Cybersecurity Governance

Az ISO 27001 a nemzetközi szabvány, amely leírja az információbiztonsági irányítási rendszer (ISMS) bevált gyakorlatait.

Az ISO 27001 akkreditált tanúsítvány megszerzése azt mutatja, hogy szervezetünk követi az információbiztonsági bevált gyakorlatokat, és független szakértői ellenőrzést biztosít arról, hogy az információbiztonság kezelése a nemzetközi bevált gyakorlatokkal és üzleti célkitűzésekkel összhangban történik.

A Siemens Cybersecurity irányítása 2017 novembere óta ISO 27001 tanúsítvánnyal rendelkezik.

2023 novembere óta az új ISO 27001:2022 szabvány szerinti tanúsítvánnyal rendelkezünk.

• Tanúsítvány letöltése
• Tudjon meg többet a rendszertanúsítványokról

Szenvedélyesen szeretnénk biztosítani a rugalmas, adatvezérelt kiberbiztonságot egy robusztus architektúrával, amely a Siemens védelmét szolgálja.

Ennek elérése érdekében Cybersecurity stratégiánkat valósítjuk meg a projektben, és az újonnan létrehozott Enterprise Architecture szolgáltatást használva stratégiai céljainkat célarchitektúrává alakítjuk fel, amely irányítja az összes kiberbiztonságot megvalósítási erőfeszítéseik során.

A projekt fő céljai a következők: az erőforrások felhasználásának ésszerűsítése automatizálási és hatékonysági intézkedésekkel, a kiberbiztonsági kockázatok láthatóságának és átláthatóságának javítása a Siemens-ben, valamint az adatvezérelt döntéshozatal kiaknázása a reaktív és proaktív kockázatcsökkentés megerősítésére.

Projektbeállításunk öt munkafolyamatban van felépítve:

• Koncepció és folyamatok:

  Célunk a Siemens Cybersecurity architektúrájának leírása és fenntartása, biztosítva annak integrálását stratégiánkkal és portfóliónkkal. Adatvezérelt kiberbiztonsági architektúránk építőelemeinek leírására, beleértve a képességeket, alkalmazásokat, bemeneteket, kimeneteket és függőségeket.

• Governance:

  Célunk meghatározni, hogy a kiberbiztonsági adatok hogyan kombinálhatók az automatikus kiberbiztonsági kockázatok azonosítása és értékelése érdekében, lehetővé tegyük a kiberbiztonsági kockázatok csökkentését célzó döntéshozatali lehetőségeket, és növeljük a szakpolitikák betartását.

• Helyzettudatosság:

  Célunk, hogy élen álljunk az EA projektnek és hangja legyünk, összegyűjtve a felhasználók elvárásait és holisztikus kockázati pozíciót biztosítva a végfelhasználók napi működésének javítása érdekében.

• Security intelligencia:

  Célunk egy mesterséges intelligencia által támogatott és adatvezérelt döntési pont bevezetése, amely a döntéshozatal lehetővé tétele révén automatikus Siemens kiberbiztonsági kockázatok azonosítását és mérséklését teszi lehetővé.

• Adatok:

  A Workstream Data segíti a kiberbiztonságot az adatvezérelt megközelítés alkalmazásában azáltal, hogy biztosítja az adatok átláthatóságát, megakadályozza az adatok megduplikálását és útmutatást nyújt a csapatoknak az adatstratégiáikhoz.

A Cybersecurity politikai keretrendszer a Siemens és annak kapcsolt vállalataira vonatkozik. Különösen a konkrét politikákban, szabványokban és alapvonalakban meghatározott kiberbiztonsági követelményeket tartalmazza.

Minden szabályzat a vonatkozó iparági szabványokon alapul, mint például az ISO 2700x vagy az IEC 62443. Más fontos szabványoknak való megfelelés biztosítása érdekében a rájuk való hivatkozásokat is kezelik. A vonatkozó szabványok listája tartalmazza például a NIST 800-53, az EBH IKT-vel és biztonsági kockázatkezeléssel kapcsolatos iránymutatásait és másokat.

A Siemens termékei, megoldásai és szolgáltatásai jelentős mennyiségű szoftvert és informatikai összetevőt tartalmaznak, amelyeket sok esetben a kritikus infrastruktúrák keretében használnak, és jobban ki lehetnek téve a kiberfenyegetéseknek. A szabályozási és az ügyfélspecifikus biztonsági követelmények növekednek, és a Siemens-nek foglalkoznia kell velük.

A versenyképesség és megbízhatóság fenntartása érdekében a Siemens egészére kiterjedő PSS kezdeményezést azért hozták létre, hogy az általunk értékesített termékek, megoldások és szolgáltatások lehetővé tegyék ügyfeleink számára, hogy biztonságos környezetben működtethessék létesítményeiket.

Ebből a célból a PSS-re vonatkozó kötelező érvényű követelmények és a végrehajtásra vonatkozó ajánlások vonatkoznak. A folyamatos fejlesztés és a folyamatos tanulás alapvető előfeltétele a sikeres megvalósításnak.

