Jeśli zapytać większość producentów, czym zajmują się w ramach przygotowań do wdrożenia dyrektywy NIS2, zazwyczaj jako pierwszą odpowiedź podają cyberbezpieczeństwo.
I nic dziwnego. Nowe przepisy, bardziej rygorystyczne wymogi w zakresie zarządzania oraz rosnące zagrożenia cybernetyczne sprawiły, że kwestia cyberbezpieczeństwa stała się ważniejsza niż kiedykolwiek wcześniej.
Jednak w praktyce cyberbezpieczeństwo rzadko stanowi największą przeszkodę w osiągnięciu zgodności z dyrektywą NIS2. Częściej prawdziwym wyzwaniem jest coś znacznie prostszego.
Czy naprawdę znasz swoje środowisko technologii operacyjnej (OT) na tyle dobrze, by móc wykazać, że jest ono bezpieczne, odpowiednio zarządzane i gotowe do audytu?
W firmie Contec jest to jedno z pierwszych pytań, jakie zadajemy podczas współpracy z producentami. Nie dlatego, że organizacjom brakuje wiedzy specjalistycznej, ale dlatego, że środowiska przemysłowe z natury rzeczy ewoluują z upływem czasu. Linie produkcyjne są rozbudowywane, sprzęt modernizowany, dostawcy wymagają zdalnego dostępu, a także wdrażane są nowe systemy. Wkrótce środowisko OT staje się znacznie bardziej złożone, niż ktokolwiek pierwotnie planował.
Właśnie dlatego przygotowania do audytu NIS2 rozpoczynają się na długo przed samym audytem.
NIS2 wykracza poza ramy cyberbezpieczeństwa
Jednym z największych nieporozumień dotyczących NIS2 jest przekonanie, że skupia się on wyłącznie na bezpieczeństwie informatycznym. Tak jednak nie jest.
W przypadku producentów obsługujących infrastrukturę krytyczną lub ważną dyrektywa NIS2 nakłada na organizacje obowiązek wykazania, że zarówno środowiska IT, jak i OT są odpowiednio zarządzane, udokumentowane i chronione. Oznacza to, że cyberbezpieczeństwo stanowi jedynie jeden z elementów znacznie szerszego kontekstu, który obejmuje również ład korporacyjny, zarządzanie ryzykiem, ciągłość działania, reagowanie na incydenty, zarządzanie dostawcami oraz odporność operacyjną.
Dla wielu organizacji środowisko OT stanowi obszar, w którym uzyskanie takiego szerszego obrazu sytuacji staje się największym wyzwaniem.
Dlaczego terapia zajęciowa zasługuje na szczególną uwagę
W odróżnieniu od tradycyjnych systemów informatycznych, środowiska OT często łączą w sobie urządzenia i technologie, które ewoluowały przez wiele lat.
Sterowniki PLC, platformy SCADA, sieci przemysłowe, interfejsy HMI, systemy archiwizacji danych, aplikacje MES oraz systemy innych producentów często muszą ze sobą współpracować, nawet jeśli pierwotnie nie zostały do tego zaprojektowane.
Nie musi to oznaczać, że coś jest nie tak. Oznacza to po prostu, że przygotowanie się do audytu NIS2 wymaga dokładnego zrozumienia obecnego stanu rzeczy, sposobu współdziałania systemów oraz tego, gdzie mogą kryć się potencjalne zagrożenia lub luki.
Z naszego doświadczenia wynika, że organizacje często są zaskoczone tym, jak wiele cennej wiedzy znajduje się wyłącznie w głowach inżynierów i zespołów konserwacyjnych, a nie w dokumentacji.
Audyt wymaga jednak dowodów, a nie przypuszczeń.
To, co zazwyczaj obserwujemy w przemyśle wytwórczym
Każdy zakład produkcyjny jest inny, ale podczas ocen czasu pracy (OT) wielokrotnie powracają pewne kwestie.
Żadna z tych sytuacji nie oznacza automatycznie incydentu związanego z cyberbezpieczeństwem. Jednak wszystkie razem znacznie utrudniają wykazanie zgodności z przepisami podczas audytu NIS2.
-
Aktywa OT, które nigdy nie zostały w pełni udokumentowane
-
Starsze urządzenia nadal zapewniają funkcjonowanie kluczowych procesów produkcyjnych
-
Dostęp dostawców, który ewoluował z biegiem czasu bez regularnych przeglądów
-
Procedury tworzenia kopii zapasowych i przywracania danych, które nigdy nie zostały przetestowane
-
Różne zespoły korzystające z różnych wersji tych samych informacji
-
Niekompletna dokumentacja sieciowa
Aktywa OT, które nigdy nie zostały w pełni udokumentowane
Przygotowanie do audytu NIS2 zaczyna się od zrozumienia środowiska OT
Zamiast od razu przechodzić do środków kontroli technicznej, zachęcamy producentów, aby najpierw uzyskali uporządkowany obraz swojego środowiska OT.
