEC 62443 strukturuje část týkající se řídicích systémů, NIS2 a směrnice o odolnosti kritických subjektů přidávají povinnosti v oblasti řízení a oznamování.

V praxi naráží řízení na realitu lokalit. Zařízení mají různé generace vybavení, dobu životnosti dvacet let i více a vzácná okna pro odstávky. Tři otázky zůstávaly ve většině průmyslových skupin bez zdokumentované odpovědi. Kdo spravuje aktuální evidenci automatů, měničů a dohledových pracovišť a v jaké frekvenci se aktualizuje? Jak se otevírají, zaznamenávají a uzavírají přístupy k vzdálené údržbě integrátorů? Co se konkrétně stane, pokud se dohledový systém stane nedostupným uprostřed výrobní kampaně?

Je třeba rozptýlit častý zmatek: průmyslová bezpečnost a funkční bezpečnost se nepřekrývají. Funkční bezpečnost chrání osoby a životní prostředí před poruchou zařízení, s vlastními požadavky na úrovně bezpečnosti. Bezpečnost ve smyslu tohoto referenčního rámce chrání zařízení před úmyslnými útoky nebo vnějšími událostmi. Obě oblasti spolu komunikují, zejména pokud opatření kybernetické bezpečnosti ovlivňuje bezpečnostní přístrojovou funkci, ale nemají ani stejné aktéry, ani stejné důkazy. Řada organizací je řeší v témže výboru bez rozlišení rozhodnutí.

Audit souladu končí binárním zjištěním: požadavek je splněn, nebo není. Diagnostika vyspělosti odpovídá na jinou otázku. Na jaké úrovni zvládání se nachází každá lokalita, jaký je rozptyl mezi obchodními jednotkami a jaká konkrétní akce posune praxi z úrovně zdokumentované na úroveň uplatňovanou. Skóre podle tematické oblasti a cíl generují mezeru, mezera generuje akční plán a umělá inteligence seskupuje tyto akce do prioritizované roadmapy, znovu použitelné při přípravě regulatorního auditu.

Referenční rámec je v platformě Datamensio připraven k okamžitému použití a zároveň zůstává přizpůsobitelný. Tematické oblasti upravíte podle svých oborů, kontinuální výroba, zpracovatelský průmysl nebo sítě, a umělá inteligence zpřesňuje otázky a úrovně podle metody CMMI. Umí také sestavit vlastní variantu z vašich vlastních dokumentů: politiky průmyslové bezpečnosti, plánů zón a vedení, zadávacích dokumentací k integraci.