Dojrzałość · Bezpieczeństwo infrastruktury krytycznej i przemysłowej

Bezpieczeństwo infrastruktury krytycznej i przemysłowej nie sprowadza się do cyberbezpieczeństwa sieci automatyki. Obejmuje ono segmentację pomiędzy informatyką biznesową a systemami przemysłowymi, nadzór nad zdalnymi dostępami serwisowymi, inwentaryzację sterowników i urządzeń kontrolnych, bezpieczeństwo fizyczne pomieszczeń technicznych, wykrywanie zdarzeń w sieciach OT, ciągłość i przywracanie eksploatacji, wreszcie zarządzanie dostawcami pracującymi przy liniach produkcyjnych. IEC 62443 porządkuje część dotyczącą systemów sterowania, a NIS2 oraz dyrektywa w sprawie odporności podmiotów krytycznych dodają obowiązki w zakresie governance i zgłaszania incydentów.

W praktyce zarządzanie zderza się z rzeczywistością poszczególnych lokalizacji. Instalacje różnią się generacjami sprzętu, mają okresy eksploatacji sięgające dwudziestu lat i więcej oraz rzadkie okna postojowe. Trzy pytania pozostawały bez udokumentowanej odpowiedzi w większości grup przemysłowych. Kto posiada aktualny inwentarz sterowników, falowników i stacji nadzoru i jak często jest on odświeżany? Jak otwierane, śledzone i zamykane są dostępy do telemaintenance integratorów? Co dzieje się w praktyce, gdy system nadzoru staje się niedostępny w trakcie kampanii produkcyjnej?

Warto rozwiać częste nieporozumienie: bezpieczeństwo przemysłowe i bezpieczeństwo funkcjonalne to nie to samo. Bezpieczeństwo funkcjonalne chroni ludzi i środowisko przed awarią instalacji, z własnymi wymaganiami dotyczącymi poziomów bezpieczeństwa. Bezpieczeństwo w rozumieniu tego modelu referencyjnego chroni instalację przed działaniami celowymi lub zdarzeniami zewnętrznymi. Oba obszary się przenikają, zwłaszcza gdy środek cyberbezpieczeństwa dotyka funkcji bezpieczeństwa przyrządowego, lecz mają innych aktorów i inne dowody. Wiele organizacji traktuje je w tym samym komitecie, nie rozróżniając decyzji.

Audyt zgodności kończy się stwierdzeniem binarnym: wymaganie jest spełnione albo nie. Diagnoza dojrzałości odpowiada na inne pytanie. Na jakim poziomie opanowania znajduje się każda lokalizacja, jakie jest zróżnicowanie między jednostkami biznesowymi i jakie konkretne działanie przenosi praktykę z poziomu udokumentowanego na poziom stosowany. Wynik dla każdego obszaru tematycznego oraz cel generują lukę, luka generuje plan działania, a sztuczna inteligencja grupuje te działania w priorytetyzowaną mapę drogową, przydatną również przy przygotowaniu do audytu regulacyjnego.

Model referencyjny jest gotowy do użycia w Datamensio i pozostaje w pełni adaptowalny. Dostosowują Państwo obszary tematyczne do swoich gałęzi, procesu ciągłego, produkcji dyskretnej czy sieci, a sztuczna inteligencja dopracowuje pytania i poziomy zgodnie z metodą CMMI. Może również zbudować wersję na podstawie Państwa własnych dokumentów: polityki bezpieczeństwa przemysłowego, planów stref i kanałów, specyfikacji integracyjnych.