Ehdotukset korjaaville toimenpiteille

Vertaa kohteen tavoite- ja toteumatasoja ja kirjaa toimenpiteet. Vie SL-arvot, rastit ja vaatimustaulukon arvioinnit yhtenä JSON-tekstinä Projektin siirto -sivulla.

1 · Mittaa aukko: SL-T vs. SL-A

Nimeä arvioitava kohde tai vyöhyke yllä. Valitse jokaiselle FR-alueelle tavoitetaso ja todennettu toteumataso. Jätä tuntematon taso tilaan Ei arvioitu.

FR1 Tunnistautuminen SL-T SL-A

FR2 Käytön hallinta SL-T SL-A

FR3 Järjestelmän eheys SL-T SL-A

FR4 Tietojen salaisuus SL-T SL-A

FR5 Liikenteen rajoitus SL-T SL-A

FR6 Tapahtumiin reagointi SL-T SL-A

FR7 Saatavuus SL-T SL-A

2 · Priorisoitu korjauslista

P1 korjataan välittömästi (riski hyväksyttömän korkea), P2 kuluvaan hallintajaksoon, P3 seuraavaan kehityssuuntaan tai jatkuvaan ylläpitoon. Kunkin kohdan viite kertoo, mihin vaatimukseen tai osaan se nojaa.

Välitön — 0-30 pv

Rajaa ja tunnista kriittiset yhteydet P1 Karttoita kaikki reitit IT-verkon, teollisen verkon ja kenttätason välillä. Sulje tai rajaa jokainen yhteys, jolla ei ole liiketoimintatarkoitusta. Tämä on nopein tapa rajata hyökkäyksen laajuutta. FR5 · RDF3-2SR 5.2

Korvaa etäyhteydet salattuina ja todennetuina P1 Poista suora etäpääsy ohjausjärjestelmiin. Käytä VPN:ää monivaiheisella todennuksella ja rajaa etäyhteydet vain tarvittaviin vyöhykkeisiin ja aikoihin. FR1 · IACFR4 · DC3-3 SR 1.6

Poista yhteiset ja jaetut tilit, korvaa yksilöllisillä P1 Jokainen käyttäjä ja jokainen integraattori saa oman tunnuksen. Yhteiset tilit tekevät kirjauksen merkityksettömäksi ja vaikeuttavat väärinkäytösten jäljittämisen. FR1 · IACFR6 · TRESR 1.1

Aktivoi tapahtumien kirjaus ja valvonta kriittisillä vyöhykkeillä P1 Kirjaa kirjautumiset, oikeudenmuutokset, konfiguraatiomuutokset ja verkkoyhteydet keskitetylle, muokkaamattomalle kokoamispisteelle. Ilman kirjausta FR6:n tavoitetasoa ei voida saavuttaa eikä tapahtumia voida jälkeenpäin todeta. FR6 · TRE3-3 SR 6.1

Varmista varmuuskopiot ja palautustesti P1 Varmista ohjausjärjestelmän ja historian varmuuskopiot erilliseen, kirjattuun varastoon. Testaa palautus oikeasti — palauttamaton kopio ei täytä FR7:ää. FR7 · RASR 7.2

Lyhyen aikavälin — 1-3 kuukautta

Laadi vyöhyke- ja yhteyskaavio sekä vyöhykekohtaiset SL-T-arvot P2 Dokumentoi kunkin vyöhykkeen omistaja, rajat ja tavoitetaso sekä yhteyksien tarkoitus. Kaavio tukee SL-tavoitteiden arviointia ja uusien yhteyksien hallintaa. 3-2CRS

Kokoa inventaario ja perustila P2 Laite- ja ohjelmistoluettelo, versiot, verkkoyhteydet, tuki-tila ja tietoturvapäivitysten tilanne. Tämä on pohja kaikille muille korjauksille. 2-1 CM 1.13-2

Toteuta vaatimusten minimointi ja suojausasetukset P2 Poista turhat palvelut, portit ja protokollat; käytä muutostarkistuksia ja turvallisia oletuksia; rajaa paikalliset oikeudet vain tarvittaviin. FR2 · UCFR54-2

