Automaatiojärjestelmän hankinnassa huomioitavat tietoturva-asiat

Transkriptio

1 Automaatiojärjestelmän hankinnassa huomioitavat tietoturva-asiat Teollisuusautomaation tietoturvaseminaari Purchasing Manager, Hydro Lead Buyer, Industrial Control Systems 1

2 Agenda / esityksen tavoite Taustaa Tietoturvahaasteita Hankintakonsepti ja tietoturva Sopimusmallit Haasteet tietoturvan edelleen parantamiseksi. (case: Toimittajarajat ja verkot hankinnan haasteena) Yhteenveto Fortumin ratkaisu tietoturvan huomioimiseksi automaatiojärjestelmien hankinnoissa 2

3 (New) term to be used: ICS Today many different names used for control systems, automation, process networks and SCADA When all these systems are referred at same time, one term makes communication easier. ICS = Industrial Control Systems Generic term including: SCADA (supervisory control and data acquisition systems) DCS (distributed control systems) PLC and other systems performing control functions Related servers (Input/Output, Data Historian, Control server, etc.) Networking (Fieldbus network, point-to-point wiring, routers, firewalls, etc.) Source: National Institute of Standards and Technology (NIST), U.S. 3

4 Purpose of ICS 4

5 Tietoturvaan liittyviä yleisiä haasteita Järjestelmän elinkaari 15-30v Hankkeet usein "avaimet käteen" toimituksia, miten varmistetaan tietoturva koko elinkaaren ajan Hankintavaiheessa tehtävät ratkaisut vaikuttavat koko elinkaaren ajan Muuttuva uhka, kehittyvä teknologia Miten ylläpidetään järjestelmää sen elinkaaren aikana? Miten varmistetaan, että hankinta perustuu alan viimeisimpään tietoon? "Paljonko maksaa riittävän turvallinen? Paljonko kannattaa maksaa?" Sopimus Miten asioista voi sopia (kirjallisesti) ja mihin voi viitata? 5

6 Tietoturvaan liittyviä yksittäisiä haasteita Fortumin kannalta kriittisimmät haasteet: Selkeät periaatteet (politiikat) Yhteinen kieli / referenssimalli ICS* järjestelmien yhteydet "ylemmille tasoille" liityntäarkkitehtuuri konserniverkkoon Usean toimittajan ICS* verkot ja liitynnät etäyhteydet Tietoturvatason mittaaminen mm.: tarjouspyynnöt sopimukset Lisensointi (software), erityisesti: 3rd party software FOSS (Free and Open Source Software) Sopimusmallit Tietoisuus tietoturvan roolista ICS ratkaisuissa (awareness) *ICS = Industrial control systems including SCADA, DCS and PLC 6

7 Tietoturvan mittaaminen hankintavaiheessa Oma kyselytemplate RFP:n liitteeksi "Interaktiivinen" Excel, joka palautetaan sekä sähköisessä että paperilla. Helpottaa sekä toimittajien vertailua että tarjotun ratkaisun ymmärtämistä Saman sisältöinen sopimusliite Sama asia, mutta vaatimusmuodossa Myös RFP:n liitteenä (.doc tai.pdf) Tärkein referenssi: SCADA Procurement project: Cyber Security Procurement Language for Control Systems (projektin aikana) Uusin versio: Homeland Security (hyvä vastaus otsikon mukaiseen kysymykseen). 7

8 Sample: ICS* Cyber Security concept -documents ICS reference model and related templates/samples IT security requirements (contract and RFP appendix) RFP template for ICS Cyber Security requirements ICS Remote Access architecture and guidelines Enterprise - ICS connectivity architecture IP network guidelines for ICS and related templates/samples Access control and account management for ICS Anti-virus setup guidelines for ICS Patch management guidelines for ICS Training and presentation material * ICS = Industrial Control Systems including SCADA, DCS and PLC

9 ICS* concept and Lead Buyer function General Fortum General Fortum ICS Incl. Cyber Security Fortum ICS/"system" standard part Vendor project specific data template (purchasing) project(s) + Lead Buyer function project docum. pre-study RFP preparation RFP commissioning guarantee / oper. maintenance / operation contract FAT SAT take over revision replacement close down 9

10 Sample: Turn Key ICS contract model (page 1/2) for DCS / Large Thermal (old version) 10

11 Sample: Turn Key ICS contract model (page 2/2) for DCS / Large Thermal (old version) 11

12 Lisää haasteita: Automaatio osana suurempaa kokonaisuutta / hankintapakettia Tietoturvan huomioiminen mm. sopimusmalleissa Tietoturvaratkaisujen varmistaminen projektin eri vaiheissa FAT (Factory Acceptance Test) SAT (Site Acceptance Test) Käyttöönotto Takuuaika, Tietoturvan ylläpito käytön aikana Automaatiojärjestelmien integroituminen ja IP-verkot Toimitusrajat (case) Hankintakonseptin jatku vaylläpito * ICS = Industrial Control Systems including SCADA, DCS and PLC

13 Yhteenveto Tietoturvan ostaminen on integroitu osaksi "teollisuusautomaation" (ICS) ostamista Hankintavastuu konsernitasolla 13