Zrelost · Varnost kritičnih in industrijskih infrastruktur
Varnost vaših industrijskih obratov, izmerjena lokacijo za lokacijo in prevedena v ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost · Varnost kritičnih in industrijskih infrastruktur
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Okvir varnosti kritičnih in industrijskih infrastruktur (IEC 62443, NIS2, direktiva REC) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, naslednja raven in ukrep, ki ju povezuje) spremeni ugotovitev v razvojno pot.
Ali so oddaljeni dostopi za vzdrževanje, dodeljeni zunanjim izvajalcem, urejeni in sledeni?
- N1
Brez formaliziranega urejanja. Dostopi so bili odprti sproti med projekti, brez popisa ali znanega datuma prenehanja.
- N2
Postopek obstaja in se ustvarjajo poimenski dostopi, vendar ostajajo odprti trajno, spremljanje pa je odvisno od ekipe, ki jih je zahtevala.
- N3
Dostopi so poimenski, odprti na zahtevo za omejen čas in vpisani v register, ki ga vodi lokacija. Seje se beležijo.
- N4
Zahteve potrjuje odgovorni za napravo, seje se nadzorujejo v realnem času, register pa se pregleda ob vsakem odboru za industrijsko varnost.
- N5
Pravila dostopa se prilagajajo glede na incidente in razvoj parka opreme, z dokumentiranim sledenjem revizij in zavezujočo klavzulo o obveščanju za integratorje.
Ukrep za prehod iz N2 v N3
Uvesti odpiranje dostopov za oddaljeno vzdrževanje na podlagi datirane zahteve, z samodejnim zaprtjem ob poteku, in vključiti pregled registra zunanjih dostopov na dnevni red mesečnega sestanka vzdrževanja.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritev
O čem govori ta referenčni okvir
Varnost kritičnih in industrijskih infrastruktur ni samo kibernetska varnost avtomatizacijskih omrežij. Zajema segmentacijo med poslovno informatiko in industrijskimi sistemi, obvladovanje oddaljenih vzdrževalnih dostopov, popis krmilnikov in krmilne opreme, fizično varovanje tehničnih prostorov, zaznavanje dogodkov v OT omrežjih, neprekinjeno delovanje in obnovitev obratovanja ter navsezadnje obvladovanje izvajalcev, ki posegajo na proizvodne linije. IEC 62443 strukturira del, ki zadeva krmilne sisteme, NIS2 in direktiva o odpornosti kritičnih subjektov pa dodajata obveznosti glede upravljanja in obveščanja.
V praksi se vodenje spopada z realnostjo lokacij. Obrati imajo opremo različnih generacij, življenjsko dobo dvajset let ali več in redka okna za zaustavitev. Tri vprašanja v večini industrijskih skupin ostajajo brez dokumentiranega odgovora. Kdo vodi posodobljen popis krmilnikov, pretvornikov in nadzornih postaj in kako pogosto se ta popis osvežuje? Kako se dostopi za oddaljeno vzdrževanje, ki jih uporabljajo integratorji, odpirajo, sledijo in zapirajo? Kaj se dejansko zgodi, če nadzorni sistem postane nedosegljiv sredi proizvodne kampanje?
Pogosto zmedo velja razjasniti: industrijska varnost in funkcionalna varnost (varnost delovanja) se ne prekrivata. Funkcionalna varnost ščiti ljudi in okolje pred okvaro naprave, z lastnimi zahtevami glede ravni varnosti. Varnost v smislu tega referenčnega okvira ščiti napravo pred namernimi dejanji ali zunanjimi dogodki. Oba se srečujeta, zlasti kadar kibernetski varnostni ukrep vpliva na varnostno instrumentirano funkcijo, vendar nimata ne istih deležnikov ne istih dokazov. Mnoge organizacije ju obravnavajo v istem odboru, ne da bi ločevale odločitve.
Presoja skladnosti se konča z binarno ugotovitvijo: zahteva je izpolnjena ali ni. Diagnostika zrelosti odgovarja na drugačno vprašanje. Na kateri ravni obvladovanja se nahaja posamezna lokacija, kakšna je razpršenost med poslovnimi enotami in katero natančno ukrepanje premakne prakso z dokumentirane na dejansko izvajano raven. Ocena po tematskem področju in ciljna vrednost ustvarita vrzel, vrzel ustvari akcijski načrt, umetna inteligenca pa te ukrepe združi v prioritiziran načrt poti, ki je ponovno uporabljiv tudi pri pripravi na regulativno presojo.
Referenčni okvir je v Datamensiu pripravljen za takojšnjo uporabo in ga je mogoče prilagoditi. Tematska področja prilagodite glede na vašo panogo, zvezni proces, proizvodnjo ali omrežja, umetna inteligenca pa izpopolni vprašanja in ravni po metodi CMMI. Lahko tudi zgradi različico na podlagi vaših lastnih dokumentov: politike industrijske varnosti, načrtov con in povezav, specifikacij za integracijo.
