Maturità della sicurezza dell’ambiente OT · Tecnologia operativa
I vostri ambienti industriali collocati su una scala di maturità, con la traiettoria quantificata per farli progredire.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità della sicurezza dell’ambiente OT · Tecnologia operativa
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Quadro di maturità sicurezza OT, basato sui principi IEC 62443 e sul NIST SP 800-82 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Gli accessi di teleassistenza dei fornitori sono regolamentati e tracciati?
- N1
Nessuna regolamentazione identificata. Gli accessi remoti sono stati messi in atto nel corso dei progetti, senza censimento né monitoraggio.
- N2
I principali accessi sono conosciuti ed esiste una regola, ma la sua applicazione dipende dal sito e dal fornitore interessato.
- N3
Gli accessi sono censiti, passano da un punto di ingresso controllato e sono aperti su richiesta per un intervento identificato.
- N4
Ogni sessione è tracciata e collegata a un tecnico nominato, i diritti sono rivisti periodicamente e gli accessi inutilizzati vengono chiusi.
- N5
Le sessioni sono monitorate, gli scostamenti vengono segnalati alla sicurezza, e i requisiti sono integrati nei contratti di manutenzione e verificati a ogni rinnovo.
Azione per passare da L2 a L3
Censire con la manutenzione l’insieme degli accessi remoti sito per sito, farli convergere verso un punto di ingresso unico con apertura su richiesta, e inserire la convalida delle richieste all’ordine del giorno della riunione settimanale di manutenzione.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu OT.
Di cosa parla questo quadro di riferimento
La sicurezza OT riguarda i sistemi che pilotano processi fisici: automi programmabili, SCADA, DCS, sensori, reti di campo, postazioni di ingegneria, accessi di teleassistenza. Le sue priorità non sono quelle dell’informatica gestionale. La disponibilità e l’integrità del processo vengono prima della riservatezza, i cicli di vita delle apparecchiature si contano in decine di anni, e un aggiornamento non si distribuisce un martedì sera. I quadri di riferimento del settore, IEC 62443 sul lato industriale e NIST SP 800-82 come guida di implementazione, descrivono la segmentazione in zone e condotti, la gestione degli accessi, il monitoraggio e la risposta agli incidenti.
In pratica, il governo si scontra con tre domande semplici e raramente risolte. L’inventario delle apparecchiature connesse è completo, o ricostruito a memoria dal team manutenzione? La rete industriale è realmente segmentata dalla rete d’ufficio, o separata da un firewall di cui nessuno rilegge più le regole? Gli accessi di teleassistenza dei fornitori sono tracciati e revocati, o aperti in permanenza dalla messa in servizio della linea? A questo si aggiunge la ripartizione delle responsabilità tra la direzione industriale, la manutenzione e la direzione dei sistemi informativi, spesso implicita.
La convergenza IT/OT ha cambiato le carte in tavola. I progetti di industria connessa, il flusso di dati di produzione verso il cloud e la manutenzione predittiva hanno aperto ambienti concepiti per essere isolati. Torna spesso una confusione: applicare tale e quale la base di sicurezza informatica agli stabilimenti. L’antivirus su una postazione di supervisione con sistema operativo obsoleto, la patch mensile su un automa in servizio continuo, l’autenticazione forte su un pannello condiviso da tre squadre in turno, nessuna di queste misure si trasferisce senza un arbitrato con la produzione.
La diagnosi di maturità risponde a una domanda diversa da quella di un audit tecnico. L’audit constata una vulnerabilità su un’apparecchiatura in un dato momento. La diagnosi colloca le vostre pratiche su una scala progressiva, ambito per ambito, e indica quale azione fa passare al livello successivo. Rende inoltre i siti comparabili tra loro: uno stabilimento recente e un sito acquisito tramite acquisizione non partono dallo stesso punto, e il piano d’azione non può essere lo stesso.
In Datamensio, il quadro di riferimento è pronto all’uso e ne mantenete il controllo. L’IA adatta gli ambiti, le domande e i livelli al vostro contesto industriale, oppure costruisce una declinazione a partire dalle vostre politiche e dai vostri standard di ingegneria. Su un parco di più siti, raggruppa gli scostamenti in una roadmap prioritizzata piuttosto che in un elenco di azioni sito per sito.
