rp
beveiligingsmaatregelen genomen te wor- den. Maar overal waar datatransfers plaats- vinden over zonegrenzen heen, dus via een conduit, moeten beveiligingsmaatregelen genomen worden. Ik gebruik expres het woord ‘datatransfers en niet ‘netwerkverbinding’. Uiteraard zijn net- werkverbindingen de meest-voorkomende manier om data te transporteren, maar WiFi, Bluetooth, etc. en mobiele verbindingen tellen óók mee. En: data kan ook ‘te voet’ verplaatst worden, denk hierbij aan een me- dewerker die bestanden via een USB-stick van een apparaat in de ene zone naar een apparaat in een andere zone verplaatst1
.
Andere vormen van conduits die weleens vergeten worden zijn desktop-PC’s die ver- binding hebben met internet voor updates van een engineering tool enerzijds, en een directe verbinding naar een PLC in een productielijn anderzijds. Verder kunnen ook inbelverbindingen (van leveranciers bijvoor- beeld) conduits zijn, of software die contact zoekt met een leverancier om te controleren of een licentie nog geldig is. Het vinden van alle conduits is soms een forse klus, omdat die vaak geheel onbekend zijn (dus: potenti- eel gevaarlijk!) en ook niet duidelijk is wie nu precies met wie communiceert en om welke data het gaat.
Kortom: hoe worden die zones en conduits dan bepaald? Daartoe is de 3-2 in zeven hoofdstukken onderverdeeld, getiteld:
- ZCR-1 Identificeer het te analyseren system (‘SUC’ - System Under Consideration)
- ZCR-2 Voer een hoog-niveau risico- analyse uit
- ZCR-3 Deel SUC op in zones en conduits - ZCR-4 Bepaal of het hoog-niveau risico acceptabel is
- ZCR-5 Voer een gedetailleerde cyber- security risicoanalyse uit (optio- neel)
- ZCR-6 Beschrijf eisen voor aanvullende cybersecurity maatregelen
- ZCR-7 Verkrijg toestemming van de eigenaar
1 Het risico van USB dient niet onderschat te worden, maar een verdere bespreking hiervan valt buiten het bereik van dit artikel. Meer informatie is wel te vinden op:
www.enodenetworks.com/ assets/docs/ProtectingAgainstUSBMalware.pdf.
Afbeelding 2
Deze lijst is op zich niet zo bijzonder, het is redelijk gezond boerenverstand, bijvoor- beeld ZCR-1, ‘Bepaal over welk systeem we het gaan hebben’ en dan ZCR-2 ‘Hoe kwets- baar zijn we’.
Het volgende stroomschema (afbeelding 2) geeft aan hoe de werkprocedure is, welke informatiebronnen / documenten / etc. (links) gebruikt kunnen worden, en welke documenten resulteren (rechts).
Per ZCR (‘Zone and Conduit Requirements’) zijn dan weer deelstappen beschreven, respectievelijk 1, 1, 6, 1, 13, 6 en 1. Hiervan is dan steeds beschreven wat gedaan moet worden (maar niet hoe). Dat kan natuurlijk ook niet, want elk IACS is anders, net zoals elk bedrijf, de risico’s waaraan men bloot- staat, en de consequenties van als het fout gaat. Er wordt ook geen technologie be- noemd, die wijzigt immers zo snel dat als dit in de norm zou staan, deze in een paar jaar verouderd zou zijn. In de tekst wordt steeds uitgelegd waarom een bepaalde deelstap nodig is. Dat helpt bij het begrijpen van de noodzaak van een dergelijke stap.
Een deelstap kan in een paar regels beschre- ven zijn, maar desondanks best veel werk betekenen. Een voorbeeld is ZCR-2.1 ‘Voer een hoog-niveau cybersecurity risicoanalyse uit’, beschreven in slechts 5 regels. Maar in de analyse moet met alle mogelijke risico’s rekening gehouden worden, culminerend in een risicomatrix waaruit dan een ‘Security Level Target’ (gewenst beveiligingsniveau) komt rollen. Dit is dan weer bepalend voor te nemen vervolgstappen en de zwaarte van de te nemen beveiligingsmaatregelen.
Andere deelstappen zoals ZCR-3.5 ‘Separate wireless devices’ zijn sneller te doen, name- lijk het definiëren van aparte zone(s) voor draadloze apparatuur.
Eenmaal in ZCR-4 volgt een belangrijke be- slissing: zijn de gevonden risico’s accepta- bel? Het hangt van het bedrijf af wat ver- staan wordt onder ‘acceptabel’, gegeven de bedrijfsmatige, financiële, maatschappelijke en menselijke consequenties mocht het toch verkeerd gaan. Indien de risico’s accep- tabel zijn, dan hoeft geen gedetailleerde analyse meer gedaan te worden (in ZCR-5). Indien de risico’s te hoog zijn, dan gaan we
7
Page 1 |
Page 2 |
Page 3 |
Page 4 |
Page 5 |
Page 6 |
Page 7 |
Page 8 |
Page 9 |
Page 10 |
Page 11 |
Page 12 |
Page 13 |
Page 14 |
Page 15 |
Page 16 |
Page 17 |
Page 18 |
Page 19 |
Page 20 |
Page 21 |
Page 22 |
Page 23 |
Page 24 |
Page 25 |
Page 26 |
Page 27 |
Page 28 |
Page 29 |
Page 30 |
Page 31 |
Page 32 |
Page 33 |
Page 34 |
Page 35 |
Page 36 |
Page 37 |
Page 38 |
Page 39 |
Page 40 |
Page 41 |
Page 42 |
Page 43 |
Page 44 |
Page 45 |
Page 46 |
Page 47 |
Page 48