Governance della cybersecurity

ISO 27001 è lo standard internazionale che descrive le migliori pratiche per un Sistema di Gestione della Sicurezza delle Informazioni (ISMS).

Ottenere una certificazione accreditata ISO 27001 dimostra che la nostra organizzazione segue le migliori pratiche di sicurezza delle informazioni e fornisce una verifica indipendente da parte di esperti che la sicurezza delle informazioni è gestita in conformità con le migliori pratiche internazionali e gli obiettivi aziendali.
La governance della cybersecurity per Siemens è certificata ISO 27001 dal novembre 2017.
Siamo certificati secondo il nuovo standard ISO 27001:2022 da novembre 2023.

• Scarica certificato
• Maggiori informazioni sui Certificati di sistema

Siamo appassionati nel rendere possibile una cybersecurity resiliente e basata sui dati attraverso un'architettura robusta per proteggere Siemens.

Per raggiungere questo obiettivo, stiamo implementando la nostra strategia di Cybersecurity nel progetto e utilizzando il servizio di Enterprise Architecture appena creato per mappare i nostri obiettivi strategici in un'architettura target che guidi l'intera Cybersecurity nello sforzo di implementazione.

Gli obiettivi principali del progetto sono: Snellire l'utilizzo delle risorse attraverso l'automazione e le misure di efficienza, migliorando la visibilità e la trasparenza dei rischi di cybersecurity in tutta Siemens e sfruttando il processo decisionale basato sui dati per rafforzare la mitigazione dei rischi reattiva e proattiva.

La nostra configurazione del progetto è strutturata in cinque flussi di lavoro:

• Concetto e processi:

  Il nostro obiettivo è descrivere e mantenere il processo di architettura all'interno di Siemens Cybersecurity, assicurandoci che sia integrato con la nostra strategia e il nostro portafoglio. E per descrivere i componenti fondamentali della nostra architettura di cybersecurity basata sui dati, comprese le capacità, le applicazioni, gli input, gli output e le dipendenze.

• Governance:

  Miriamo a definire come i dati di cybersecurity possano essere combinati per consentire l'identificazione e la valutazione automatica del rischio di cybersecurity, potenziare il processo decisionale per la sua mitigazione e aumentare la conformità alle politiche.

• Consapevolezza situazionale:

  Il nostro obiettivo è essere in prima linea e rappresentare la voce del progetto EA, raccogliendo le aspettative degli utenti e fornendo una visione olistica del rischio per migliorare le operazioni quotidiane degli utenti finali.

• Intelligence di sicurezza:

  Miriamo a implementare un punto decisionale supportato da IA e basato sui dati che fornisca l'identificazione e la mitigazione automatica dei rischi di cybersecurity Siemens, potenziando il processo decisionale.

• Dati:

  Workstream Data aiuta la Cybersecurity ad adottare un approccio basato sui dati stabilendo la trasparenza dei dati, prevenendo la duplicazione dei dati e fornendo indicazioni ai team per le loro strategie sui dati.

Il Framework della Politica di cybersecurity è applicabile a Siemens e alle sue aziende affiliate. In particolare, contiene i requisiti di cybersecurity stabiliti in politiche, standard e baseline specifici.

Tutte le politiche si basano su standard industriali rilevanti come ISO 2700x o IEC 62443. Per garantire la conformità con altri standard importanti, vengono gestiti anche i riferimenti a essi. L'elenco degli standard rilevanti include ad esempio NIST 800-53, le Linee guida sulla gestione del rischio ICT e della sicurezza dell'EBA, e altri.

I prodotti, le soluzioni e i servizi Siemens contengono una quantità significativa di componenti software e IT, che in molti casi sono utilizzati nel contesto di infrastrutture critiche e potrebbero diventare più esposti alle minacce informatiche. I requisiti normativi e di sicurezza specifici per i clienti stanno aumentando e devono essere affrontati da Siemens.

Per rimanere competitivi e affidabili, è stata istituita l'iniziativa PSS a livello Siemens per garantire che i prodotti, le soluzioni e i servizi che vendiamo permettano ai nostri clienti di gestire le loro strutture in un ambiente sicuro.

A tal fine sono in vigore requisiti vincolanti per il PSS e raccomandazioni per l'implementazione. Il miglioramento continuo e l'apprendimento continuo sono prerequisiti fondamentali per una realizzazione di successo.

