Styring af cybersikkerhed

ISO 27001 er den internationale standard, der beskriver bedste praksis for et Information Security Management System (ISMS).

Opnåelse af en akkrediteret certificering i henhold til ISO 27001 viser, at vores organisation følger bedste praksis for informationssikkerhed og giver en uafhængig bekræftelse fra eksperter på, at informationssikkerheden styres i overensstemmelse med international bedste praksis og forretningsmål.
Styring af cybersikkerhed for Siemens er ISO 27001-certificeret siden november 2017.
Vi er certificeret i henhold til den nye standard ISO 27001:2022 siden november 2023.

• Download certifikat
• Få mere at vide om systemcertifikater

Vi brænder for at muliggøre en pålidelig, datadrevet cybersikkerhed via en robust arkitektur for at beskytte Siemens.

For at opnå dette implementerer vi vores cybersikkerhedsstrategi i projektet og bruger den nyoprettede Enterprise Architecture-tjeneste til at kortlægge vores strategiske mål i en målarkitektur, der skal vejlede hele cybersikkerhedsafdelingen i arbejdet med at implementere den.

Projektets hovedmål er: Strømlining af ressourceudnyttelse via automatisering og effektivitetsforanstaltninger, forbedring af synlighed og gennemsigtighed af cybersikkerhedsrisici på tværs af Siemens og udnyttelse af datadrevet beslutningstagning for at forbedre reaktiv og proaktiv risikobegrænsning.

Vores konfiguration af projektet er struktureret i fem arbejdsgange:

• Koncept og processer:

  Vores mål er at beskrive og vedligeholde arkitekturprocessen inden for Siemens Cybersecurity og sikre, at den er integreret med vores strategi og portefølje. Og at beskrive grundelementerne i vores datadrevne cybersikkerhedsarkitektur, herunder kompetencer, applikationer, inputs, outputs og afhængigheder.

• Styring:

  Vi har til hensigt at definere, hvordan cybersikkerhedsdata kan kombineres for at muliggøre automatisk identifikation og vurdering af cybersikkerhedsrisici, styrke beslutningstagningen for at afbøde dem og øge overholdelsen af politikker.

• Situationsbevidsthed:

  Vores mål er at stå i spidsen og være EA-projektets stemme, indsamle brugernes forventninger og levere holistisk risikostyring for at forbedre slutbrugernes daglige drift.

• Viden om sikkerhed:

  Vi har til hensigt at implementere et AI-understøttet og datadrevet beslutningspunkt, der giver automatisk identifikation og afhjælpning af cybersikkerhedsrisici for Siemens ved at styrke beslutningstagningen.

• Data:

  Data om arbejdsgange hjælper cybersikkerhedsafdelingen med at indføre en datadrevet tilgang ved at skabe gennemsigtighed i data, forhindre duplikering af data og give vejledning til teams om deres datastrategier.

Rammebetingelserne for cybersikkerhedspolitik gælder for Siemens og dets tilknyttede virksomheder. De indeholder navnlig de krav til cybersikkerhed, der er fastlagt i konkrete politikker, standarder og referencer.

Alle politikker er udfærdiget på baggrund af relevante industristandarder såsom ISO 2700x eller IEC 62443. For at sikre overensstemmelse med andre vigtige standarder administreres der også referencer til dem. Listen over relevante standarder omfatter f.eks. NIST 800-53, retningslinjerne for IKT og sikkerhedsrisikostyring fra EBA og andre.

Produkter, løsninger og tjenester fra Siemens indeholder en betydelig mængde software og IT-relaterede komponenter, som i mange tilfælde bruges i forbindelse med kritisk infrastruktur og kan blive mere udsat for cybertrusler. Regulatoriske og kundespecifikke sikkerhedskrav er stigende og skal håndteres af Siemens.

For at forblive konkurrencedygtig og bibeholde kundernes tillid blev PSS-initiativet for hele Siemens etableret med henblik på at sikre, at de produkter, løsninger og tjenester, vi sælger, gør det muligt for vores kunder at drive deres anlæg i et sikkert miljø.

Til det formål findes der bindende krav til PSS og anbefalinger til implementering. Kontinuerlig forbedring og kontinuerlig læring er grundlæggende forudsætninger for en vellykket gennemførelse.

