הבנת ISO 27019

מה זה ISO/IEC 27019:2017?

ISO/IEC 27019 הוא אוסף של עקרונות מנחים לניהול אבטחת מידע של מערכות בקרת התהליך (PCS) המשמשות במגזר שירותי האנרגיה.

המטרה העיקרית של המסמך היא להגדיל את רוחב ה-ISO/IEC לתחום טכנולוגיית האוטומציה ו-PCS. זה כדי לספק ספציפי וסטנדרטי מערכת ניהול אבטחת מידע (ISMS) להגן על מערכות טכנולוגיות החומרה והתוכנה האחראיות לניטור ובקרה על היצור, ההולכה, האחסון וההפצה של נפט, גז, חשמל וחום, בין שאר שירותי האנרגיה.

בקרות מידע עבור תעשיית השירותים לאנרגיה

תעשיית האנרגיה העולמית הייתה אחראית לכמה מהאסונות הכי קטקליזים שחוותה המין האנושי.

דוגמאות לטיפול שגוי הרסני במשאבי אנרגיה כוללות:

• מפרץ מקסיקו
• צ'רנוביל
• Fukushima
• אי של שלושה קילומטרים
• הפיצוץ האחרון בביירות

אין זה מפתיע שקיימת תרבות חזקה של בקרות בטיחות בתעשיית שירותי האנרגיה. האתוס הזה מגיע מה- מודעות להשפעות ארוכות הטווח של כמה פעולות ותוכניות משתבשות.

תעשיית שירותי האנרגיה היא אחד הנהנים הגדולים ביותר מאוטומציה. רוב המערכות המשמשות מסתמכות במידה רבה על PCS אלקטרוניים כגון:

• האינטרנט התעשייתי של הדברים (IIoT)
• בקרי לוגיקה ניתנים לתכנות (PLC)
• בקרת פיקוח ורכישת נתונים (SCDA)
• מערכות בקרה תעשייתיות (ICS)

יחד עם נהלים ורשתות קשורות אחרות, אלה אחראים על:

• זמן אמת מעקב אחר פעילות הייצור
• ניהול פעילויות ההפקה
• בקרה על פעילות הייצור.

בקיצור, תקלה או שיבושים במערכות בקרת התהליך האלקטרונית המשמשות יגרמו לירידה של כל המערכת.

לדוגמה, כשל של צג בתחנת כוח גיאותרמית יוביל להתחממות יתר, ובמקרה הגרוע ביותר, לפיצוץ אסון.

בעוד ISO / IEC 27002 הסטנדרטים מתארים קווים מנחים חשובים לשליטה בהגנה על נכסי אבטחת מידע, היקפו אינו צולל מספיק עמוק לתוך ההגנה על תהליכים של שירותי אנרגיה.

זו הסיבה ש-ISO/IEC 27019:2017 קיים.

ההיסטוריה של ISO 27019

ISO וחברת החשמל פרסמו לראשונה את ISO 27019 בשנת 2013 כדוח טכני (TR), שנעשה על ידי מעקב מהיר אחר תקן DIN. בשנת 2017, פורסמה מהדורה שנייה של התקן, שהפכה אותו לתקן בינלאומי מלא בהרמוניה עם גרסת 2013 של ISO 27001 ו ISO 27002. אז למה ISO 27019 כל כך חשוב?

מי יכול ליישם את ISO 27019?

להלן התחומים הספציפיים שבהם היישום של בקרות ISO/IEC 27019:2017 הוא קריטי כדי להגן ולהבטיח את האבטחה של תשתית אנרגיה קריטית:

