Zrelost varnosti okolja OT · Operativna tehnologija
Vaša industrijska okolja umeščena na lestvico zrelosti, z izmerjenim načrtom poti za njihov napredek.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost varnosti okolja OT · Operativna tehnologija
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Okvir zrelosti varnosti OT, oprt na načela IEC 62443 in NIST SP 800-82 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, naslednja raven in dejanje, ki ju povezuje) spremeni ugotovitev v načrt poti.
Ali so dostopi dobaviteljev za oddaljeno vzdrževanje urejeni in sledljivi?
- N1
Ni ugotovljene ureditve. Oddaljeni dostopi so bili vzpostavljeni sproti ob projektih, brez popisa ali spremljanja.
- N2
Glavni dostopi so znani in pravilo obstaja, vendar njegova uporaba je odvisna od lokacije in zadevnega dobavitelja.
- N3
Dostopi so popisani, potekajo prek nadzorovane vstopne točke in se odpirajo na zahtevo za določen opredeljen poseg.
- N4
Vsaka seja je sledljiva in pripisana poimenovanemu izvajalcu, pravice se periodično pregledujejo, neuporabljeni dostopi pa se zaprejo.
- N5
Seje so pod nadzorom, odstopanja se sporočajo varnostni funkciji, zahteve pa so vključene v vzdrževalne pogodbe in preverjene ob vsaki obnovitvi.
Dejanje za prehod iz N2 v N3
Skupaj z vzdrževanjem popisati vse oddaljene dostope po posameznih lokacijah, jih usmeriti skozi eno samo vstopno točko z odpiranjem na zahtevo in vključiti potrjevanje zahtevkov v dnevni red tedenskega sestanka vzdrževanja.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna OT.
O čem govori ta referenčni okvir
Varnost OT se nanaša na sisteme, ki upravljajo fizične procese: programirljive logične krmilnike, SCADA, DCS, senzorje, terenska omrežja, inženirske postaje, dostope za oddaljeno vzdrževanje. Njene prioritete niso enake prioritetam poslovne informatike. Razpoložljivost in celovitost procesa imata prednost pred zaupnostjo, življenjski cikli opreme se merijo v desetletjih, posodobitev pa se ne uvede kar v torek zvečer. Referenčni okviri tega področja, IEC 62443 na industrijski strani in NIST SP 800-82 kot izvedbeni vodnik, opisujejo segmentacijo v cone in kanale, upravljanje dostopov, nadzor in odzivanje na incidente.
V praksi upravljanje naleti na tri preprosta vprašanja, ki redko dobijo jasen odgovor. Je popis povezane opreme popoln, ali ga ekipa vzdrževanja sestavlja iz spomina? Je industrijsko omrežje dejansko segmentirano od pisarniškega, ali ju loči zgolj požarni zid, čigar pravil že dolgo nihče ne pregleduje? So dostopi za oddaljeno vzdrževanje dobaviteljev evidentirani in preklicani, ali so odprti neprekinjeno že od zagona linije? K temu se dodaja delitev odgovornosti med industrijskim vodstvom, vzdrževanjem in oddelkom za informacijske sisteme, ki je pogosto le implicitna.
Konvergenca IT in OT je stvari spremenila. Projekti povezane industrije, pretok proizvodnih podatkov v oblak in prediktivno vzdrževanje so odprli okolja, zasnovana za izolacijo. Pogosto se pojavi ista zmeda: neposredno prenesti osnovni nabor informacijske varnosti v delavnice. Protivirusni program na nadzorni postaji z zastarelim operacijskim sistemom, mesečni popravek na krmilniku v neprekinjenem obratovanju, močna avtentikacija na pultu, ki si ga deli tri izmene, nobeden od teh ukrepov se ne da preprosto prenesti brez uskladitve s proizvodnjo.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot tehnična presoja. Presoja ugotovi ranljivost na določeni opremi v danem trenutku. Diagnostika umesti vaše prakse na postopno lestvico, tematsko področje za tematskim področjem, in pokaže, katero dejanje vodi na naslednjo raven. Omogoča tudi primerjavo med lokacijami: novejša tovarna in lokacija, prevzeta ob akviziciji, ne izhajata iz iste točke, zato akcijski načrt zanju ne more biti enak.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo, nadzor nad njim pa ostaja v vaših rokah. UI prilagodi tematska področja, vprašanja in ravni vašemu industrijskemu kontekstu ali zgradi prilagojeno različico na podlagi vaših politik in inženirskih standardov. Pri parku z več lokacijami vrzeli združi v prednostno razvrščen načrt poti namesto v seznam ukrepov po posameznih lokacijah.