Norma di riferimento: Quadro di maturità sicurezza OT, basato sui principi IEC 62443 e sul NIST SP 800-82
Gli ambiti valutati
Governance e responsabilità OT
Politica di sicurezza applicabile agli ambienti industriali, ripartizione dei ruoli tra produzione, manutenzione e sistemi informativi, arbitrato delle eccezioni, risorse dedicate.
Inventario degli asset industriali
Censimento degli automi, supervisioni, postazioni di ingegneria e apparecchiature di rete, criticità per il processo, versioni di firmware, aggiornamento dell’inventario.
Architettura di rete e segmentazione
Suddivisione in zone e condotti, separazione tra rete industriale e d’ufficio, punti di passaggio controllati, mappatura dei flussi, gestione delle apparecchiature wireless.
Gestione degli accessi e degli account
Account condivisi sui pannelli, account costruttori e password predefinite, diritti degli integratori, revisione periodica delle autorizzazioni.
Accessi remoti e interventi fornitori
Modalità di teleassistenza, attivazione su richiesta, tracciabilità delle sessioni, clausole di sicurezza nei contratti di manutenzione, gestione dei supporti removibili.
Gestione delle vulnerabilità e delle patch
Monitoraggio sulle apparecchiature in servizio, finestre di aggiornamento compatibili con la produzione, misure compensative sui sistemi non correggibili, test prima della distribuzione.
Rilevamento e monitoraggio
Log delle apparecchiature industriali, sonda di monitoraggio rete, rilevamento delle modifiche ai programmi automi, invio a un monitoraggio sicurezza.
Risposta agli incidenti e ripristino
Procedure adattate al processo, modalità degradata, backup dei programmi e delle configurazioni, test di ripristino, esercitazioni che coinvolgono produzione e sicurezza.
Sicurezza nei progetti e nel ciclo di vita
Requisiti di sicurezza nei capitolati, collaudo degli impianti nuovi, gestione delle apparecchiature a fine supporto, dismissione.
Cultura e competenze
Sensibilizzazione dei team in turno, formazione degli automatisti, conoscenza delle consegne da parte dei fornitori, ritorni di esperienza dopo un incidente.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
In cosa questa diagnosi differisce da un audit tecnico dei miei impianti?
Un audit tecnico rileva vulnerabilità su apparecchiature precise, in un dato momento. La diagnosi misura la maturità delle vostre pratiche: inventario, segmentazione, gestione degli accessi, risposta agli incidenti. I due si completano, con la diagnosi che indica su quali cantieri impegnare le risorse.
Bisogna fermare la produzione per realizzare la valutazione?
No. La diagnosi si basa su domande di pratiche e organizzazione, compilate dai team presenti. Non è necessaria alcuna connessione ai sistemi industriali, non viene effettuata alcuna scansione di rete.
Questo quadro di riferimento prepara a una certificazione IEC 62443?
Datamensio misura la maturità e prepara, non certifica. La diagnosi riprende i principi strutturanti del settore, in particolare la logica di zone e condotti e la gestione degli accessi, e vi posiziona prima di avviare un percorso formale con un organismo.
Quanto tempo richiede la valutazione?
La versione breve si compila in una sessione di lavoro. La versione completa, in modalità collaborativa con manutenzione, automazione e sistemi informativi, si estende generalmente su una o due settimane, con la maggior parte del tempo dedicata alla raccolta presso i siti.
Si possono confrontare più stabilimenti tra loro?
Sì. Lo stesso quadro di riferimento viene diffuso a ogni sito e i punteggi sono comparabili per ambito, così come nel tempo rispetto alle vostre precedenti valutazioni. Una roadmap trasversale consolida gli audit in un piano unico piuttosto che in un elenco per sito.
Si può adattare il quadro di riferimento al nostro settore?
Sì. Potete modificare le domande, i livelli e gli ambiti, aggiungere le specificità dei vostri processi, o partire dai vostri standard di ingegneria. L’IA costruisce quindi una declinazione a partire dai vostri documenti, che validate prima della pubblicazione.
Chi deve rispondere alle domande?
Le domande riguardano le pratiche, non le configurazioni. Un responsabile manutenzione, un automatista o un referente sicurezza vi risponde. La modalità collaborativa permette di assegnare ogni domanda alla persona che detiene l’informazione.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.