È di vitale importanza creare una consapevolezza e una comprensione comuni tra tutti i dipendenti riguardo agli aspetti fondamentali della cybersecurity e fornire una formazione specifica dedicata ai ruoli rilevanti per la cybersecurity. Per rispondere alle aspettative dei nostri clienti riguardo a prodotti, soluzioni e servizi all'avanguardia di Siemens in termini di tecnologia e sicurezza e per garantire la capacità di fornire tale qualità aumentando continuamente la consapevolezza della cybersecurity nella nostra azienda e permettendo ai nostri dipendenti di considerare la cybersecurity in ogni attività, fase e processo dell'intera catena del valore, abbiamo creato diverse attività. Per esempio:

• Una campagna di sensibilizzazione globale obbligatoria con l'obiettivo di fornire a tutti i dipendenti informazioni su argomenti generali e importanti di cybersecurity. Queste sessioni di formazione sono basate sul web, senza barriere e multilingue. Inoltre, per un gruppo specifico per ruolo, abbiamo la formazione “Patente di guida”. Questa formazione è obbligatoria e consente al gruppo specifico per ruolo di applicare tutte le linee guida di sicurezza IT/OT di Siemens. Al completamento con successo, i partecipanti ricevono un certificato valido per due anni.
• Mettiamo inoltre a disposizione diversi corsi di formazione e opportunità di apprendimento, continuamente aggiornati, per tutti i dipendenti Siemens. Questi possono essere accessibili su base volontaria. Questa formazione non è solo per conoscenze di base, ma anche per aree specifiche e specializzate come la Sicurezza di prodotti e soluzioni.
• Crediamo che l'apprendimento continuo sia la chiave del successo e quindi cerchiamo costantemente nuovi modi per formare e aggiornare i nostri dipendenti.

Mantieni sempre una visione d'insieme: Per aiutare a raggiungere questo obiettivo, forniamo una piattaforma interna di cybersecurity chiamata 'CyberMart' che offre una visione olistica dei dati e dei processi di cybersecurity presso Siemens.

Consente decisioni aziendali informate e mirate fornendo una

• piattaforma per l'elaborazione sicura di applicazioni che trattano informazioni rilevanti per la cybersecurity,
• pool di dati sicuri per dati rilevanti per la cybersecurity così come
• report sulla maturità e sullo stato dei processi di sicurezza (ad esempio, protezione degli asset, gestione delle eccezioni).

Parte di questa piattaforma è una dashboard di cybersecurity che fornisce una panoramica dello stato operativo della cybersecurity nonché dei dati strategici principali. Queste informazioni costituiscono la base per il report interno regolare alla direzione di Siemens e al Consiglio di sorveglianza di Siemens.

L'obiettivo principale della Gestione del rischio di cybersecurity, che fa parte della Gestione del rischio aziendale (ERM) di Siemens, è consentire a Siemens di ottenere trasparenza riguardo ai suoi rischi di cybersecurity e di gestirli adeguatamente a un livello accettabile.
Il framework di Gestione del rischio di cybersecurity di Siemens si basa su standard internazionali (ISO/IEC 27005 e ISF IRAM2), considerando tutti i livelli, dall'operativo fino all'azienda, utilizzando anche processi e ruoli ERM consolidati.
I rischi di cybersecurity segnalati e gestiti fino al livello ERM sono identificati all'interno dei seguenti processi e gestiti nei rispettivi strumenti:

• Processo complessivo di Gestione del rischio di cybersecurity
• Processo di classificazione e protezione degli asset per IT e documenti e informazioni
• Analisi delle minacce e dei rischi per prodotti, soluzioni e servizi
• Processo di gestione delle eccezioni per deviazioni temporanee dal framework di cybersecurity Siemens
• Gestione del rischio dei fornitori di cybersecurity

Gestione del rischio dei fornitori di cybersecurity:

I rischi di cybersecurity devono essere gestiti lungo l'intera supply chain. Siemens considera questo argomento in modo olistico includendo IT, OT e PSS per l'approvvigionamento di componenti, prodotti e servizi orizzontali e verticali. Per questo motivo, le principali attività per migliorare il livello di cybersecurity lungo la supply chain includono:

• Trasparenza riguardo all'esposizione al rischio di cybersecurity lungo la supply chain
• Pratiche sistematiche di gestione del rischio supportate da una metodologia di valutazione dei fornitori terzi, rispettivi strumenti e modelli per i requisiti contrattuali di cybersecurity ai fornitori
• Partecipazione attiva all'interno della Charter of Trust che guida il secondo principio: “Responsabilità lungo tutta la supply chain digitale” così come varie comunità di esperti
• Formazione regolare e campagne di sensibilizzazione per vari gruppi target e casi d'uso

Cos'è un incidente di sicurezza delle informazioni?