Det er af afgørende betydning at skabe fælles bevidsthed og forståelse blandt alle medarbejdere om grundlæggende aspekter af cybersikkerhed og tilbyde målrettet særlig uddannelse til cybersikkerhedsrelevante roller. For at imødekomme vores kunders forventninger om topmoderne produkter, løsninger og tjenester fra Siemens med hensyn til teknologi og sikkerhed og for at sikre muligheden for at levere en sådan kvalitet ved løbende at øge bevidstheden om cybersikkerhed i vores virksomhed og sætte vores medarbejdere i stand til at overveje cybersikkerhed i alle aktiviteter, trin og processer i hele værdikæden, har vi skabt flere aktiviteter. For eksempel:

• En obligatorisk kampagne om global bevidsthed med det formål at give alle medarbejdere information om generelle og vigtige emner inden for cybersikkerhed. Disse kurser er webbaserede, tilgængelige og flersprogede. Derudover har vi "kørekort"-træningen for en rollespecifik gruppe. Denne træning er obligatorisk og gør det muligt for den rollespecifikke gruppe at anvende alle Siemens' retningslinjer for IT/OT-sikkerhed. Efter vellykket gennemførelse modtager deltagerne et certifikat, som er gyldigt i to år.
• Vi stiller også flere, løbende opdaterede, kurser og læringsmuligheder til rådighed for alle Siemens-medarbejdere. Disse kan tilgås på frivillig basis. Denne træning er ikke kun for grundlæggende viden, men også for specifikke og specialiserede områder såsom sikkerhed for produkter og løsninger.
• Vi tror på, at kontinuerlig læring er nøglen til succes, og derfor søger vi hele tiden nye måder, hvorpå vi kan uddanne og opdatere vores medarbejdere.

Bevar altid overblikket: For at hjælpe med at opnå dette tilbyder vi en intern cybersikkerhedsplatform kaldet "CyberMart", som giver et holistisk overblik over cybersikkerhedsdata og -processer hos Siemens.

Den muliggør velbegrundede og målrettede forretningsbeslutninger ved at tilbyde en:

• platform til sikre applikationer, der behandler informationer, som er relevante for cybersikkerhed
• sikker datapulje til cybersikkerhedsrelevante data samt
• løbetid og statusrapportering om sikkerhedsprocesser (f.eks. beskyttelse af aktiver, undtagelseshåndtering).

En del af denne platform er et cybersikkerhedskontrolpanel, der giver et overblik over den driftsmæssige cybersikkerhedsstatus samt over strategiske datapunkter. Disse oplysninger er grundlaget for regelmæssig intern ledelsesrapportering til Siemens' direktion og tilsynsråd.

Hovedformålet med risikostyring af cybersikkerhed, som er en del af Enterprise Risk Management (ERM) i Siemens, er at gøre det muligt for Siemens at opnå gennemsigtighed i forhold til sine cybersikkerhedsrisici og at styre disse til et acceptabelt niveau.
Siemens' rammebetingelser for risikostyring af cybersikkerhed er baseret på internationale standarder (ISO/IEC 27005 og ISF IRAM2), der tager højde for alle niveauer, fra drift til virksomhed, og som også bruger etablerede ERM-processer og -roller.
De cybersikkerhedsrisici, der rapporteres og styres op til ERM-niveau, identificeres inden for følgende processer og administreres inden for de respektive værktøjer:

• Overordnet proces for risikostyring af cybersikkerhed
• Proces for klassificering og beskyttelse af aktiver for IT og dokumenter og informationsaktiver
• Trussels- og risikoanalyse af produkter, løsninger og tjenester
• Proces for håndtering af undtagelser for midlertidige afvigelser fra Siemens' rammebetingelser for cybersikkerhed
• Styring af leverandørers cybersikkerhedsrisiko

Styring af leverandørers cybersikkerhedsrisiko:

Cybersikkerhedsrisici skal håndteres gennem hele forsyningskæden. Siemens betragter dette emne holistisk, herunder IT, OT og PSS til indkøb af horisontale og vertikale komponenter, produkter og tjenester. Af denne grund omfatter de vigtigste aktiviteter til forbedring af cybersikkerhedsniveauet i forsyningskæden:

• Gennemsigtighed hvad angår eksponering for cybersikkerhedsrisici i hele forsyningskæden
• Systematisk praksis for risikostyring understøttet af tredjeparts metode til leverandørevaluering, tilsvarende værktøjer og skabeloner til kontraktlige cybersikkerhedskrav til leverandører
• Aktiv deltagelse i Charter of Trust, der styrer det andet princip: "Ansvarlighed i hele den digitale forsyningskæde" samt forskellige ekspertfællesskaber
• Regelmæssige kurser og oplysningskampagner for forskellige målgrupper og brugssager

Hvad er en hændelse inden for informationssikkerhed?