Létfontosságú, hogy a kiberbiztonság alapvető szempontjaival kapcsolatos közös tudatosságot és megértést teremtsünk valamennyi alkalmazott körében, és külön képzést biztosítsunk a kiberbiztonság szempontjából releváns szerepekhez. Annak érdekében, hogy megfeleljenek ügyfeleink elvárásainak a Siemens technológiai és biztonságának legmodernebb termékeire, megoldásaira és szolgáltatásaira, és biztosítsuk az ilyen minőség biztosítását azáltal, hogy folyamatosan növeljük a kiberbiztonság tudatosságát vállalatunkban, és lehetővé tesszük munkatársaink számára, hogy a teljes értéklánc minden tevékenységében, lépésében és folyamatában figyelembe vegyék a kiberbiztonságot. Például:

• Kötelező globális tudatossági kampány, amelynek célja, hogy minden alkalmazott információt nyújtson az általános és fontos kiberbiztonsági témákról. Ezek a képzések webalapúak, akadálymentesek és többnyelvűek. Ezenkívül egy szerepspecifikus csoport számára van a „Vezetői engedély” képzés. Ez a képzés kötelező, és lehetővé teszi a szerepspecifikus csoport számára, hogy alkalmazzák az összes Siemens IT/OT biztonsági irányelveit. A sikeres befejezés után a résztvevők két évig érvényes tanúsítványt kapnak.
• Emellett számos folyamatosan frissített képzést és tanulási lehetőséget biztosítunk a Siemens összes alkalmazottja számára. Ezek önkéntes alapon érhetők el. Ez a képzés nemcsak az alapismeretekre vonatkozik, hanem olyan speciális területekre is, mint a termék- és megoldásbiztonság.
• Hisszük, hogy a folyamatos tanulás a siker kulcsa, ezért folyamatosan új módszereket keresünk alkalmazottaink képzésére és frissítésére.

Mindig tartson áttekintést: Ennek elérése érdekében egy „CyberMart” nevű belső kiberbiztonsági platformot biztosítunk, amely holisztikus képet ad a Siemens kiberbiztonsági adatairól és folyamatairól.

Lehetővé teszi a tájékozott és célzott üzleti döntéseket azáltal, hogy biztosítja

• a kiberbiztonsági releváns információkat feldolgozó biztonságos alkalmazások platformja,
• biztonságos adatkészlet a kiberbiztonsági szempontból releváns adatokhoz, valamint
• lejárati és állapotjelentés a biztonsági folyamatokról (pl. eszközvédelem, kivételkezelés).

Ennek a platformnak a része egy kiberbiztonsági irányítópult, amely a kiberbiztonsági működési állapot, valamint a stratégiai adatpontok áttekintése. Ez az információ a Siemens igazgatótanácsának és a Siemens felügyelőbizottságának részére történő rendszeres belső jelentések alapjául szolgál.

A Siemens Enterprise Risk Management (ERM) részét képező Cybersecurity kockázatkezelés fő célja, hogy lehetővé tegye a Siemens számára, hogy átláthatóságot szerezzen a kiberbiztonsági kockázatokkal kapcsolatban, és ezeket elfogadható szintre megfelelő módon kezelje.
A Siemens Cybersecurity kockázatkezelési keretrendszer nemzetközi szabványokon (ISO/IEC 27005 és ISF IRAM2) alapul, figyelembe véve az összes szintet, a működéstől a vállalatig, valamint a bevált ERM folyamatokat és szerepeket alkalmazva.
Az ERM szintre jelentett és kezelt kiberbiztonsági kockázatokat a következő folyamatok keretében azonosítják, és a megfelelő eszközökön belül kezelik:

• Általános Cybersecurity kockázatkezelési folyamat
• Informatikai, dokumentumok és információs eszközök eszközosztályozási és -védelmi folyamata
• Termékek, megoldások és szolgáltatások fenyegetései és kockázatelemzése
• Kivételkezelés folyamata a Siemens kiberbiztonsági keretrendszerétől való ideiglenes eltérések esetén
• Cybersecurity beszállítói kockázatkezelés

Cybersecurity beszállítói kockázatkezelés:

A kiberbiztonsági kockázatokat a teljes ellátási lánc mentén kell kezelni. A Siemens ezt a témát holisztikusan veszi figyelembe, beleértve az IT, az OT és a PSS-t a horizontális és vertikális alkatrészek, termékek és szolgáltatások beszerzése terén. Ezért az ellátási lánc mentén a kiberbiztonság szintjének javítására irányuló fő tevékenységek a következők:

• Az ellátási lánc mentén a kiberbiztonsági kockázatnak való kitettség átláthatósága
• Szisztematikus kockázatkezelési gyakorlatok, amelyeket harmadik fél beszállítói értékelési módszertana, megfelelő eszközök és sablonok támogatnak a beszállítóknak nyújtott szerződéses kiberbiztonsági követelményeknek
• Aktív részvétel a bizalmi chartában, amely a második elv: „Felelősség a digitális ellátási lánc egész területén”, valamint a különböző szakértői közösségek irányításában
• Rendszeres tréningek és tudatossági kampányok különböző célcsoportok és felhasználási esetek számára

Mi az információbiztonsági esemény?

