ISO/IEC 27019 is 'n stel riglyne vir inligtingsekuriteitbestuur van die prosesbeheerstelsels (PCS) wat in die energienutsektor gebruik word.
Die hoofdoel van die dokument is om die breedte van die ISO/IEC na die outomatiseringstegnologie en PCS-domein te vergroot. Dit is om 'n spesifieke en gestandaardiseerde Inligtingsekuriteitbestuurstelsel (ISMS) om die hardeware- en sagteware-tegnologiestelsels te beskerm wat verantwoordelik is vir die monitering en beheer van die opwekking, transmissie, berging en verspreiding van olie, gas, elektriese krag en hitte, onder andere energienutsdienste.
Die wêreldwye energiebedryf was verantwoordelik vir van die mees rampspoedige rampe wat die mensdom beleef het.
Voorbeelde van vernietigende wanhantering van energiebronne sluit in:
Dit kom as geen verrassing dat daar 'n sterk kultuur van veiligheidskontroles in die energienutsbedryf is nie. Hierdie etos kom van die bewustheid van die langtermyn-effekte van sommige bedrywighede en programme wat verkeerd loop.
Die energienutsbedryf is een van die grootste begunstigdes van outomatisering. Die meeste van die stelsels wat gebruik word maak sterk staat op elektroniese PCS'e soos:
Saam met ander gepaardgaande prosedures en netwerke is hierdie verantwoordelik vir:
Kortom, mislukking of onderbrekings in die elektroniese prosesbeheerstelsels wat gebruik word, sal veroorsaak dat die hele stelsel ondergaan.
Byvoorbeeld, die mislukking van 'n monitor in 'n geotermiese kragsentrale sal lei tot oorverhitting, en op die ergste, 'n rampspoedige ontploffing.
Terwyl die ISO / IEC 27002 standaarde beskryf belangrike riglyne om die beskerming van inligtingsekuriteitsbates te beheer, die omvang daarvan duik nie diep genoeg in die beskerming van energienutsprosesse nie.
Dit is hoekom die ISO/IEC 27019:2017 bestaan.
ISO en IEC het die eerste keer ISO 27019 in 2013 gepubliseer as 'n Tegniese Verslag (TR), gemaak deur 'n DIN-standaard te versnel. In 2017 is 'n tweede uitgawe van die standaard gepubliseer, wat dit 'n volledige Internasionale Standaard maak in harmonie met die 2013-weergawe van ISO 27001 en ISO 27002. So, hoekom is ISO 27019 so belangrik?
ISMS.online is 'n
eenstopoplossing wat ons implementering radikaal bespoedig het.
Met ISMS.online is uitdagings rondom weergawebeheer, beleidsgoedkeuring en beleiddeel iets van die verlede.
Sonder die energiebedryf sou ons nie die vlak van tegnologiese vooruitgang hê wat ons nou doen nie. Die kern van die sektor is die elektroniese prosesbeheerstelsels en -netwerke wat verantwoordelik is om die stelsel funksioneel te hou, waarsonder daar massiewe en selfs katastrofiese mislukkings sou wees. Neem byvoorbeeld die elektriese rooster. As gevolg van beperkte grootskaalse energieberging, hang die effektiewe verspreiding van elektriese energie vir huishoudelike en industriële verbruik af van die handhawing van 'n balans tussen die energie wat geproduseer word en die een wat verbruik word.
As die PCS'e wat gebruik word, sou misluk, sou daar geen manier wees om die energievloei intyds te beheer nie, en die gevolg sou onderbrekings en oorladings wees, wat lei tot onderbrekings in die verspreiding van krag. As die elektriese infrastruktuur van enige land sou ondergaan, sou byna elke ander sektor die voorbeeld volg weens hoe sterk afhanklik is van outomatiseringstegnologie, die meeste van hulle is.
Jy kry 'n duidelike idee van hoe belangrik ISO/IEC 27019 is wanneer jy die bedreigings, kwesbaarhede en impak van bedreigings op energienutsdienste in ag neem
Bedreigings wat energie-nutsdienste in die gesig staar
Sommige van die bedreigings wat die energiebronne in die gesig staar, sluit in natuurrampe en opsetlike sabotasies van sosiale ingenieurs, Advanced Persistent Threats (APT's), kuberkrakers, insiders, terroriste, buitelandse state en drukgroepe. Daar is ander meer alledaagse bedreigings soos dié van elektro-meganiese mislukkings, mededingers, ongelukke, wanware, ens.