Referenčni standard: Okvir zrelosti varnosti OT, oprt na načela IEC 62443 in NIST SP 800-82
Ocenjevana tematska področja
Upravljanje in odgovornosti na področju OT
Varnostna politika za industrijska okolja, delitev vlog med proizvodnjo, vzdrževanjem in informacijskimi sistemi, obravnava izjem, namenjeni viri.
Popis industrijskih sredstev
Evidenca krmilnikov, nadzornih sistemov, inženirskih postaj in omrežne opreme, kritičnost za proces, različice vdelane programske opreme, posodabljanje popisa.
Omrežna arhitektura in segmentacija
Razdelitev na cone in kanale, ločitev med industrijskim in pisarniškim omrežjem, nadzorovane prehodne točke, kartiranje tokov, upravljanje brezžične opreme.
Upravljanje dostopov in računov
Skupni računi na pultih, proizvajalčevi računi in privzeta gesla, pravice integratorjev, periodičen pregled pooblastil.
Oddaljeni dostopi in posegi dobaviteljev
Načini oddaljenega vzdrževanja, aktivacija na zahtevo, sledljivost sej, varnostne klavzule v vzdrževalnih pogodbah, upravljanje prenosnih medijev.
Upravljanje ranljivosti in popravkov
Spremljanje opreme v obratovanju, časovna okna za posodobitve, skladna s proizvodnjo, nadomestni ukrepi na sistemih, ki jih ni mogoče popraviti, testiranje pred uvedbo.
Zaznavanje in nadzor
Beleženje dnevnikov industrijske opreme, sonda za nadzor omrežja, zaznavanje sprememb programov krmilnikov, posredovanje v varnostni nadzorni center.
Odzivanje na incidente in okrevanje
Postopki, prilagojeni procesu, zasilni način delovanja, varnostne kopije programov in konfiguracij, testi obnovitve, vaje, ki vključujejo proizvodnjo in varnost.
Varnost v projektih in skozi življenjski cikel
Varnostne zahteve v razpisni dokumentaciji, prevzem novih instalacij, upravljanje opreme ob koncu podpore, razgradnja.
Kultura in kompetence
Ozaveščanje izmenskih ekip, usposabljanje avtomatikov, poznavanje navodil s strani izvajalcev, povratne izkušnje po incidentu.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
V čem se ta diagnostika razlikuje od tehnične presoje mojih instalacij?
Tehnična presoja odkriva ranljivosti na določeni opremi v danem trenutku. Diagnostika meri zrelost vaših praks: popis, segmentacijo, upravljanje dostopov, odzivanje na incidente. Oboje se dopolnjuje, diagnostika pa pokaže, na katerih področjih usmeriti sredstva.
Ali je treba za izvedbo ocenjevanja ustaviti proizvodnjo?
Ne. Diagnostika temelji na vprašanjih o praksah in organizaciji, nanje odgovarjajo obstoječe ekipe. Povezava z industrijskimi sistemi ni potrebna, prav tako se ne izvaja noben pregled omrežja.
Ali ta referenčni okvir pripravlja na certifikacijo IEC 62443?
Datamensio meri zrelost in pripravlja nanjo, ne certificira. Diagnostika povzema ključna načela tega področja, med drugim logiko con in kanalov ter upravljanje dostopov, in vas umesti pred začetkom formalnega postopka pri certifikacijskem organu.
Koliko časa zahteva ocenjevanje?
Kratka različica se izpolni v eni delovni seji. Celovita različica, izvedena v sodelovanju z vzdrževanjem, avtomatizacijo in informacijskimi sistemi, običajno traja od enega do dveh tednov, pri čemer večino časa zavzema zbiranje podatkov z lokacij.
Ali je mogoče primerjati več tovarn med seboj?
Da. Isti referenčni okvir se razdeli vsaki lokaciji, ocene pa so primerljive po tematskih področjih, pa tudi skozi čas glede na vaše predhodne ocene. Prečni načrt poti združi presoje v en sam načrt namesto v seznam po posameznih lokacijah.
Ali je referenčni okvir mogoče prilagoditi našemu sektorju?
Da. Vprašanja, ravni in tematska področja lahko spremenite, dodate posebnosti svojih procesov ali izhajate iz lastnih inženirskih standardov. UI nato na podlagi vaših dokumentov zgradi prilagojeno različico, ki jo pred objavo potrdite.
Kdo mora odgovarjati na vprašanja?
Vprašanja se nanašajo na prakse, ne na konfiguracije. Odgovarja vodja vzdrževanja, avtomatik ali varnostni kontakt. Skupinski način dela omogoča dodelitev vsakega vprašanja osebi, ki ima zahtevane informacije.
Kje so podatki gostovani?
V Franciji, pri OVH, z varnostno kopijo pri Scalewayu. Noben prenos zunaj Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.