1. טכנולוגיה מרכזית ומבוזרת לניהול, ניטור ואוטומציה של תהליכי התפעול ומערכות המידע המשמשות כגון פרמטריזציה ותכנות המקלים עליהם.
2. רכיבי אוטומציה ובקרים דיגיטליים כגון Controller Logic Programmable (PLC), יחד עם רכיבי מפעיל וחיישנים דיגיטליים.
3. כל מערכות המידע התומכות האחרות המיושמות בבקרת תהליכים כגון אלו המשלימות את ההדמיה של נתונים וכאלה מעורב במטרות ניטור, בקרה, רישום היסטוריונים, ארכיון נתונים, תיעוד ודיווח.
4. טכנולוגיות התקשורת המיושמות בתחום בקרת תהליכים כגון טלמטריה, רשתות, טכנולוגיית שליטה מרחוק ויישומי שליטה מרחוק.
5. רכיבים של תשתית מדידה מתקדמת (AMI) כגון מונים חכמים.
6. מכשירי המדידה כגון אלו המשמשים בערכי פליטה.
7. מערכות הגנה ובטיחות דיגיטליות כגון PLCs בטיחות, ממסרי הגנה ומנגנוני מושל חירום.
8. מערכות לניהול אנרגיה כגון תשתית לטעינה חשמלית, משאבי אנרגיה מבוזרת (DER), התקנות לקוחות תעשייתיים, מבני מגורים ואפילו במשקי בית פרטיים.
9. סביבת רשת חכמה מבוזרת רכיבים כמו במשקי בית פרטיים, רשתות אנרגיה, התקנות לקוחות תעשייתיים ובנייני מגורים.
10. כל הקושחה, האפליקציות והתוכנות המותקנות במערכות הנזכרות לעיל, לרבות מערכות ניהול הפסקות (OMS), מערכת ניהול הפצה (DMS) וכו'.
11. כל מקום שבו נמצאים המערכות והציוד שהוזכרו לעיל.
12. מערכות התחזוקה מרחוק למערכות שהוזכרו לעיל.

כיצד ליישם את ISO 27019

לאחר ביצוע א הערכת אבטחה והתמודדות עם סיכונים ביטחוניים ומטרות והחלטות כיצד להתמודד עם הסיכון שזוהה, יש לבחור וליישם את הבקרה הדרושה כדי להבטיח שהסיכונים יצטמצמו לרמה מקובלת.

נוסף על הבקרות המוצעות על ידי ISMS מקיף, ISO 27019 מספק אמצעים וסיוע ספציפיים למגזר נוספים לסיוע בבקרה התהליך המשמשת את תעשיית השירותים לאנרגיה, הנוגעים לדרישות המיוחדות של הסביבות הספציפיות. במידת הצורך, ארגון יוכל לנקוט צעדים נוספים כדי לעמוד בדרישות הפרטניות.

הבקרות שעליהן יחליט ארגון תלויות ב:

• גישת ניהול הסיכונים של הארגון וקבלת הסיכונים שלהם
• חוקים, תקנות ופקודות משפטיות בינלאומיות ולאומיות רלוונטיות אחרות

אבטחת מידע עבור חברות אנרגיה

מלבד האמצעים והנחיות האבטחה המוצגים ב-ISO/IEC 27002:2013, למערכות בקרת התהליך עבור ספקי אנרגיה ושירותי אנרגיה יש דרישות נוספות. בהשוואה לסביבות ICT קונבנציונליות אחרות, כגון מערכות סחר באנרגיה וטכנולוגיית מידע משרדית, למגזר שירותי האנרגיה יש הבדלים מהותיים בנוגע לתפעול, פיתוח, תחזוקה, תיקון וסביבת תפעול של PCS.

מכיוון שחלק מטכנולוגיות בקרת התהליך המתוארות ב-ISO/IEC 27019:2017 מתארות רכיבים אינטגרליים של כמה תשתיות קריטיות, לכן הן חיוניות בהבטחת תפעול אמין ומאובטח של תשתיות כאלה.

כאשר אתה לוקח בחשבון את התפקוד והעיצוב שלהם, אתה צריך להתייחס ל-PCS של מגזר שירותי האנרגיה כמערכות עיבוד מידע. נתונים על מצב התהליכים הפיזיים מנוטרים באמצעות חיישנים. לאחר מכן, הנתונים הללו מעובדים ותפוקות הבקרה מופקות כדי להסדיר את הפעולות באמצעות מפעילים. למרות שהתהליך הוא אוטומטי, אנשי ההפעלה יכולים להתערב באופן ידני בעת הצורך.

מכיוון שמערכות מידע ועיבוד מידע הן חלק מהותי מהאופן שבו פועלות חברות האנרגיה, ארגונים חייבים לנקוט באמצעי ההגנה הדרושים כדי להגן על המידע שלהם כמו יחידות ארגוניות אחרות.

סביבות בקרת תהליך מערכות האנרגיה משתמשות יותר ויותר ברכיבי חומרה ותוכנה. דוגמה לכך היא לוגיקה ניתנת לתכנות המבוססת על טכנולוגיית ICT סטנדרטית. חיבורים רבים יוצרים גם מערכות מורכבות. זה יעזור אם תחשבו על אלה חדשים סיכונים במהלך הערכת סיכונים והאמצעים הדרושים שננקטו כדי לתקן זאת.

כיצד להתחיל עם ISO 27019?