Referenčni standard: Okvir varnosti kritičnih in industrijskih infrastruktur (IEC 62443, NIS2, direktiva REC)
Ocenjevana tematska področja
Upravljanje industrijske varnosti
Politika, veljavna za krmilne sisteme, vloge med informatiko in avtomatizacijo, odločanje o odstopanjih, povezava s funkcionalno varnostjo.
Poznavanje parka opreme in kartiranje
Popis krmilnikov, nadzornih sistemov, pretvornikov in omrežne opreme, kritičnost funkcij, kartiranje tokov, pogostost posodabljanja.
Arhitektura, cone in povezave
Ločitev med poslovnimi in industrijskimi omrežji, delitev na cone, filtriranje povezav, obravnava prehodov in inženirskih postaj.
Upravljanje dostopov in oddaljenega vzdrževanja
Računi notranjih in zunanjih izvajalcev, avtentikacija, odpiranje in zapiranje oddaljenih dostopov, sledljivost vzdrževalnih sej.
Fizično varovanje obratov
Nadzor dostopa do tehničnih prostorov in omaric, zaščita napajalnih in komunikacijskih točk, videonadzor, sprejem obiskovalcev in podizvajalcev.
Obvladovanje sprememb in posodobitev
Upravljanje konfiguracij in programov krmilnikov, varnostne kopije in obnovitev, veljavni popravki, preizkusi pred ponovnim zagonom, okna za zaustavitev.
Zaznavanje in obravnava dogodkov
Nadzor industrijskih omrežij, posredovanje anomalij varnostni ekipi, opredelitev, postopki ukrepanja, prilagojeni proizvodnemu okolju.
Neprekinjeno delovanje in obnovitev obratovanja
Nadomestni načini delovanja, okrnjeno obratovanje, pričakovani roki obnovitve po linijah, vaje, razpoložljivost rezervnih delov in varnostnih kopij programov.
Dobavna veriga in integratorji
Pogodbene zahteve, usposabljanje dobaviteljev opreme, prevzem novih naprav, obveznosti obveščanja izvajalcev.
Kompetence in stalno izboljševanje
Usposabljanje avtomatikov in operativnih ekip, poincidentne izkušnje, kazalniki, primerjava lokacij skozi čas.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta diagnostika zagotavlja skladnost z NIS2 ali certifikat IEC 62443?
Ne. Datamensio meri zrelost vaših praks in pripravlja na rok. Regulativna skladnost je v pristojnosti pristojnega organa, certificiranje izdelkov in organizacij pa izvajajo akreditirani organi. Diagnostika vam da stanje, vrzeli in razvojno pot.
Kakšna je razlika med to diagnostiko in presojo industrijske varnosti?
Presoja preverja prisotnost zahtev in se konča z ugotovljeno vrzeljo. Diagnostika umesti vsako prakso na postopno lestvico in navede ukrep, ki dvigne raven za eno stopnjo. Izvaja se brez posega v naprave, na podlagi navedenih praks in pripadajočih dokazov.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v eni sami delovni seji. Celovita različica, izvedena v sodelovalnem načinu z avtomatiki, vzdrževanjem in varnostno ekipo, običajno traja od enega do dveh tednov, pri čemer večino časa zavzame zbiranje podatkov na lokacijah.
Ali je mogoče primerjati več lokacij med seboj?
Da. Pilot omogoča presojo lokacij po istem referenčnem okviru, primerjavo ocen po tematskih področjih med poslovnimi enotami in merjenje napredka glede na prejšnje kampanje. Prečni načrt poti združuje akcijske načrte več lokacij.
Ali je referenčni okvir prilagodljiv naši panogi?
Da. Tematska področja, vprašanja in ravni lahko spremenite, lahko pa tudi izhajate iz svojih lastnih dokumentov: umetna inteligenca zgradi različico, prilagojeno zveznemu procesu, proizvodnji ali omrežjem, z izpopolnjevanjem ravni po metodi CMMI.
Ali je za odgovarjanje potrebno strokovno znanje avtomatizacije?
Vprašanja se nanašajo na prakse upravljanja, ne na konfiguracije opreme. Nekatera zahtevajo prispevek avtomatika ali vodje vzdrževanja: sodelovalni način omogoča dodelitev teh vprašanj pravi osebi.
Kako je ovrednoten akcijski načrt?
Vsaka vrzel med oceno in ciljno vrednostjo ustvari ukrep. Katalog storitev za vsak ukrep ponudi rešitev, z njenim stroškom, rokom in pričakovanim vplivom na oceno, kar omogoča utemeljeno proračunsko razpravo v odboru.
Kje so podatki gostovani?
V Franciji, pri OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov zunaj Evropske unije. Uporabljene modele umetne inteligence je mogoče izbrati, tudi med evropskimi rešitvami.