Käytä rooliperusteinen oikeusmalli ohjauksessa P2 Käyttäjä, tarkastaja, integraattori, huolto — erikseen. Rajaa kenttä- ja kaukohuoltokäynnit ajaksi ja kirjaa ne. Integraattorin velvoitteet sidotaan 2-4:n vaatimuksiin sopimukseen. FR2 · UC2-4

Käynnistä päivitysmenettely ja poikkeusten hallinta P2 Testiympäristö tai -kone, hyväksyntä, ikkunat ja peruutussuunnitelma. Tukeematonta kalustea varten kirjattu korvaava toimenpide, ei hiljaista poikkeusta. 2-32-1 COMP 3

Suojaa yhteydet: rajaus, salaus ja reitityksen hallinta P2 Salli vyöhykkeiden välillä vain tarvittavat protokollat ja osoitteet, pakota salaus siirrossa ja estä oikoreititys vyöhykekohtaisesti. Yhteys noudattaa tiukempaa vyöhykekohtaista tasoa. FR4 · DCFR5SR 5.2

Pitkän aikavälin ja jatkuva — 3-12 kuukautta

Toteuta turvallisuusohjelma ja kypsyyshallinta P3 Roolit, politiikat, koulutus, taustatarkistukset, tarkastukset ja jatkuva parannus. 2-1:n kypsyyshallintamalli antaa mittarin, jolla edistyminen näkyy. 2-1ORG 1

Vaadi 62443-vaatimukset hankinnoissa ja hyväksyntäprosessissa P3 Määritä ostoksiin SL-C-vaatimus, 4-1:n kehitysprosessin todiste ja 4-2:n komponenttivaatimukset. Käytä sertifikaattia (ISASecure / IECEE) tai riippumatonta todennusta. 4-14-22-4

Rakenna havainto- ja vasteosaaminen OT-alueella P3 Valvo yhteyksien ja vyöhykkeiden liikennettä, kerää kirjaukset keskitetysti, määrittele vasteet ja harjoittele. Logit ilman vasteosaamista ovat arkisto, ei suoja. FR6 · TRESR 6.2

Varmista saatavuus: varmistukset, kuormitus ja palautuminen P3 Turvaa kriittisten toimintojen jatkuvuus haitallisen kuorman tai hyökkäyksen aikana: varmistettu käsittelyaika, resurssien rajaus ja testattu palautuminen. FR7 · RASR 7.1

Uudelleenarvioi vyöhykkeet ja SL-T muutosten yhteydessä P3 Uusi yhteys, uusi laite, laajennus tai omistajanvaihdos käynnistää uudelleenarvioinnin. Aikatauluta myös määräaikainen katsaus esim. vuosittain. 3-22-1

Vahvista SL-A riippumattomalla todennuksella P3 Testaa, raportoi ja arkistoi todisteet: konfiguraatiotarkistukset, testitulokset, sertifikaatit. Käytä arviointimenetelmiä (TS 62443-6-1 / 6-2) kun vaaditaan toistettavuutta. 6-1 / 6-2SL-A

Miten lista käytetään

Rastita vain toteutettu ja todennettu toimenpide. Kirjaa siihen liittyvä todennusaineisto vaatimustaulukkoon: esimerkiksi konfiguraatio, testiraportti, sopimuskohta tai lokimerkintä.

3 · Kenelle korjaus kuuluu

Aukko	Vastuu	Viesti
SL-T ja SL-A -erot, riskin hyväksyntä	Omistaja	Päätös kompensoivista toimista ja kirjattu poikkeus
Vyöhykejako, yhteydet, konfigurointi	Integraattori	Toteutusdokumentaatio ja SL-A:n todennus
Komponentin kykytaso (SL-C)	Tuotekehittäjä	4-1-kehitysprosessi ja 4-2-vaatimukset todennettuna
Päivitykset ja tietoturvahälytykset	Omistaja + toimittaja	Päivitysmalli, testaus ja tuki-tila
Henkilöstön koulutus ja roolit	Omistaja	Turvallisuusohjelma, tiedotus ja harjoitukset