En hændelse inden for informationssikkerhed defineres som: Den direkte eller indirekte kompromittering af fortrolighed, integritet eller tilgængelighed af information i henhold til dens klassificering (baseret på ISO27001 og NIST 800-61 rev2). Eksempler på hændelser omfatter, men er ikke begrænset til:

1. Vellykkede forsøg på at få uautoriseret adgang til et system eller dets data
2. Afbrydelse eller DoS-angreb
3. Uautoriseret brug af et system til behandling eller opbevaring af data
4. Ændringer af egenskaber ved systemets hardware, firmware eller software uden ejerens viden, ordre eller samtykke

Respons på hændelser

Vi udfører dybdegående analyser af cybersikkerhedshændelser. For at opnå dette samarbejder vi med virksomhedsansvarlige, interne og eksterne indberettere af hændelser og interessenter for at koordinere responsaktiviteter og sikre korrekt begrænsning og påbegyndelse af afhjælpende opgaver. Desuden tilbyder vi Incident Project Manager, der understøtter de organisatoriske og kommunikative aspekter af alvorlige og komplekse hændelser.

Proces for håndtering af hændelser

• Detekter

  Kompromittering af fortrolighed, integritet og/eller tilgængelighed af information.

• Reager

  Analyser angrebet og iværksæt modforanstaltninger.

• Afhjælp

  Begræns: Begræns skadelig aktivitet, Afhjælp: Forebyg yderligere skade, Fjern/genskab: Løs problemet og undgå gentagelser

• Genopret

  Gendan de berørte systemers integritet til en ikke-forringet driftstilstand.

Sikkerhedstrusler tvinger industrien til at gribe ind.

Angreb fra cyberkriminelle, der kan manipulere hele værdikæder, medfører ofte ikke kun afbrydelser i produktionen, men også betydelig tab af anseelse. For at beskytte din driftsteknologi (OT) bedst muligt er det nødvendigt at få gennemsigtighed i dine aktivers risikoeksponering. Det muliggør, at cybersikkerhedstrusler kan identificeres og elimineres, før de forårsager betydelige tab. Vi sørger for mere cybersikkerhed i dine produktionsprocesser. Vores holistiske tilgang er designet til at identificere proceduremæssige huller i sikkerheden og tekniske svagheder, før de bliver udnyttet af kriminelle aktører.

Mere information

AI har en afgørende funktion i Siemens' bestræbelser inden for cybersikkerhed. Den identificerer og modvirker dynamisk sikkerhedstrusler ved at opdage uregelmæssigheder i vores netværk og systemer. Disse øjeblikkelige tiltag mod brud på datasikkerheden hjælper med at begrænse potentielle tab.

Desuden øger AI effektiviteten af vores procedurer for cybersikkerhed ved at automatisere arbejdsopgaver i hverdagen. Denne automatisering gør det muligt for vores sikkerhedsteams at koncentrere sig om mere komplicerede og hastende problemer. Derudover etablerer AI tilpassede sikkerhedsprotokoller på baggrund af analyse af brugeradfærd, hvilket fremmer en præcis sikkerhedsstrategi for hver afdeling i Siemens.

På trods af fordelene er det vigtigt at bemærke, at AI også kan være et værktøj for kriminelle på nettet og gøre deres skadelige handlinger mere komplekse. Disse kriminelle kan udnytte AI til at automatisere deres angreb, omgå konventionelle sikkerhedssystemer eller endda simulere menneskelig adfærd for at undgå at blive opdaget.

Ikke desto mindre er Siemens godt forberedt på dette indviklede scenarie. Vi har etableret strikse sikkerhedsprotokoller for at kunne garantere en sikker og ansvarlig anvendelse af AI. Vores fremsynede tilgang hjælper os med at bibeholde vores systemers integritet og beskytte os mod potentielle risici, så vi kan udnytte fordelene ved AI i vores arbejde med cybersikkerhed.

De fordele, Siemens får ud af AI, opvejer i høj grad risiciene. Gennem omhyggelig implementering og løbende overvågning minimerer vi disse risici og forstærker fordelene ved AI. Derfor fremstår AI som et uvurderligt instrument, der i væsentlig grad forbedrer vores evne til at afværge sikkerhedstrusler.