Az információbiztonsági incidenst a következőképpen határozzák meg: Az információ titoktartásának, integritásának vagy rendelkezésre állásának közvetlen vagy közvetett veszélyeztetése az osztályozás szerint (az ISO27001 és a NIST 800-61 rev2 alapján) .Az eseménypéldák közé tartoznak, de nem kizárólagosan:

1. Sikeres kísérletek a rendszerhez vagy annak adataihoz való jogosulatlan hozzáférés megszerzésére
2. Szolgáltatás megszakítása vagy megtagadása
3. Rendszer jogosulatlan használata az adatok feldolgozására vagy tárolására
4. A rendszerhardver, firmware vagy szoftver jellemzőinek módosítása a tulajdonos ismerete, utasítása vagy beleegyezése nélkül

Eseményre adott válasz

Kiberbiztonsági incidensek mélyreható elemzését végezzük. Ennek elérése érdekében kapcsolatba lépünk üzleti felelősséggel, belső és külső eseményriporterekkel és érdekelt felekkel a reagálási tevékenységek összehangolása és a helyreállítási feladatok megfelelő visszaszorítása és kezdeményezése érdekében. Továbbá, Incident Project Manager szolgáltatást nyújtunk, amely támogatja a súlyos és összetett események szervezeti és kommunikációs vonatkozásait.

Eseménykezelési folyamat

• Érzékelés

  Az információk titoktartásának, integritásának és/vagy rendelkezésre állásának veszélyeztetése.

• Válaszolj

  Elemezze a támadást és kezdeményezzen ellenintézkedéseket.

• Helyreállítás

  Tartalmaz: A rosszindulatú tevékenységek korlátozása, enyhítése: További károsodás megelőzése, javítás: Javítás és az újbóli előfordulás megakadályozása

• Helyreállítás

  Az érintett rendszerek integritásának helyreállítása nem romlott működési állapotba.

A Security fenyegetések cselekvésre kényszerítik az iparágat.

A teljes értékláncokat manipuláló számítógépes bűnözők által végzett támadások gyakran nemcsak a gyártási szüneteket eredményeznek, hanem jelentős károkat is okoznak az Ön imázsának. Az operatív technológia (OT) lehető legjobb védelme érdekében átláthatóságot kell biztosítani az eszközök kockázati kitettségével kapcsolatban. Ez lehetővé teszi a kiberbiztonsági fenyegetések azonosítását és kiküszöbölését, mielőtt azok jelentős károkat okoznának. Nagyobb kiberbiztonságot biztosítunk a gyártási folyamatok számára. Holisztikus megközelítésünk célja, hogy azonosítsa az eljárási biztonsági hiányosságokat és a technikai sérülékenységeket, mielőtt azokat rossz szereplők kihasználnák.

További információ

Az AI kulcsfontosságú szerepet tölt be a Siemens kiberbiztonsági törekvéseiben. Hálózatunkon és rendszereinken belüli rendellenességek észlelésével dinamikusan azonosítja és ellensúlyozza a biztonsági fenyegetéseket Ez a biztonsági megsértések elleni azonnali fellépés segít csökkenteni a lehetséges károkat.

Ezenkívül az AI növeli a kiberbiztonsági eljárásaink hatékonyságát a hétköznapi feladatok automatizálásával. Ez az automatizálás lehetővé teszi biztonsági csapataink számára, hogy bonyolultabb és sürgetőbb kérdésekre koncentráljanak. Ezenkívül az AI testreszabott biztonsági protokollokat hoz létre a felhasználói viselkedéselemzésen alapuló, pontos biztonsági stratégiát elősegítve a Siemens minden részlegéhez.

Az előnyök ellenére fontos megjegyezni, hogy az AI eszköz lehet a kibertámadók számára is, növelve rosszindulatú cselekedeteik összetettségét. Ezek a támadók felhasználhatják az AI-t támadásaik automatizálására, a hagyományos biztonsági rendszerek elkerülésére, vagy akár az emberi viselkedés szimulálására, hogy elkerüljék az észlelést.

Mindazonáltal a Siemens jól felkészült erre a bonyolult forgatókönyvre. Szigorú biztonsági protokollokat hoztunk létre az AI biztonságos és felelősségteljes alkalmazásának biztosítása érdekében. Előretekintő megközelítésünk segít fenntartani rendszereink integritását és megvédeni bennünket a lehetséges kockázatoktól, lehetővé téve számunkra, hogy kihasználjuk az AI előnyeit kiberbiztonsági műveleteinkben.

A Siemens mesterséges intelligenciából származó előnyei határozottan felülmúlják a kockázatokat. Az aprólékos végrehajtás és a folyamatos felügyelet révén minimalizáljuk ezeket a kockázatokat, és fokozzuk az AI előnyeit. Következésképpen az AI felbecsülhetetlen értékű eszközként jelenik meg, amely jelentősen növeli a biztonsági fenyegetések elhárításának képességét.