Kwesbaarhede van die Energie-industrie
Daar is 'n paar onvermydelike kwesbaarhede inherent aan die prosesse en stelsels. 'n Voorbeeld van sulke swakhede is die prosesbeheerstelsels wat toeganklik is vanaf, gekoppel is aan of blootgestel is aan die internet en ander netwerke. Dit maak hulle kwesbaar vir 'n manier van kuberbedreigings, insluitend dié wat voortspruit uit sagtewarefoute en ontwerpfoute wat veroorsaak word deur swak ontwerp, bestuur of instandhouding. Hierdie kwesbaarhede is veral algemeen sedert die uitvoering van a sekuriteitspleister vir veiligheidskritieke stelsels uitdagend kan wees.
Die impak van bedreigings op energiebronne
Die gevolge van die mislukking van energie-nutsdienste word goed verstaan. Sommige van die ernstigste impakte sluit in:
Die strategiese belang van beide openbare en private organisasies in die energienutsbedryf het daartoe gelei dat hulle as deel van kritieke nasionale infrastruktuur geklassifiseer is. Dit is hoekom al die organisasies wat onder die bestek van ISO/IEC 27019 gedek word, alle moontlike maatreëls moet tref om die standaard te implementeer om hul prosesbeheerstelsels wat gebruik word, te beveilig.
ISO het ISO/IEC 27019 ontwikkel om te verseker dat dit voldoen aan die taal van ISO/IEC 27001 en ISO 27002. Deur die standaard op hierdie manier te vestig, verseker jy dat jy kan implementeer ISO 27001 en ISO 27002 internasionaal as 'n aanvaarde leidingstelsel vir die beveiliging van die PCS'e wat in die energienutsbedryf gebruik word.
ISO/IEC 27019 volg die struktuur van IEC 27002 noukeurig, met bykomende riglyne verskaf waar nodig. Tydens implementering moet 'n organisasie in die energienutsbedryf ISO/IEC 27019 saam met ISO/IEC 27002 gebruik aangesien eersgenoemde nie die inhoud van 27002 insluit nie.
Wanneer ISO 27019 geïmplementeer word, moet organisasies ook na ISO/IEC 27001 verwys om die breër konteks vir jou ISMS in te vul. Jou stelsel moet nie net die prosesbeheer insluit nie, maar ook ander algemene kommersiële netwerke, stelsels wat gebruik word en prosesse van toepassing op die energienutsbedryf.
Jy moet ook ander standaarde oorweeg, soos ISO / IEC 27005 wanneer ISO 27019 geïmplementeer word om voorsiening te maak vir inligtingsrisikobestuurspraktyke wat deur die energienutsbedryf gebruik word.
Laai jou gratis gids vir vinnige en volhoubare sertifisering af
Ons benodig net 'n paar besonderhede sodat ons vir jou jou gids kan e-pos om die eerste keer ISO 27001 te bereik
Laai jou gratis gids nou af en as jy hoegenaamd enige vrae het, dan Bespreek 'n demo or Kontak Ons. Ons help graag.
Die volgende is die spesifieke areas waar die implementering van ISO/IEC 27019:2017-kontroles van kritieke belang is om die sekuriteit van kritieke energie-infrastruktuur te beskerm en te verseker:
Na die uitvoering van 'n sekuriteitsbeoordeling en om met sekuriteitsrisiko's vorendag te kom en doelwitte en besluite oor hoe om die geïdentifiseerde risiko te hanteer, moet die nodige beheer gekies en geïmplementeer word om te verseker dat die risiko's tot 'n aanvaarbare vlak verminder word.
Bo en behalwe die kontroles wat deur 'n omvattende ISMS aangebied word, bied ISO 27019 addisionele sektorspesifieke maatreëls en bystand om te help met die prosesbeheer wat deur die energienutsbedryf gebruik word, met betrekking tot die spesifieke vereistes van die spesifieke omgewings. Indien nodig, kan 'n organisasie verdere maatreëls tref om aan individuele vereistes te voldoen.
Die kontroles waaroor 'n organisasie sal besluit, hang af van:
Benewens die maatreëls en sekuriteitsriglyne wat in ISO/IEC 27002:2013 aangebied word, het die prosesbeheerstelsels vir energieverskaffers en energienutsdienste bykomende vereistes. In vergelyking met ander konvensionele IKT-omgewings soos energiehandelstelsels en kantoorinligtingstegnologie, het die energienutsektor fundamentele verskille met betrekking tot die bedryf, ontwikkeling, instandhouding, herstel en bedryfsomgewing van PCS'e.
Aangesien sommige van die prosesbeheertegnologieë wat in ISO/IEC 27019:2017 beskryf word, integrale komponente van sekere kritieke infrastruktuur beskryf, is dit dus noodsaaklik om betroubare en veilige werking van sulke infrastruktuur te verseker.
