Gobernanza de la ciberseguridad

La ciberseguridad es uno de los temas más importantes que afectan al futuro, para las empresas y la sociedad. Es el requisito previo clave para que las organizaciones salvaguarden la infraestructura crítica, protejan la información confidencial y garanticen la continuidad empresarial. Como uno de los objetivos estratégicos de Siemens, la transformación digital solo tendrá éxito si podemos confiar en la seguridad de los datos y en los sistemas conectados. La ciberseguridad tiene un enorme impacto en nuestros clientes y es exigida por muchas leyes y reglamentos nacionales e internacionales. Esto convierte a la ciberseguridad en una de las principales prioridades de Siemens.

La organización de Ciberseguridad de Siemens Industry Software Inc. y sus empresas filiales (SISW) se esfuerza por proteger la información de nuestros clientes que reside en los productos, soluciones y servicios de SISW o que procesa. Lo logramos garantizando que dichos productos, soluciones y servicios cumplen con las prácticas de ingeniería generalmente aceptadas en materia de seguridad de productos y soluciones, incluidas las mejores prácticas de ciberdefensa, como las operaciones de detección de amenazas y la reducción de la superficie de ataque.

El SISW ha establecido un Sistema de Gestión de la Seguridad de la Información (ISMS) que se ajusta a la visión del Marco Político de Ciberseguridad de Siemens y prescribe las políticas, los controles y la asignación de responsabilidades que permiten al SISW cumplir con las expectativas de los clientes en materia de ciberseguridad y cumplir con los requisitos de las certificaciones y atestaciones enumeradas anteriormente.

El elemento fundamental del ISMS es el Manual del Programa de Seguridad de la Información del SISW, que proporciona nuestro enfoque de gestión del programa de seguridad de la información del SISW para las ofertas y actividades relacionadas. El manual describe el enfoque del SISW para establecer y mantener un programa de gobierno de la seguridad de la información que prevea la confidencialidad, la integridad, la disponibilidad y la privacidad de los recursos de información.

El SGSI también establece un conjunto de políticas, bajo el gobierno del SISW Information Security Council (ISC), para garantizar el compromiso con el programa de seguridad de la información, los objetivos del programa y la aplicación del programa.

Los productos, soluciones y servicios de SISW contienen importantes componentes relacionados con el software y la TI, que pueden estar sujetos a requisitos de seguridad reglamentarios que se están desarrollando rápidamente.

La iniciativa PSS para toda Siemens se creó para ayudar a garantizar que los productos, soluciones y servicios que vendemos permiten a nuestros clientes ejecutar sus procesos en un entorno seguro. El SISW asigna un responsable de Product and Solutions Security (PSSO) a cada línea de productos para garantizar que esta iniciativa se implementa y supervisa durante todo el ciclo de desarrollo.

Para ello, Siemens cuenta con requisitos vinculantes para el PSS y recomendaciones de implementación. La mejora continua y el aprendizaje son requisitos previos fundamentales para la realización exitosa del PSS.

Crear conciencia común entre los empleados es crucial para garantizar el cumplimiento de las iniciativas de ciberseguridad y mantener altos niveles de seguridad y protección. Esto significa crear una cultura consciente de los riesgos y ofrecer oportunidades de formación y educación continuas a las personas de toda la organización.

El SISW de Siemens ofrece a los empleados varias actividades y vías de aprendizaje y desarrollo, que incluyen:

• UN campaña obligatoria de sensibilización mundial para proporcionar a los empleados información sobre temas de ciberseguridad. Estas sesiones de formación están basadas en la web, sin barreras y son multilingües. Además, tenemos formación sobre «carné de conducir» para grupos con funciones específicas. Esta formación obligatoria permite al grupo aplicar las normas de seguridad de Siemens.

• Adicional Formación de seguridad obligatoria del SISW para las PSSO y formación específica sobre seguridad en la nube para desarrolladores se ofrece participar en la creación de contenido.

• Siemens ofrece numerosas ofertas que se actualizan periódicamente cursos de formación y oportunidades de aprendizaje para los empleados de forma voluntaria. Estos módulos de formación van desde conocimientos básicos hasta áreas específicas y especializadas, como el PSS.

El SISW mantiene un sistema de gestión de la calidad (QMS) con certificación ISO 9001, diseñado para integrar los controles de seguridad en el ciclo de vida de desarrollo seguro (SDLC) de los productos del SISW y la integración de proveedores externos para controlar la calidad de los productos. El QMS ejecuta las puertas en los principales puestos de control para validar que los controles de seguridad y los KPI de calidad se han ejecutado correctamente.

Visión de calidad

Los riesgos de ciberseguridad deben gestionarse a lo largo de toda la cadena de suministro. Siemens considera este tema de manera integral, incluyendo la TI, la OT y el PSS, para la adquisición de componentes, productos y servicios horizontales y verticales.

Las principales actividades para mejorar el nivel de ciberseguridad a lo largo de la cadena de suministro incluyen:

• Transparencia en cuanto a la exposición a los riesgos de ciberseguridad a lo largo de la cadena de suministro;

• Prácticas sistemáticas de gestión de riesgos respaldadas por la metodología de evaluación de proveedores externos y las respectivas herramientas y plantillas para los requisitos contractuales de ciberseguridad para los proveedores;

• Participación activa en varias comunidades de expertos; y

• Campañas periódicas de formación y sensibilización para varios grupos objetivo y casos de uso.