כדי להתחיל עם 27019, ארגונים בתעשיית שירותי האנרגיה צריכים לבצע הערכת סיכונים של המערכות שלהם המשמשות כדי לדעת את האיומים, הפגיעויות וההשפעות האפשריות של הסיכונים שלהם. בהתאם לטכנולוגיית האוטומציה הספציפית של החומרה והתוכנה המשמשת את ארגוני שירותי האנרגיה, עליהם לבחור את ההנחיות והבקרות המתאימות כדי להבטיח את אבטחת המערכות שלהם.

הזמינות של תוכנות וכלים לאבטחת מידע מקלה על ארגונים למדוד את תאימותם ל-ISO 27019. בעזרת כלים כאלה, לעוסקים בניהול האבטחה או בקרת התהליך המשמשים את תעשיית חברות האנרגיה תהיה תמונה ברורה יותר כיצד שֶׁלָהֶם מדיניות ובקרות בהשוואה לדרישות ה-ISMS שנקבעו. הכרת התחומים הטעונים שיפור מאפשרת ליישם את הבקרות הרלוונטיות על בסיס תקני ISO 27019.

ISO 27019 הסמכה

כדי להשיג הסמכת ISO, ארגון צריך לעקוב אחר נוהל ספציפי כדי להבטיח את כל מה שהם מתייחסים לסיכונים בכל הקשור לסביבות העסקיות המסוימות.

הצעד הראשון להשגת הסמכה הוא זיהוי תהליך הליבה העסקי, תיעודו לחברים הרלוונטיים בארגון. התיעוד צריך לציין את הנהלים והאמצעים שננקטו להגן על מערכות המידע השונות וטכנולוגיית אוטומציה.

השלב הבא הוא יישום הנהלים כמתואר בתיעוד, והבטחת כל העובדים כשירים לבצע את המשימות הנדרשות מהם. צריכה להיות מערכת דיווח יעילה שתספק את הבדיקות, הבדיקה, פעולות המניעה, פעולות מתקנות, טכניקות סטטיסטיות, ישיבות סקירת הנהלה, ניטור מטרה וכו'.

האפקטיביות של תהליכים אלה צריכה להיות אז מנוטר באמצעות נתונים מדידים היכן שאפשר. גם ארגוני שירות אנרגיה צריכים לנהל את סקירה וביקורת מערכת הכרחית.

ביקורות אלו מבטיחות שאתה מיישם את כל הבקרות וההנחיות המוצעות על ידי ISO 27019 כהלכה. ביקורת מערכות צריכה:

• לזהות ולדווח על נקודות החוזק והחולשה של מערכת הניהול
• נקוט באמצעי התיקון או המניעה הדרושים

השלב האחרון עבור ארגונים בתעשיית שירות האנרגיה המעוניינים לזכות בהסמכת ISO/IEC 27019 הוא בחירת גוף ביקורת עצמאי העוסק ברישום חיצוני.

לאחר מכן יש להגיש את תיעוד מערכת הניהול לבדיקה כדי להבטיח עמידה בתקנים החלים.

דרישות ISO 27019

כדי לעמוד בתקן ISO/IEC 2019, חברת אנרגיה ארגונים צריכים לזהות את דרישות האבטחה שלהם מבוסס על טכנולוגיית האוטומציה שלהם. דרישות אלו הן בעיקר מ:

1. של ארגון הערכת סיכונים תוצאות. עליהם לקחת בחשבון את היעדים והאסטרטגיות העסקיות הכלליות של ארגון. אירועים ומקורות סיכון, יחד עם הסבירות להתרחשות וההשלכות הפוטנציאליות של התרחשות סיכון נתון.
2. דרישות אחרות ייבעו מחוקי עזר וחקיקה, חוזים ותקנות, ותנאים סוציו-תרבותיים אחרים שארגון נדרש למלא. כמה דוגמאות ספציפיות כוללות שמירה על אספקת אנרגיה מהימנה, מאובטחת ואפקטיבית, וגם עמידה בדרישות שוק אנרגיה מובטל.
3. הדרישות, העקרונות והיעדים העסקיים הספציפיים המוצבים על עיבוד מידע כפי שפותח על ידי העסק כדי לתמוך בפעילותו.

ארגוני שירות אנרגיה צריכים לוודא שכל דרישות האבטחה של PCS מנותחות כראוי ו מכוסה במדיניות אבטחת המידע שלהם. חלק מהשיקולים הקיימים כוללים:

• הגבלת זרימת האנרגיה
• הסכנה של פגיעה פיזית
• ההשפעות על פרטיות המידע
• השפעות פיננסיות