Wanneer jy hul funksie en ontwerp in ag neem, moet jy die energienutsektor PCS'e as inligtingverwerkingstelsels beskou. Data oor die status van die fisiese prosesse word met behulp van sensors gemonitor. Hierdie data word dan verwerk en beheer uitsette gegenereer om die aksies te reguleer deur gebruik te maak van aktueerders. Alhoewel die proses outomaties is, kan bedryfspersoneel handmatig ingryp wanneer nodig.
Aangesien inligting- en inligtingverwerkingstelsels 'n noodsaaklike deel is van hoe die energienutsdienste funksioneer, moet organisasies die nodige beskermingsmaatreëls tref om hul inligting te beskerm soos ander organisatoriese eenhede.
Die prosesbeheeromgewings vir energienutsdienste gebruik toenemend hardeware- en sagtewarekomponente. 'n Voorbeeld hiervan is programmeerbare logika gebaseer op standaard IKT-tegnologie. Talle onderlinge verbindings vorm ook komplekse stelsels. Dit sal help as jy dit nuut oorweeg risiko's tydens 'n risikobepaling en die nodige maatreëls getref om dit reg te stel.
Ek sal beslis ISMS.online aanbeveel, dit maak die opstel en bestuur van jou ISMS so maklik as wat dit kan kry.
Om met 27019 te begin, moet organisasies in die energienutsbedryf 'n risikobeoordeling doen van hul stelsels wat gebruik word om hul bedreigings, kwesbaarhede en moontlike impak van risiko's te ken. Afhangende van die spesifieke hardeware- en sagteware-outomatiseringstegnologie wat deur die energienutsorganisasies gebruik word, moet hulle die toepaslike riglyne en kontroles kies om die sekuriteit van hul stelsels te verseker.
Die beskikbaarheid van inligtingsekuriteitsagteware en -hulpmiddels maak dit maklik vir organisasies om hul voldoening aan ISO 27019 te meet. Met die hulp van sulke hulpmiddels sal diegene wat betrokke is by die sekuriteitsbestuur of prosesbeheer wat deur die energienutsbedryf gebruik word, 'n duideliker prentjie hê van hoe hulle beleide en kontroles in vergelyking met die gestelde ISMS-vereistes. Om die gebiede te ken wat verbeter moet word, maak dit moontlik om die relevante kontroles toe te pas gebaseer op die ISO 27019-standaarde.
Om ISO-sertifisering te behaal, moet 'n organisasie 'n spesifieke prosedure volg om te verseker dat al hulle risiko's aanspreek soos dit verband hou met die spesifieke besigheidsomgewings.
Die eerste stap om sertifisering te behaal, is om die kernbesigheidsproses te identifiseer en dit aan die betrokke lede van die organisasie te dokumenteer. Die dokumentasie moet die prosedures en die maatreëls aandui die verskillende inligtingstelsels te beskerm en outomatiseringstegnologie.
Die volgende stap is om die prosedures soos beskryf in die dokumentasie te implementeer, en om te verseker dat al die werknemers gekwalifiseerd is om die take wat van hulle vereis word, uit te voer. Daar moet 'n doeltreffende rapporteringstelsel wees om voorsiening te maak vir die toetsing, inspeksie, voorkomende aksies, regstellende stappe, statistiese tegnieke, bestuursoorsigvergaderings, monitering van doelwit, ens.
Die doeltreffendheid van hierdie prosesse behoort dan te wees gemonitor met behulp van meetbare data waar moontlik. Energie nutsorganisasies moet ook die nodige hersiening en stelseloudit.
Hierdie oudits verseker dat u al die kontroles en riglyne wat deur ISO 27019 voorgestel word, behoorlik implementeer. Stelseloudits moet:
Die laaste stap vir organisasies in die energienutsbedryf wat ISO/IEC 27019-sertifisering wil verwerf, is om 'n onafhanklike ouditliggaam te kies wat met eksterne registrasie handel.
Die bestuurstelseldokumentasie moet dan vir hersiening ingedien word om voldoening aan die toepaslike standaarde te verseker.
Om te voldoen aan ISO/IEC 2019, energie nut organisasies moet hul sekuriteitsvereistes identifiseer gebaseer op hul outomatiseringstegnologie. Hierdie vereistes kom hoofsaaklik van:
Energie nutsorganisasies moet seker maak dat al die PCS se sekuriteitsvereistes behoorlik ontleed en gedek in hul inligtingsekuriteitsbeleide. Sommige van die oorwegings in plek sluit in:
Bespreek 'n pasgemaakte praktiese sessie gebaseer op jou behoeftes en doelwitte.
100% van ons gebruikers behaal die eerste keer ISO 27001-sertifisering