Säkerhet i industriella informations- och styrsystem

Transkript

1 Foto: Scanpix Säkerhet i industriella informations- och styrsystem Martin Eriksson - Myndigheten för samhällsskydd och beredskap

2 MSB MSB:s uppgift är att utveckla och stödja samhällets förmåga att hantera olyckor och kriser. Vi bidrar till att samhället förebygger händelser och att vi är beredda när de inträffar. När en allvarlig olycka eller kris inträffar ger vi stöd. Vi ska också se till att samhället lär sig av det inträffade.

3 MSB:s uppdrag inom informationssäkerhet

4 MSB:s uppdrag inom informationssäkerhet Myndigheten ska stödja och arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i frågan om arbete till andra statliga myndigheter, kommuner, landsting och organisationer [ ]? C. A. samordna, förebyggande B. verkställa, it-relaterat utvärdera, sekretessbelagt

5 MSB:s uppdrag inom informationssäkerhet Myndigheten ska vidare svara för att Sverige har en funktion med uppgift att stödja samhället i arbetet med att och hantera IT-incidenter.? A. godkänd, förutse B. nationell, förebygga C. etablerad, identifiera

6 MSB:s uppdrag inom informationssäkerhet Myndigheten ska stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i frågan om förebyggande arbete till andra statliga myndigheter, " kommuner, landsting och organisationer [ ] Myndigheten ska vidare svara för att Sverige har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera IT-incidenter.

7 Hantera informationssäkerhetsincidenter

8

9

10 Nationellt program för säkerhet i industriella informations- och styrsystem

11 Varför är detta viktigt för MSB? Industriella informations- och styrsystem styr samhällsviktig verksamhet Samhällsviktig verksamhet sköts ofta av privata aktörer Många internationella leverantörer av utrustning innebär behov av nationell samordning

12 Programområden Medvetandehöjande åtgärder Omvärldsbevakning och informationsdelning Teknisk samverkansplattform Nationell och internationell samverkan Programutveckling

13 Teknisk samverkansplattform Genomförande av kurser för säkerhet i industriella informations- och styrsystem Tekniska demonstrationer Teknisk övningsmodul Kompetensutveckling Studie kring säkerheten i VLAN-separerade nät Studie kring samhällets beroende av GNSS

14 Medvetandehöjande åtgärder

15 Medvetandehöjande PRODUKTER Ny revision av Vägledning till ökad säkerhet i industriella kontrollsystem Självmätningsverktyg Excel-version Webversion Benchmarkversion Filmer avsedda för företagsledningen AKTIVITETER Presentationer Medvetandehöjande utbildnignar

16 Vägledning till ökad säkerhet i industriella informations- och styrsystem Förändringar i nya utgåvan Nytt namn: - Vägledning till ökad säkerhet i industriella informations- och styrsystem Innehåller Riktlinjer för säkerhetsarbetet Innehåller 17 rekommendationer (tidigare 15) Dubbelt så tjock! Refererar nu även till serien Innehåller en ordlista med definitioner

17 Kopplat till 27000

18 Tre delar Del A En sammanfattande översikt Del B Rekommendationer och riktmärken Del C Referenslista med kommentarer

19 DEL A 1. Industriella informations- och styrsystem: En översikt 2. Utveckling och trender påverkar förutsättningarna för att arbeta med säkerhet inom industriella informations- och styrsystem 3. Säkerhet i industriella informations- och styrsystem är viktigt! 4. God säkerhetskultur en grundförutsättning

20 Vad är ett industriellt informations- och styrsystem?

21 Något som ska regleras

22 Något som kan påverka processen

23 Sensor som kan mäta tillståndet

24 Styrdator som kan skicka elektriska signaler

25 Människa-maskin gränssnitt

26 SCADA-system

27 Administrativa nätet

28 Internet

29 Ofta är systemen geografiskt distribuerade

30 Centralt system

31 Lokalt system

32 Svagheter i SCADA Trender och förutsättningar

33 Prestanda och tillgänglighet + Börvärde Utsignal Controller System (PID) - Mätvärde Sensor

34 Näten Styrsystemen är inte isolerade är inte isolerade

35 Fokus på drift och inte på säkerhet Utrustning för styrsystem är avsedda för driftsäkerhet och inte security. Svårt att hantera uppdateringar på system som aldrig får stängas av Inte avsedda att klara av jitter eller ej avsedd trafik

