Maturitatea securității mediului OT · Tehnologie operațională
Mediile dumneavoastră industriale poziționate pe o scară de maturitate, și traiectoria cuantificată pentru a le face să progreseze.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitatea securității mediului OT · Tehnologie operațională
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Cadru de maturitate securitate OT, bazat pe principiile IEC 62443 și NIST SP 800-82 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care leagă cele două) este cel care transformă o constatare într-o traiectorie.
Accesele de telementenanță ale furnizorilor sunt încadrate și urmărite?
- N1
Nicio încadrare identificată. Accesele la distanță au fost instalate pe parcursul proiectelor, fără recensământ sau urmărire.
- N2
Principalele accese sunt cunoscute și există o regulă, dar aplicarea sa depinde de sit și de furnizorul vizat.
- N3
Accesele sunt recenzate, trec printr-un punct de intrare controlat și sunt deschise la cerere pentru o intervenție identificată.
- N4
Fiecare sesiune este urmărită și atribuită unui intervenient numit, drepturile sunt revizuite periodic și accesele neutilizate sunt închise.
- N5
Sesiunile sunt supravegheate, abaterile sunt transmise securității, iar cerințele sunt integrate în contractele de mentenanță și verificate la fiecare reînnoire.
Acțiune pentru a trece de la N2 la N3
Recenzați împreună cu mentenanța ansamblul acceselor la distanță sit cu sit, faceți-le să convergă către un punct de intrare unic cu deschidere la cerere, și înscrieți validarea cererilor pe ordinea de zi a ședinței săptămânale de mentenanță.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe OT.
Despre ce vorbește acest cadru de referință
Securitatea OT privește sistemele care pilotează procese fizice: automate programabile, SCADA, DCS, senzori, rețele de teren, posturi de inginerie, accese de telementenanță. Prioritățile sale nu sunt cele ale informaticii de gestiune. Disponibilitatea și integritatea procesului trec înaintea confidențialității, ciclurile de viață ale echipamentelor se măsoară în zeci de ani, iar o actualizare nu se instalează marți seara. Cadrele de referință ale domeniului, IEC 62443 pe partea industrială și NIST SP 800-82 ca ghid de implementare, descriu segmentarea în zone și canale, gestionarea accesului, supravegherea și răspunsul la incidente.
În practică, pilotarea se lovește de trei întrebări simple și rareori tranșate. Inventarul echipamentelor conectate este complet, sau reconstituit din memorie de către echipa de mentenanță? Rețeaua industrială este cu adevărat segmentată de rețeaua de birou, sau separată printr-un firewall ale cărui reguli nu mai sunt recitite de nimeni? Accesele de telementenanță ale furnizorilor sunt urmărite și revocate, sau deschise permanent de la punerea în funcțiune a liniei? La aceasta se adaugă repartizarea responsabilităților între direcția industrială, mentenanță și direcția sistemelor de informație, adesea implicită.
Convergența IT/OT a schimbat datele problemei. Proiectele de industrie conectată, trimiterea datelor de producție către cloud și mentenanța predictivă au deschis medii concepute pentru a fi izolate. O confuzie revine adesea: aplicarea ca atare a soclului de securitate informatică asupra atelierelor. Antivirusul pe un post de supraveghere cu sistem de operare depășit, corecția lunară pe un automat în funcțiune continuă, autentificarea puternică pe un pupitru partajat de trei echipe în ture, niciuna dintre aceste măsuri nu se transpune fără un arbitraj cu producția.
Diagnosticul de maturitate răspunde la o întrebare diferită de cea a unui audit tehnic. Auditul constată o vulnerabilitate pe un echipament la un moment dat. Diagnosticul poziționează practicile dumneavoastră pe o scară progresivă, domeniu tematic cu domeniu tematic, și indică ce acțiune permite trecerea la nivelul următor. De asemenea, face siturile comparabile între ele: o uzină recentă și un sit preluat printr-o achiziție nu pornesc din același punct, iar planul de acțiune nu poate fi același.
În Datamensio, cadrul de referință este gata de utilizare și păstrați controlul asupra lui. IA ajustează domeniile tematice, întrebările și nivelurile la contextul dumneavoastră industrial, sau construiește o adaptare pornind de la politicile și standardele dumneavoastră de inginerie. Pe un parc de mai multe situri, aceasta regrupează decalajele într-o foaie de parcurs prioritizată mai degrabă decât într-o listă de acțiuni sit cu sit.
