Řízení kybernetické bezpečnosti

IISO 27001 je mezinárodní norma, která popisuje osvědčené postupy pro systém managementu bezpečnosti informací (ISMS).

Získání akreditované certifikace podle normy ISO 27001 dokazuje, že naše organizace dodržuje osvědčené postupy v oblasti zabezpečení informací, a poskytuje nezávislé odborné ověření, že bezpečnost informací je řízena v souladu s osvědčenými mezinárodními postupy a obchodními cíli.
Řízení kybernetické bezpečnosti Siemens je od listopadu 2017 certifikováno podle ISO 27001.
Od listopadu 2023 jsme certifikováni podle nové normy ISO 27001:2022.

• Stáhnout certifikaci
• Další informace o certifikacích systémů

S nadšením se zasazujeme o vytvoření odolné a datově orientované kybernetické bezpečnosti prostřednictvím odolné architektury, která bude chránit společnost Siemens.

Abychom toho dosáhli, implementujeme v projektu naši strategii kybernetické bezpečnosti a využíváme nově vytvořenou službu Enterprise Architecture k mapování našich strategických cílů do cílové architektury, která bude vést všechny pracovníky v oblasti kybernetické bezpečnosti při jejich implementaci.

Hlavními cíli projektu jsou: Zefektivnění využívání zdrojů prostřednictvím automatizačních a efektivních opatření, zvýšení viditelnosti a transparentnosti kybernetických bezpečnostních rizik v rámci společnosti Siemens a využití rozhodování založeného na datech pro posílení reaktivního a proaktivního zmírňování rizik.

Nastavení našeho projektu je strukturováno do pěti pracovních toků:

• Koncept a procesy:

  Naším cílem je popsat a udržovat proces architektury v rámci Siemens Cybersecurity a zajistit jeho integraci s naší strategií a portfoliem. A také popsat stavební bloky naší datově řízené architektury kybernetické bezpečnosti, včetně funkcí, aplikací, vstupů, výstupů a závislostí.

• Řízení:

  Naším cílem je definovat, jak lze data o kybernetické bezpečnosti kombinovat, aby umožnila automatickou identifikaci a hodnocení rizik kybernetické bezpečnosti, umožnila rozhodování o zmírnění dopadů a zvýšila soulad se zásadami.

• Situační povědomí:

  Naším cílem je stát v popředí a být hlasem projektu EA, shromažďovat očekávání uživatelů a poskytovat komplexní přístup k rizikům pro zlepšení každodenního provozu koncových uživatelů.

• Bezpečnostní inteligence:

  Naším cílem je implementovat rozhodovací bod na bázi umělé inteligence a dat, který bude poskytovat automatickou identifikaci a zajišťovat zmírňování rizik kybernetické bezpečnosti ve společnosti Siemens tím, že posílí rozhodování.

• Údaje:

  Řešení Workstream Data pomáhá kybernetické bezpečnosti implementovat datově orientovaný přístup tím, že zavádí transparentnost dat, zabraňuje duplicitě dat a poskytuje týmům rady v oblasti datové strategie.

Rámec zásad pro kybernetickou bezpečnost platí pro společnost Siemens a její přidružené společnosti. Obsahuje především požadavky na kybernetickou bezpečnost stanovené ve zvláštních politikách, normách a základních zásadách.

Všechny zásady vycházejí z příslušných průmyslových norem, jako je ISO 2700x nebo IEC 62443. Pro zajištění souladu s dalšími důležitými normami jsou také spravovány odkazy na ně. Seznam příslušných norem zahrnuje například NIST 800-53, pokyny pro řízení ICT a bezpečnostních rizik od EBA a další.

Produkty, řešení a služby společnosti Siemens obsahují značné množství softwarových a IT komponent, které se v mnoha případech používají v kontextu kritické infrastruktury a mohly by být více vystaveny kybernetickým hrozbám. Bezpečnostní požadavky ze strany zákazníků a předpisů se zvyšují a společnost Siemens je musí řešit.

Abychom si udrželi konkurenceschopnost a spolehlivost, byla zavedena celoplošná iniciativa PSS společnosti Siemens, která má zajistit, že produkty, řešení a služby, které prodáváme, umožní, aby je naši zákazníci mohli používat v bezpečném prostředí.

Za tímto účelem jsme zavedli závazné požadavky pro PSS a doporučení k implementaci. Neustálé zlepšování a neustálé učení jsou základními předpoklady pro úspěšnou realizaci.

