Szabályozási megfelelés áttekintése
Az ipari vezérlőrendszerek nem tűrik a biztonsági réseket. Az új jogszabályok és szabványok kötelezővé teszik, hogy bizonyítsa a kockázatkezelést, a fenyegetésészlelést és a megfelelőségi keretrendszert.
Szolgáltatásunk első lépése egy testreszabott réselemzés, amely végigvágja jelenlegi kontrolljait az összes alkalmazandó követelmény mentén. Ezután egy egyértelmű helyreállítási tervet adunk át, és végigkísérjük a megvalósítást az audit-kész állapotig.
Minden üzem más és más, ezért alkalmazkodunk a pontos szabványkeverékhez – legyen az NIST CSF, NERC-CIP, NIS2, IEC 62443 vagy helyi előírás –, és minden kontrollt az Ön üzleti kontextusára szabunk.
Miért végezzünk réselemzést?
A megfelelőségi réselemzés objektív képet ad arról, hol felelnek meg kontrolljai a követelményeknek, és hol vannak hiányosságok. Mélyinterjúkat tartunk, átnézzük irányelveit, felmérjük hálózatát, és teszteljük védelmi pontjait.
Minden követelményt osztályozunk: megfelelés, részleges vagy hiányos. Ezután ajánlásainkat a kockázatcsökkentés, a költség és a megvalósítás komplexitása alapján rangsoroljuk, hogy először a legnagyobb hatású intézkedések történjenek meg.
Főbb előnyök
- Valós idejű alap felmérése a szabályozások szerint
- Fontos hiányosságok feltárása még az auditorok előtt
- Költségvetés fókuszálása a legnagyobb kockázatcsökkentésre
- Vezetői riportok és irányítópultok előkészítése
- A jövőbeni auditok egyszerűsítése rendszerezett bizonyítékokkal
Mire számíthat?
- Réselemzési jelentés: Részletes As-Is vs. To-Be eredmények
- Rendszer- és folyamatfeltérképezés: Vizuális eszköz- és kontrolldiagramok
- Megfelelőségi mátrix: Tételes pass/fail kimutatás
- Audit-előkészítő ellenőrzőlista: Lépésről-lépésre tételes tennivalók
- Vezetői tájékoztató prezentáció: Felsővezetői összefoglaló
- Munkaanyagok & háttérdokumentumok: Alapadatok, szabályzatok & sablonok
Globális szabályozási környezet
USA (NIST CSF, NERC-CIP)
A DHS kockázatkezelési kereteket ír elő; a NERC-CIP kötelező minden érintett energiaipari szereplő számára.
EU (NIS2)
2024. szeptember 30-ig kötelező alapvető biztonsági intézkedések bevezetése, nemzetközi együttműködés az incidensek kezelésére.
UK (CPNI & OG86)
A CPNI iránymutatást ad, az HSE OG86 pedig magas kockázatú és COMAH-üzemek audittartásait vezérli.
Ausztrália (ACSC)
Az ACSC az irányelveket publikálja, és támogatja az incidenskezelést kritikus infrastruktúrában.
Szaúd-Arábia (NCA)
A Nemzeti Kiberbiztonsági Hatóság szabályozásokat állít fel és segíti a helyi szereplőket.
Katar (NCC)
A Nemzeti Kiberbiztonsági Bizottság szabványokat határoz meg és felügyeli a kritikus infrastruktúrát.
UAE (NESA)
A NESA előírásokat bocsát ki és biztosítja a stratégiai szektorok védelmét.
Purdue-modell & megfelelés
A Purdue-modellt használjuk az OT architektúra rétegekre bontásához, majd minden szint kontrolljait összevetjük a választott szabványokkal, hogy az audit során minden zóna bizonyíthatóan megfeleljen.