36 Kulturkrockar Processteknikerna kan inget om IT IT-avdelningen kan ingenting om processteknik

37 Styrning Informationssäkerhetspolicyn, om den finns, täcker inte in de industriella informations- och styrsystemen Svårt för ledningen att förstå SCADA-säkerhet eftersom det är tekniskt komplicerat Vinstkrav driver fram sammanslagningar och integration av verksamheter Inga tydliga säkerhetskrav Svårt att mäta, utvärdera och räkna hem säkerhetsinvesteringar

38 Organisation Dålig samverkan mellan IT och processidan Stor skillnad mellan säkerhet i process-it och kontors-it Autonoma lokala operatörer Informationssäkerhet berör hela verksamheten och är svår att placera in i organisationen

39 Kravställning Svårt att ställa rätt krav på systemleverantörer och systemintegratörer Bristande säkerhetskrav i supportavtal Svårt för leverantörer utan tydliga standarder

40 MODEM Leverantör vill ha tillgång till nätet

41 Sammanfatning Informations- och styrsystem är interdisciplinära och kan leda till kulturkrockar Informations- och styrsystem kräver privat-offentlig samverkan Informations- och styrsystem blandar standardkomponenter med speciallösningar Cyberattacker utgör ett reellt hot

42 DEL B Rekommendationer och riktmärken

43 Vägledning till ökad säkerhet i industriella informations- och styrsystem

44 1 Säkra ledningens engagemang och ansvar för de industriella informations- och styrsystemen Tillbaka

45 2 Tydliggör roller och ansvar för säkerheten i industriella informations- och styrsystem. Tillbaka

46 3 Underhåll processer för systemkartläggningar och riskhantering i industriella informations- och styrsystem. Tillbaka

47 4 Säkerställ en systematisk förändringshantering i industriella informations- och styrsystem. Tillbaka

48 5 Säkerställ systematisk kontinuitetsplanering och incidenthantering i industriella informations- och styrsystem. Tillbaka

49 6 Inkludera säkerhetskrav i industriella informations- och styrsystem från början i all planering och upphandling. Tillbaka

50 7 Möjliggör en god säkerhetskultur och höj medvetenheten om behovet av säkerhet i industriella informations- och styrsystem. Tillbaka

51 8 Arbeta med en säkerhetsarkitektur i de industriella informations- och styrsystemen. Tillbaka

52 9 Övervaka kontinuerligt anslutningar och system för att detektera intrångsförsök i industriella informations- och styrsystem. Tillbaka

53 10 Genomför regelbundet riskanalyser av industriella informations- och styrsystem. Tillbaka

54 11 Genomför regelbunden teknisk säkerhetsgranskning av industriella informationsoch styrsystem. Tillbaka

55 12 Utvärdera löpande det fysiska skyddet av industriella informations- och styrsystem. Tillbaka

56 13 Kontrollera regelbundet att endast säkra och relevanta anslutningar till industriella informations- och styrsystem existerar. Tillbaka

57 14 Härda och uppgradera industriella informations- och styrsystem i samverkan med systemleverantörer. Tillbaka

58 15 Genomför egen kompetensutveckling och övning av itincidenter i industriella informations- och styrsystem. Tillbaka

59 16 Följ upp incidenter i industriella informations- och styrsystem och bevaka säkerhetsproblem i omvärlden. Tillbaka

60 17 Samverka i användarföreningar, standardiseringsorgan och andra nätverk för säkerhet i industriella informations- och styrsystem. Tillbaka