Je nezbytné vytvořit společné povědomí a porozumění mezi všemi zaměstnanci ohledně základních aspektů kybernetické bezpečnosti a poskytovat specializované školení pro funkce související s kybernetickou bezpečností. Abychom reagovali na očekávání našich zákazníků ohledně nejmodernějších produktů, řešení a služeb od společnosti Siemens z hlediska technologií a bezpečnosti a abychom zajistili schopnost poskytovat takovou kvalitu neustálým zvyšováním povědomí o kybernetické bezpečnosti v naší společnosti a umožněním našim zaměstnancům zohledňovat kybernetickou bezpečnost v každé činnosti, kroku a procesu celého hodnotového řetězce, vytvořili jsme několik aktivit. Například:

• Povinná globální osvětová kampaň s cílem poskytnout všem zaměstnancům informace týkající se obecných a důležitých témat kybernetické bezpečnosti. Tato školení jsou webová, bezbariérová a dostupná ve více jazycích. Kromě toho pro skupinu zaměstnanců s příslušnými rolemi nabízíme školení „Řidičský průkaz“. Toto školení je povinné a umožňuje této skupině zaměstnanců používat veškerá bezpečnostní usměrnění Siemens v oblasti IT/OT. Po úspěšném absolvování účastníci obdrží certifikát, který je platný po dobu dvou let.
• Pro všechny zaměstnance Siemens také nabízíme několik průběžně aktualizovaných školení a vzdělávacích příležitostí. Do nich se mohou zapojit dobrovolně. Tato školení nejsou určena pouze pro získání základních znalostí, ale také pro specifické a specializované oblasti, jako je bezpečnost produktů nebo řešení.
• Věříme, že neustálé vzdělávání je klíčem k úspěchu, a proto neustále hledáme nové způsoby, jak naše zaměstnance školit a zvyšovat jejich kvalifikaci.

Vždy mějte přehled: Abychom toho dosáhli, provozujeme interní platformu pro kybernetickou bezpečnost s názvem „CyberMart“, která poskytuje ucelený pohled na data a procesy v oblasti kybernetické bezpečnosti ve společnosti Siemens.

Umožňuje informovaná a cílená obchodní rozhodnutí tím, že nabízí

• platformu pro bezpečné aplikace zpracovávající informace relevantní pro kybernetickou bezpečnost,
• zabezpečený datový fond pro data relevantní pro kybernetickou bezpečnost a
• také hlášení o vyspělosti a stavu bezpečnostních procesů (např. ochraně aktiv, zpracování výjimek).

Součástí této platformy je řídicí panel pro kybernetickou bezpečnost, který poskytuje přehled o provozním stavu kybernetické bezpečnosti a také o strategických datových bodech. Tyto informace jsou základem pro pravidelná interní hlášení pro představenstvo a dozorčí radu společnosti Siemens.

Hlavním cílem systému řízení rizik kybernetické bezpečnosti, který je součástí Siemens Enterprise Risk Management (ERM), je umožnit společnosti Siemens dosáhnout transparentnosti v oblasti kybernetických rizik a adekvátně je řídit na přijatelné úrovni.
Rámec pro řízení rizik kybernetické bezpečnosti společnosti Siemens vychází z mezinárodních standardů (ISO/IEC 27005 a ISF IRAM2) a zohledňuje všechny úrovně, od provozní až po podnikovou, a také využívá zavedené procesy a role ERM.
Kybernetická bezpečnostní rizika hlášená a řízená až do úrovně ERM jsou identifikována v rámci následujících procesů a řízena v rámci příslušných nástrojů:

• Celkový proces řízení rizik kybernetické bezpečnosti
• Proces klasifikace a ochrany aktiv pro IT a dokumenty a informační zdroje
• Analýza hrozeb a rizik pro produkty, řešení a služby
• Proces vyřizování výjimek pro dočasné odchylky od rámce kybernetické bezpečnosti Siemens
• Řízení rizik kybernetické bezpečnosti u dodavatelů

Řízení rizik kybernetické bezpečnosti u dodavatelů:

Rizika kybernetické bezpečnosti je třeba řídit v celém dodavatelském řetězci. Společnost Siemens toto téma vnímá holisticky a zahrnuje IT, OT a PSS pro pořizování horizontálních i vertikálních komponent, produktů a služeb. Z tohoto důvodu mezi hlavní aktivity pro zlepšení úrovně kybernetické bezpečnosti v celém dodavatelském řetězci patří:

• Transparentnost, pokud jde o vystavení se kybernetickému riziku v celém dodavatelském řetězci
• Systematické postupy řízení rizik podporované metodikou hodnocení dodavatelů ze strany třetích stran, příslušnými nástroji a šablonami pro smluvní požadavky na kybernetickou bezpečnost kladené na dodavatele
• Aktivní účast v Chartě důvěry, která řídí 2. zásadu: „Odpovědnost v celém digitálním dodavatelském řetězci“ a různých odborných komunit
• Pravidelná školení a osvětové kampaně pro různé cílové skupiny a případy použití

Co je incident v oblasti zabezpečení informací?