Un incidente di sicurezza delle informazioni è definito come: La compromissione diretta o indiretta della riservatezza, integrità e/o disponibilità delle informazioni secondo la loro classificazione (basata su ISO27001 e NIST 800-61 rev2). Esempi di incidenti includono, in via non limitativa:

1. Tentativi riusciti di ottenere accesso non autorizzato a un sistema o ai suoi dati
2. Interruzione o negazione del servizio
3. Uso non autorizzato di un sistema per l'elaborazione o l'archiviazione di dati
4. Modifiche all'hardware, al firmware o alle caratteristiche del software del sistema senza conoscenza, istruzione o consenso del proprietario

Risposta agli incidenti

Effettuiamo un'analisi approfondita degli incidenti di cybersecurity. Per raggiungere questo obiettivo, collaboriamo con i responsabili aziendali, i segnalatori di incidenti interni ed esterni e le parti interessate per coordinare le attività di risposta e garantire un adeguato contenimento e l'avvio delle attività di rimedio. Inoltre, forniamo un Project Manager per gli Incidenti, supportando gli aspetti organizzativi e comunicativi di incidenti gravi e complessi.

Processo di gestione degli incidenti

• Rileva

  Compromissione della riservatezza, integrità e/o disponibilità delle informazioni.

• Rispondi

  Analisi dell'attacco e avvio di contromisure.

• Rimedia

  Contenere: Limitare l'attività dannosa, Mitigare: Prevenire ulteriori danni, Riparare: Correggere e prevenire ricorrenze

• Recuperare

  Ripristinare l'integrità dei sistemi interessati a uno stato operativo non degradato.

Le minacce alla sicurezza costringono l'industria ad agire.

Gli attacchi da parte di criminali informatici che possono manipolare intere catene del valore spesso non causano solo interruzioni della produzione, ma anche danni considerevoli alla tua immagine. Per proteggere al meglio la tua tecnologia operativa (OT), è necessario ottenere trasparenza sull'esposizione al rischio dei tuoi asset. Ciò consente di identificare ed eliminare le minacce di cybersecurity prima che causino danni significativi. Forniamo maggiore cybersecurity per i tuoi processi di produzione. Il nostro approccio olistico è progettato per identificare le lacune nella sicurezza procedurale e le vulnerabilità tecniche prima che vengano sfruttate da attori malintenzionati.

Ulteriori informazioni

L'IA svolge una funzione cruciale negli sforzi di cybersecurity di Siemens. Identifica e contrasta dinamicamente le minacce alla sicurezza rilevando anomalie all'interno della nostra rete e dei nostri sistemi. Questa azione immediata contro le violazioni della sicurezza aiuta a limitare i danni potenziali.

Inoltre, l'IA aumenta l'efficacia delle nostre procedure di cybersecurity automatizzando compiti banali. Questa automazione consente ai nostri team di sicurezza di concentrarsi su questioni più complesse e urgenti. Inoltre, l'IA istituisce protocolli di sicurezza personalizzati basati sull'analisi del comportamento degli utenti, promuovendo una strategia di sicurezza precisa per ogni divisione all'interno di Siemens.

Nonostante i vantaggi, è importante notare che l'IA può anche essere uno strumento per gli aggressori informatici, aumentando la complessità delle loro azioni dannose. Questi aggressori potrebbero sfruttare l'IA per automatizzare i loro attacchi, eludere i sistemi di sicurezza convenzionali o persino simulare il comportamento umano per sfuggire al rilevamento.

Tuttavia, Siemens è ben preparata per questo scenario complesso. Abbiamo stabilito protocolli di sicurezza rigorosi per garantire l'applicazione sicura e responsabile dell'IA. Il nostro approccio lungimirante aiuta a mantenere l'integrità dei nostri sistemi e a proteggerci dai rischi potenziali, permettendoci così di sfruttare i vantaggi dell'IA nelle nostre operazioni di cybersecurity.

I benefici che Siemens trae dall'IA superano decisamente i rischi. Attraverso un'attuazione meticolosa e una sorveglianza continua, minimizziamo questi rischi e amplifichiamo i benefici dell'IA. Di conseguenza, l'IA emerge come uno strumento prezioso che migliora sostanzialmente la nostra capacità di respingere le minacce alla sicurezza.