Politika varnosti IoT/OT

Politika varnosti IoT/OT (P35) vzpostavlja celovit nabor obveznih zahtev informacijske varnosti za uvajanje, delovanje, spremljanje in izločanje iz uporabe sistemov interneta stvari (IoT) in sistemov operativne tehnologije (OT) v celotni organizaciji. Njen primarni cilj je integrirati te tehnologije v sistem upravljanja kibernetske varnosti organizacije ter zagotoviti robustno zaščito pred kompromitacijo, zlorabo ali sabotažo proizvodnje. Obseg te politike zajema vse sisteme interneta stvari (IoT) in sisteme operativne tehnologije (OT), ne glede na to, ali so v lasti podjetja, najeti ali pridobljeni od tretjih oseb, in se uporabljajo v katerem koli operativnem, administrativnem ali produkcijskem okolju. Zajete naprave interneta stvari (IoT) vključujejo okoljske senzorje, avtentikacijske mehanizme, pametno razsvetljavo, nadzorno opremo in nosljive naprave, medtem ko sistemi operativne tehnologije (OT) segajo od programirljivih logičnih krmilnikov (PLC) in sistemov za nadzor, vodenje in zbiranje podatkov (SCADA)/porazdeljenih krmilnih sistemov (DCS) do panelov vmesnika človek–stroj (HMI) in terenskih krmilnikov. Politika opredeljuje zahteve za vsa okolja (v lastnih prostorih, oblak, robne naprave), faze življenjskega cikla (zasnova, nabava, uvajanje, delovanje, izločanje iz uporabe) ter deležnike, vključno z notranjimi uporabniki, integratorji, dobavitelji tretjih oseb in pogodbenimi izvajalci. Ključni cilji so usmerjeni v zaščito teh infrastruktur pred grožnjami, kot so napadi zavrnitve storitve, nepooblaščen dostop, izsiljevalska programska oprema in posegi v vdelano programsko opremo. Politika zahteva uporabo metodologij vgrajene varnosti in obrambe v globino ter zahteva, da so vse uvedbe skladne z osnovnimi standardnimi kontrolami, kot je ISO/IEC 27001, in smernicami, relevantnimi za sektor (IEC 62443, NIST SP 800-82). Varna integracija s centrom za varnostne operacije (SOC), vključno z eskalacijo odziva na incidente, klasifikacijo poslovno kritičnih sistemov dogodkov OT ter dokumentacijo medfunkcijskih postopkov, je sestavni del. Zahteve upravljanja določajo varnostno konfiguracijo naprave (edinstvene poverilnice, strojno vezani certifikati, varni zagon), uveljavljajo strogo segmentacijo omrežja med IT/OT in prepovedujejo nezavarovane protokole, razen če so zavarovani in je izveden sprejem tveganja. Spremljanje in zaznavanje groženj sta stalna, pri čemer se dejavnosti naprav in omrežij nadzorujejo z uporabo pasivnih orodij za zaznavanje v sistemih ICS/SCADA, OT-specifičnih naborov pravil SIEM, globinskega pregleda paketov ter praks hrambe dnevnikov. Nameščanje sistemskih popravkov in validacija podpisane vdelane programske opreme sta integralna, izločanje iz uporabe naprav ob koncu življenjske dobe pa zahteva brisanje ali ponovno namestitev slike naprave, preklic poverilnic naprave in posodobitve popisa sredstev. Obravnava izjem in obravnava tveganja sta jasno opredeljeni za zastarele sisteme, ki ne morejo izpolniti zahtev, kar zahteva formalno dokumentacijo, omilitvene varovalne ukrepe, omejena podomrežja in spremljanje. Politika je tesno integrirana s povezanimi politikami, ki urejajo upravljanje ranljivosti, popis sredstev, zaščito končnih točk, politiko beleženja in spremljanja, politiko odzivanja na incidente (P30) ter presojo in skladnost. Pregledi se izvajajo letno ali ob pomembnih spremembah sistema, dobavitelja ali okolja groženj, kar zagotavlja stalno uskladitev z regulativnimi obveznostmi, pogodbenimi zahtevami in operativnimi zahtevami. Mehanizmi uveljavljanja vključujejo revizijske preglede, disciplinske postopke, sankcije dobaviteljev in pravno/regulatorno eskalacijo v primerih regulativne kršitve ali sabotaže proizvodnje.