Incident v oblasti zabezpečení informací je definován jako: Přímé nebo nepřímé ohrožení mlčenlivosti, integrity nebo dostupnosti informací podle jejich klasifikace (na základě ISO27001 a NIST 800-61 rev2). Příklady incidentů zahrnují mimo jiné:

1. Úspěšné pokusy o získání neoprávněného přístupu k systému nebo jeho datům
2. Přerušení nebo odmítnutí služby
3. Neoprávněné použití systému pro zpracování nebo ukládání dat
4. Změny systémového hardwaru, firmwaru nebo vlastností softwaru bez vědomí, instrukcí nebo souhlasu vlastníka

Reakce na incident

Provádíme hloubkovou analýzu incidentů týkajících se kybernetické bezpečnosti. Abychom toho dosáhli, spolupracujeme s obchodními zástupci, interními i externími ohlašovateli incidentů a zainteresovanými stranami a snažíme se koordinovat reakce a zajistit řádné zvládání a zahájení sanačních úkolů. Dále zajišťujeme projektového manažera pro incidenty, který podporuje organizační a komunikační aspekty závažných a složitých incidentů.

Proces řešení incidentů

• Detekování

  Narušení důvernosti, integrity a/nebo dostupnosti informací.

• Reakce

  Analýza útoku a iniciování protiopatření.

• Okamžitá náprava

  Zahrnuje: Omezení škodlivých aktivit, Zmírnění: Zabránění dalšímu poškození, Dlouhodobá náprava: Náprava a prevence opakování

• Obnova

  Obnova integrity zasažených systémů do nedegradovaného provozního stavu.

Bezpečnostní hrozby nutí průmysl jednat.

Útoky kybernetických útočníků, kteří dokáží manipulovat s celými hodnotovými řetězci, často vedou nejen k výpadkům výroby, ale také ke značnému poškození vaší pověsti. Abyste co nejlépe ochránili své provozní technologie (OT), je nezbytné zajistit transparentnost ohledně rizikové expozice vašich aktiv. To umožňuje identifikovat a eliminovat kybernetické hrozby dříve, než způsobí značné škody. Zajistíme větší kybernetickou bezpečnost pro vaše výrobní procesy. Náš holistický přístup je navržen tak, aby identifikoval bezpečnostní mezery v procesech a technickou zranitelnost dříve, než je zneužijí pachatelé.

Další informace

Umělá inteligence hraje klíčovou roli v úsilí společnosti Siemens v oblasti kybernetické bezpečnosti. Dynamicky identifikuje a působí proti bezpečnostním hrozbám detekcí anomálií v naší síti a systémech. Tato okamžitá opatření proti narušení bezpečnosti pomáhají omezit potenciální škody.

Umělá inteligence navíc zvyšuje efektivitu našich postupů v oblasti kybernetické bezpečnosti automatizací běžných úkolů. Tato automatizace umožňuje našim bezpečnostním týmům soustředit se na složitější a naléhavější problémy. Kromě toho umělá inteligence zavádí přizpůsobené bezpečnostní protokoly založené na analýze chování uživatelů a podporuje přesnou bezpečnostní strategii pro každou divizi v rámci společnosti Siemens.

Navzdory výhodám musíme poznamenat, že umělá inteligence může být také nástrojem pro kybernetické útočníky, což zvyšuje složitost jejich škodlivých činů. Tito útočníci mohou využít umělou inteligenci k automatizaci svých útoků, obcházení konvenčních bezpečnostních systémů nebo dokonce simulovat lidské chování, aby unikli odhalení.

Společnost Siemens je nicméně na tento složitý scénář dobře připravena. Zavedli jsme přísné bezpečnostní protokoly, abychom zajistili bezpečné a zodpovědné používání umělé inteligence. Náš progresivní přístup pomáhá udržovat integritu našich systémů a chrání nás před potenciálními riziky, což nám umožňuje využívat výhod umělé inteligence v našich kybernetických bezpečnostních operacích.

Výhody, které společnost Siemens z umělé inteligence získává, rozhodně převažují nad riziky. Díky pečlivé implementaci a průběžnému dohledu minimalizujeme tato rizika a zesilujeme výhody umělé inteligence. V důsledku toho se umělá inteligence stává neocenitelným nástrojem, který podstatně zvyšuje naši schopnost odrážet bezpečnostní hrozby.