Politika zabezpečení IoT/OT

Politika zabezpečení IoT/OT (P35) stanovuje komplexní soubor povinných požadavků na bezpečnost informací pro nasazení, provoz, monitorování a vyřazení z provozu systémů internetu věcí (IoT) a systémů provozních technologií (OT) v celé organizaci. Jejím hlavním cílem je integrovat tyto technologie do systému řízení kybernetické bezpečnosti organizace a zajistit robustní ochranu před kompromitací, zneužitím nebo sabotážemi výroby. Rozsah této politiky zahrnuje všechny systémy internetu věcí (IoT) a systémy provozních technologií (OT), ať už jsou ve vlastnictví společnosti, pronajaté nebo pocházejí od třetích stran, používané v jakémkoli provozním, administrativním nebo produkčním prostředí. Mezi pokrytá IoT zařízení patří senzory prostředí, autentizační mechanismy, inteligentní osvětlení, sledovací zařízení a nositelná zařízení, zatímco OT systémy sahají od programovatelných logických automatů (PLC) a dohledových systémů řízení a sběru dat (SCADA)/distribuovaných řídicích systémů (DCS) platforem po panely rozhraní člověk–stroj (HMI) a polní řídicí jednotky. Politika vymezuje požadavky napříč všemi prostředími (on-premise, cloud, okrajová zařízení), fázemi životního cyklu (návrh, pořizování, nasazení, provoz, vyřazení z provozu) a zainteresovanými stranami, včetně interních uživatelů, systémových integrátorů, dodavatelů třetích stran a dodavatelů. Klíčové cíle se zaměřují na ochranu těchto infrastruktur před hrozbami, jako jsou útoky odepření služby, neoprávněný přístup, ransomware a manipulace s firmwarem. Politika vyžaduje přijetí bezpečnosti již od návrhu a obrany do hloubky, přičemž vyžaduje, aby všechna nasazení byla v souladu se základními standardními opatřeními, jako je ISO/IEC 27001, a s pokyny relevantními pro odvětví (IEC 62443, NIST SP 800-82). Bezpečná integrace se Security Operations Center (SOC), včetně eskalace reakce na incidenty, klasifikace obchodně kritických OT událostí a dokumentace mezirezortních postupů, je nedílnou součástí. Požadavky správy a řízení specifikují konfigurace zabezpečení zařízení (jedinečné přihlašovací údaje, hardwarově vázané certifikáty, zabezpečené spouštění), vynucují přísnou segmentaci sítě mezi IT/OT a zakazují nezabezpečené protokoly, pokud nejsou zabezpečeny a není provedeno přijetí rizika. Monitorování a detekce hrozeb jsou průběžné, přičemž aktivity zařízení a sítě jsou prověřovány pomocí pasivních detekčních nástrojů pro ICS/SCADA, OT-specifických sad pravidel SIEM, hloubkové inspekce paketů a postupů uchovávání logů. Správa záplat a firmwaru a validace podepsaného firmwaru jsou integrální a vyřazení zařízení na konci životnosti vyžaduje vzdálené vymazání/vymazání nebo obnovení obrazu zařízení, odvolání přihlašovacích údajů zařízení a aktualizaci inventáře aktiv. Ošetření výjimek a ošetření rizik jsou jasně definovány pro starší systémy, které nejsou schopny splnit požadavky, a vyžadují formální dokumentaci, zmírňující kontrolní opatření, omezené podsítě a monitorování. Politika je úzce integrována se souvisejícími politikami upravujícími řízení rizik, inventář aktiv, ochranu koncových bodů, politiku protokolování a monitorování, politiku reakce na incidenty (P30) a audit a dodržování předpisů. Přezkumy se provádějí každoročně nebo při významných změnách systému, dodavatele nebo prostředí hrozeb, aby bylo zajištěno trvalé sladění s regulačními, smluvními a provozními požadavky. Mechanismy vynucování zahrnují přezkumy auditu, disciplinární postupy, sankce vůči dodavatelům a eskalaci právních kroků v případech regulačního porušení nebo sabotáže.