Wat is Cyber Security Management? 3 oktober ISA / Hudson Cybertec Arjan Meijer Security Consultant

Transcriptie

1 Wat is Cyber Security Management? 3 oktober 2014 ISA / Hudson Cybertec Arjan Meijer Security Consultant 1

2 Agenda Introductie spreker / ISA 3 pijlers van security IT versus OT Cyber Security Management Wat is het? ISA99/IEC De voordelen Manier van aanpak

3 Introductie spreker Arjan Meijer Security Consultant Hudson Cybertec Gecertificeerd ISA trainer ISA99/IEC Ervaring in verschillende security domeinen Uitgebreide kennis ISA95, ISA99/IEC 62443

4 Introductie ISA International Society of Automation (ISA) Leidende wereldwijde non-profit organisatie Wereldwijd netwerk van ruim leden Ontwikkelt standaarden voor automatisering Meer dan 150 internationale industriestandaarden Bv ISA-84; ISA-88; ISA-95; ISA-98; ISA-99; ISA-100; ISA-101 Certificeert en traint industrie professionals O.a. Cyber Security Fundamentals Specialist

5 De 3 pijlers van security

6 De 3 pijlers van security Mens Organisatie Mens Techniek Organisatie Techniek

7 De 3 pijlers van security Maatregelen moeten in balans zijn Zorg voor een brede aanpak Focus op alle pijlers Gestandaardiseerde aanpak kan helpen ISA99/IEC Verhoogt de Efficiëntie van de maatregelen Kosten effectiviteit

8 IT versus OT

9 Security belangen IT vs. OT Verschillende systemen, protocollen, aanvallers, aanvallen Verschillende prioriteiten: CIA vs. AIC Confidentiality IT: OT: CIA Triangle Integrity Availability

10 Cyber Security Management Wat is het?

11 Cyber Security management Beheersbaar maken van Cyber Security Risk analysis Inventariseer actuele dreigingsniveau en potentiële business impact van incidenten Cyber Security Management System Maak ICS / TA Security tot integraal deel van het operationele management Risk Management Koppel cyber risks aan bedrijfsprocessen Maak ICS / TA security onderdeel van nieuwe project requirements

12 Cyber Security Management ISA99/IEC standaard

13 ISA99/IEC Cyber Security standaard Security standaard voor Industrial Automation & Control Systems Aandacht voor Technologie Fysieke security Organisatie structuur Personele vaardigheden Beleid Procedures

14 Cyber Security Framework ISA99/IEC ISO/IEC27001 NIST SP COBIT 5 CCS-CSC

15 Firewall misconfigurations ISA99/IEC Cyber Security Management (1/3) Voorbeeld: firewall technologie Impact van netwerk veranderingen Time

16 ISA99/IEC Cyber Security Management (2/3) Voorbeeld: firewall technologie ISA99/IEC helpt met: Security beleid, organisatie en awareness Staf training & security awareness Security beleid en procedures Geselecteerde security tegenmaatregelen Personele security Fysieke en omgevings beveiliging Netwerk segmentatie Access control Administratie, Authenticatie & Autorisatie

17 ISA99/IEC Cyber Security Management (3/3) Voorbeeld: firewall technologie ISA99/IEC helpt met: Implementatie Risk management en implementatie Systeem ontwikkeling en onderhoud Ontwikkel & implementeer een change management system Bepaal alle risico s voor vernaderingen aan het IACS Vereis security beleid voor systeem ontwikkeling of onderhoudsveranderingen Review en onderhoud policies en procedures Informatie en document management Incident planning en respons

18 Security management Preventie Baseline measurement Awareness Network Segmentation (Physical) Access Controls Antivirus Firewalls Backup & Restore Recovery Recovery & Re-instatement Emergency Response Incident Management Escalation Controls

19 Cyber Security Management De voordelen

20 Minimale inspanning, Maximaal resultaat

21 Kosten ( ) Optimalisatie van kosten Security by Design No Security by Design Tijd

22 Quick Wins Resultaten assessment leiden tot quick-wins Focus op prioriteiten Effectief gebruik resources Meetbare en controleerbare resultaten Beheersbare cyber security Verbetert de ROI Vergroot de effectiviteit van maatregelen

23 Manier van aanpak

24 Manier van aanpak (1/2) Integrale aanpak door ISA99/IEC framework Geeft richting Verankert security in organisatie Helpt bij Security by Design

25 Manier van aanpak (2/2) Security Awareness programma Operationeel, management Security Snapshot, Assessment Nulmeting van huidige security status Nodige maatregelen voor Mens, Organisatie en Techniek ICS netwerk monitoring Beleid ICS security Kennis: Training!

26 Met Cyber Security Management houdt u de controle over uw eigen proces!