Wat is Cyber Security Management?

Wat is Cyber Security Management?
3 oktober 2014
ISA / Hudson Cybertec
Arjan Meijer
Security Consultant
1
Agenda
•
•
•
•
Introductie spreker / ISA
3 pijlers van security
IT versus OT
Cyber Security Management
– Wat is het?
– ISA99/IEC 62443
– De voordelen
• Manier van aanpak
Introductie spreker
• Arjan Meijer
– Security Consultant Hudson Cybertec
– Gecertificeerd ISA trainer
• ISA99/IEC 62443
– Ervaring in verschillende security domeinen
– Uitgebreide kennis ISA95, ISA99/IEC 62443
Introductie ISA
• International Society of Automation (ISA)
• Leidende wereldwijde non-profit organisatie
– Wereldwijd netwerk van ruim 30.000 leden
• Ontwikkelt standaarden voor automatisering
– Meer dan 150 internationale industriestandaarden
– Bv ISA-84; ISA-88; ISA-95; ISA-98; ISA-99; ISA-100; ISA-101
• Certificeert en traint industrie professionals
– O.a. Cyber Security Fundamentals Specialist
De 3 pijlers van security
De 3 pijlers van security
• Mens
• Organisatie
Mens
• Techniek
Organisatie
6-10-2014
Techniek
De 3 pijlers van security
• Maatregelen moeten in balans zijn
– Zorg voor een brede aanpak
– Focus op alle pijlers
• Gestandaardiseerde aanpak kan helpen
– ISA99/IEC 62443
• Verhoogt de
– Efficiëntie van de maatregelen
– Kosten effectiviteit
IT versus OT
Security belangen IT vs. OT
• Verschillende systemen, protocollen, aanvallers, aanvallen
– Verschillende prioriteiten: CIA vs. AIC
Confidentiality
OT:
IT:
CIA Triangle
Integrity
Availability
Cyber Security Management
Wat is het?
Cyber Security management
• Beheersbaar maken van Cyber Security
– Risk analysis
• Inventariseer actuele dreigingsniveau en potentiële business
impact van incidenten
– Cyber Security Management System
• Maak ICS / TA Security tot integraal deel van het operationele
management
– Risk Management
• Koppel cyber risks aan bedrijfsprocessen
• Maak ICS / TA security onderdeel van nieuwe project requirements
Cyber Security Management
ISA99/IEC 62443 standaard
ISA99/IEC 62443 Cyber Security standaard
• Security standaard voor Industrial Automation &
Control Systems
• Aandacht voor
–
–
–
–
–
–
Technologie
Fysieke security
Organisatie structuur
Personele vaardigheden
Beleid
Procedures
Cyber Security Framework
•
•
•
•
•
ISA99/IEC 62443
ISO/IEC27001
NIST SP800-53
COBIT 5
CCS-CSC
ISA99/IEC 62443 Cyber Security Management (1/3)
Voorbeeld: firewall technologie
Firewall
misconfigurations
• Impact van netwerk veranderingen
Time
ISA99/IEC 62443 Cyber Security Management (2/3)
Voorbeeld: firewall technologie
• ISA99/IEC 62443 helpt met:
– Security beleid, organisatie en awareness
• Staf training & security awareness
• Security beleid en procedures
– Geselecteerde security tegenmaatregelen
•
•
•
•
Personele security
Fysieke en omgevings beveiliging
Netwerk segmentatie
Access control
– Administratie, Authenticatie & Autorisatie
ISA99/IEC 62443 Cyber Security Management (3/3)
Voorbeeld: firewall technologie
• ISA99/IEC 62443 helpt met:
– Implementatie
• Risk management en implementatie
• Systeem ontwikkeling en onderhoud
– Ontwikkel & implementeer een change management system
– Bepaal alle risico’s voor vernaderingen aan het IACS
– Vereis security beleid voor systeem ontwikkeling of
onderhoudsveranderingen
– Review en onderhoud policies en procedures
• Informatie en document management
• Incident planning en respons
Security management
Preventie
Baseline measurement
Awareness
Network Segmentation
(Physical) Access Controls
Antivirus
Firewalls
Backup & Restore
…
Recovery
Recovery & Re-instatement
Emergency Response
Incident Management
Escalation Controls
…
Cyber Security Management
De voordelen
Minimale inspanning,
Maximaal resultaat
Kosten (€)
Optimalisatie van kosten
Security by Design
No Security by Design
Tijd
Quick Wins
• Resultaten assessment leiden tot quick-wins
– Focus op prioriteiten
– Effectief gebruik resources
– Meetbare en controleerbare resultaten
• Beheersbare cyber security
• Verbetert de ROI
• Vergroot de effectiviteit van maatregelen
Manier van aanpak
Manier van aanpak (1/2)
• Integrale aanpak door ISA99/IEC 62443 framework
– Geeft richting
– Verankert security in organisatie
– Helpt bij Security by Design
Manier van aanpak (2/2)
• Security Awareness programma
– Operationeel, management
• Security Snapshot, Assessment
– Nulmeting van huidige security status
– Nodige maatregelen voor Mens, Organisatie en Techniek
• ICS netwerk monitoring
• Beleid ICS security
• Kennis: Training!
Met Cyber Security Management
houdt u de controle
over uw eigen proces!

Download Report