Standard de referință: Cadru de maturitate securitate OT, bazat pe principiile IEC 62443 și NIST SP 800-82
Domeniile tematice evaluate
Guvernanță și responsabilități OT
Politica de securitate aplicabilă mediilor industriale, repartizarea rolurilor între producție, mentenanță și sisteme de informație, arbitrarea excepțiilor, resurse dedicate.
Inventarul activelor industriale
Recensământul automatelor, supravegherilor, posturilor de inginerie și echipamentelor de rețea, criticitatea pentru proces, versiunile de firmware, actualizarea inventarului.
Arhitectură de rețea și segmentare
Împărțirea în zone și canale, separarea între rețeaua industrială și cea de birou, puncte de trecere controlate, cartografierea fluxurilor, gestionarea echipamentelor fără fir.
Gestionarea acceselor și a conturilor
Conturi partajate pe pupitre, conturi ale constructorilor și parole implicite, drepturile integratorilor, revizuirea periodică a abilitărilor.
Accese la distanță și intervenții ale furnizorilor
Modalitățile de telementenanță, activarea la cerere, trasabilitatea sesiunilor, clauzele de securitate din contractele de mentenanță, gestionarea suporturilor amovibile.
Gestionarea vulnerabilităților și a corecțiilor
Supravegherea echipamentelor în funcțiune, ferestre de actualizare compatibile cu producția, măsuri compensatorii pe sistemele necorectabile, teste înaintea implementării.
Detectare și supraveghere
Jurnalizarea echipamentelor industriale, sondă de supraveghere a rețelei, detectarea modificărilor programelor automatelor, transmiterea către o supraveghere de securitate.
Răspunsul la incidente și recuperarea
Proceduri adaptate procesului, mod degradat, salvări ale programelor și configurațiilor, teste de restaurare, exerciții care implică producția și securitatea.
Securitate în proiecte și ciclul de viață
Cerințe de securitate în caietele de sarcini, recepția instalațiilor noi, gestionarea echipamentelor la finalul suportului, decomisionare.
Cultură și competențe
Sensibilizarea echipelor în ture, formarea automatiștilor, cunoașterea consemnelor de către prestatori, bilanțuri de experiență după incident.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Prin ce diferă acest diagnostic de un audit tehnic al instalațiilor dumneavoastră?
Un audit tehnic relevă vulnerabilități pe echipamente precise, la un moment dat. Diagnosticul măsoară maturitatea practicilor dumneavoastră: inventar, segmentare, gestionarea acceselor, răspunsul la incidente. Cele două se completează, diagnosticul indicând pe ce șantiere să angajați mijloacele.
Trebuie oprită producția pentru a realiza evaluarea?
Nu. Diagnosticul se bazează pe întrebări privind practicile și organizarea, completate de echipele existente. Nicio conectare la sistemele industriale nu este necesară, niciun scanare de rețea nu este realizată.
Acest cadru de referință pregătește pentru o certificare IEC 62443?
Datamensio măsoară maturitatea și pregătește, nu certifică. Diagnosticul preia principiile structurante ale domeniului, în special logica de zone și canale și gestionarea acceselor, și vă poziționează înainte de a angaja un demers formal cu un organism.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o sesiune de lucru. Versiunea completă, în mod colaborativ cu mentenanța, automatizarea și sistemele de informație, se întinde în general pe una până la două săptămâni, cea mai mare parte a timpului fiind consacrată colectării de la situri.
Se pot compara mai multe uzine între ele?
Da. Același cadru de referință este difuzat fiecărui sit, iar scorurile sunt comparabile pe domeniu tematic, precum și în timp față de evaluările dumneavoastră anterioare. O foaie de parcurs transversală consolidează auditurile într-un plan unic mai degrabă decât într-o listă pe sit.
Se poate adapta cadrul de referință la sectorul nostru?
Da. Puteți modifica întrebările, nivelurile și domeniile tematice, puteți adăuga particularitățile proceselor dumneavoastră, sau puteți porni de la propriile standarde de inginerie. IA construiește atunci o adaptare pornind de la documentele dumneavoastră, pe care o validați înaintea publicării.
Cine trebuie să răspundă la întrebări?
Întrebările privesc practicile, nu configurațiile. Un responsabil de mentenanță, un automatist sau un corespondent de securitate răspunde la ele. Modul colaborativ permite atribuirea fiecărei întrebări persoanei care deține informația.
Unde sunt găzduite datele?
În Franța, la OVH, cu salvare la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA mobilizate pot fi selectate, inclusiv dintre soluții europene.