W firmie Contec nasze podejście do przygotowania do audytu OT NIS2 opiera się na ośmiu praktycznych elementach składowych, które pomagają organizacjom przejść od stanu niepewności do gotowości do audytu:
1. Określić zakres terapii zajęciowej
Należy zidentyfikować kluczowe zasoby, systemy produkcyjne i zakresy odpowiedzialności, jednocześnie jasno określając, co wchodzi w zakres dziedziny OT.
2. Przeprowadź ocenę ryzyka związanego z terapią zajęciową
Należy ocenić ryzyko cybernetyczne, ryzyko operacyjne oraz potencjalne słabe punkty, stosując ustrukturyzowane podejście oparte na analizie ryzyka.
3. Opracowanie zasad i procedur dotyczących terapii zajęciowej
Należy opisać, w jaki sposób realizowane są: zarządzanie dostępem, tworzenie kopii zapasowych, zarządzanie zmianami, instalowanie poprawek oraz zarządzanie cyklem życia.
4. Opracuj plan reagowania na incydenty
Należy zadbać o to, by zakresy obowiązków, procedury eskalacji oraz obowiązki sprawozdawcze zostały jasno określone, zanim dojdzie do incydentu.
5. Wzmocnienie ciągłości działania
Należy przeanalizować strategie tworzenia kopii zapasowych, procedury przywracania sprawności po awarii oraz odporność operacyjną w celu zminimalizowania zakłóceń w pracy produkcyjnej.
6. Przegląd zarządzania dostawcami
Należy ustalić, kto ma dostęp do środowiska OT, na jakich warunkach oraz w jaki sposób regulowane są te relacje.
7. Usprawnienie zarządzania aktywami i cyklem życia
Prowadzenie dokładnego wykazu zasobów OT przy jednoczesnym zarządzaniu aktualizacjami, konserwacją oraz sprzętem wycofywanym z eksploatacji.
8. Ocena technicznych środków bezpieczeństwa
Ocenić aktualny stan bezpieczeństwa środowiska OT oraz określić praktyczne działania usprawniające, które pozwolą ograniczyć ryzyko, a jednocześnie zapewnią zgodność z przepisami.
Żadnego z tych kroków nie należy traktować jako czysto formalnej procedury. Razem stanowią one ustrukturyzowany sposób na zrozumienie aktualnego stanu środowiska OT, zidentyfikowanie możliwości usprawnień oraz wykazanie zgodności z przepisami podczas audytu.
Gotowość do audytu to coś więcej niż tylko pomyślne przejście audytu
Jedną z najważniejszych rzeczy, o których informujemy klientów, jest to, że przygotowania do NIS2 nie powinny być traktowane jako jednorazowy projekt mający na celu zapewnienie zgodności z przepisami.
Organizacje, które czerpią z tego największe korzyści, to zazwyczaj te, które wykorzystują ten proces do usprawnienia ogólnego zarządzania swoim środowiskiem OT.
- Lepsza dokumentacja ułatwia konserwację.
- Jasno określone obowiązki zwiększają odporność operacyjną.
- Strukturalne zarządzanie zasobami ułatwia przyszłe modernizacje.
Jasno określone procedury zmniejszają niepewność w przypadku wystąpienia zdarzeń.
Innymi słowy, wiele działań wymaganych w ramach NIS2 przyczynia się również do zwiększenia bezpieczeństwa, niezawodności i wydajności środowisk produkcyjnych.
W jaki sposób firma Contec pomaga
Przygotowanie środowiska OT do spełnienia wymogów NIS2 wymaga czegoś więcej niż tylko zrozumienia przepisów. Wymaga to zrozumienia, jak faktycznie funkcjonują środowiska przemysłowe.
Właśnie w tym zakresie firma Contec wnosi inne spojrzenie na sprawę.
Dzięki wieloletniemu doświadczeniu w dziedzinie automatyki przemysłowej, informatyki przemysłowej oraz integracji procesów produkcyjnych pomagamy organizacjom wypełnić lukę między wymogami regulacyjnymi a codzienną rzeczywistością środowisk produkcyjnych. Nasze podejście łączy techniczną wiedzę specjalistyczną z zakresu technologii operacyjnej (OT) z praktycznym przygotowaniem do audytów, gwarantując, że wprowadzane usprawnienia są nie tylko zgodne z przepisami na papierze, ale także realistyczne pod względem wdrożenia i utrzymania.
Zacznij przygotowania jeszcze przed rozpoczęciem audytu
Czekanie na wyznaczenie terminu audytu często oznacza walkę z czasem.
Wcześniejsze rozpoczęcie działań daje organizacjom możliwość zapoznania się ze swoim środowiskiem OT, usunięcia luk w sposób uporządkowany oraz zbudowania pewności siebie, zanim zapewnienie zgodności stanie się sprawą pilną.
Jeśli Państwa organizacja przygotowuje się do wdrożenia dyrektywy NIS2 lub po prostu pragnie lepiej zrozumieć swój poziom gotowości w zakresie technologii operacyjnych (OT), nasi specjaliści chętnie pomogą w ocenie Państwa obecnego środowiska i opracowaniu praktycznego planu działania prowadzącego do osiągnięcia zgodności.
