إجابة سريعة: يجب معالجة الأمن السيبراني للشبكات التشغيلية للمعدات الصناعية أثناء الشراء، وليس بعد توصيل الضوابط. يحتاج المشترون إلى جرد للأصول الرقمية، والواجهات، والحسابات، وطرق الوصول عن بُعد، والنسخ الاحتياطية، ومسؤوليات التحديث، وتسجيل الدخول، وإجراءات الاسترداد.
يوفر NIST SP 800-82 Rev. 3 إرشادات حالية لتأمين التكنولوجيا التشغيلية مع مراعاة الأداء والموثوقية والسلامة. استخدم مراجعة قائمة على المخاطر مع فرق تكنولوجيا المعلومات، والتكنولوجيا التشغيلية، والهندسة، والسلامة، والموردين لدى المشتري.
راجع فئة المعدات ذات الصلة من YISEN، وعملية الخدمة الآلية المخصصة، ونظرة عامة على التصنيع قبل طلب اقتراح محدد للمشروع.
أسئلة الأمن السيبراني للشبكات التشغيلية لشراء المعدات الصناعية
| عامل القرار | سؤال المشتري | الأدلة المطلوبة |
|---|---|---|
| جرد الأصول | ما هي وحدات التحكم، وأجهزة الكمبيوتر، والمحركات، والكاميرات، وبوابات الاتصال، والبرامج المدرجة؟ | قائمة المواد للأجهزة/البرامج |
| الاتصال | ما هي المنافذ، والبروتوكولات، وخدمات السحابة، والروابط اللاسلكية، وتدفقات البيانات المطلوبة؟ | رسم تخطيطي للشبكة وتدفق البيانات |
| الهوية | كيف يتم التحكم في الحسابات الافتراضية، والمشتركة، والخدمية، والإدارية؟ | خطة إدارة الحسابات والاعتمادات |
| الوصول عن بُعد | كيف يتم الموافقة على الوصول، والتحقق منه، وتحديده، ومراقبته، وتعطيله؟ | هيكل وإجراءات الدعم عن بُعد |
| الصيانة | من يقدم التحديثات، ومعلومات الثغرات، والنسخ الاحتياطية، ودعم الاستعادة؟ | مصفوفة دعم دورة الحياة |
| الاسترداد | هل يمكن استعادة حالة الآلة المقبولة بعد الفشل أو الاختراق؟ | إجراء اختبار النسخ الاحتياطي والاستعادة |
عملية شراء عملية
- تصنيف الآلة والاتصالات. وثق تأثير العملية لفقدان التوافر، أو النزاهة، أو السرية. حدد الاعتماديات المتعلقة بالسلامة وعواقب تغييرات التحكم غير المصرح بها.
- تقليل التعرض المطلوب. اتصل فقط بالخدمات اللازمة للتشغيل والدعم. استخدم تقسيم الشبكة، والوصول عن بُعد المتحكم فيه، وهيكل الأمان المعتمد من الموقع بدلاً من الوصول المباشر غير المُدار إلى الإنترنت.
- خطط للحسابات والوصول إلى الموردين. أزل أو تحكم في الاعتمادات الافتراضية، وحدد المسؤوليات المسماة، عرّف الوصول الطارئ، وتأكد من أن وصول المورد يمكن الموافقة عليه وإلغاؤه من قبل مالك الأصل.
- اختبر الاسترداد قبل الإنتاج. اجمع النسخ الاحتياطية لوحدات التحكم، وواجهة المستخدم البشرية، وأجهزة الكمبيوتر، والوصفات، والتكوينات، والتراخيص. تحقق من أن الموظفين المؤهلين يمكنهم استعادة النسخة المقبولة باستخدام الأدوات والاعتماديات الموثقة.
الأخطاء الشائعة في الشراء التي يجب تجنبها
- حظر جميع التحديثات دون عملية مخاطر. يمكن أن يؤدي البرنامج القديم غير المُدار إلى خلق مخاطر، ولكن يجب أيضًا اختبار التغييرات لتأثير الإنتاج والسلامة.
- معاملة الدعم عن بُعد كخيار بسيط نعم/لا. تحدد الهندسة، والموافقة، والتحقق، والتسجيل، والمدة، والنطاق، وقدرة الإغلاق المخاطر.
- نسيان الأصول غير PLC. قد تتطلب أجهزة الكمبيوتر الصناعية، والكاميرات، والمحركات، والموجهات، وأدوات الهندسة، وتطبيقات البائعين أيضًا إدارة.
سيناريو شراء عملي
قد يسمح مصنع أمريكي بالتشخيص عن بُعد فقط من خلال بوابته المعتمدة خلال الجلسات المجدولة. يجب على مورد الآلة توثيق الأدوات والمنافذ المطلوبة، بينما يتحكم المشتري في موافقة الاتصال، والهويات، وسجلات الجلسات، وإنهاء الاتصال.
المراجع الفنية والأمريكية الحالية
يمكن أن تتغير المتطلبات وتعتمد على التطبيق النهائي. راجع الإرشادات الرسمية الحالية واحصل على نصائح مؤهلة عند الحاجة.
أسئلة شائعة للمشتري
هل يجب أن تتصل المعدات الصناعية مباشرة بالإنترنت؟
التعرض المباشر نادرًا ما يكون ضروريًا. استخدم الهيكل المعتمد من مالك الأصل وحدد الاتصال وفقًا للاحتياجات التجارية والدعم الموثقة.
من يمتلك كلمات المرور وملفات المصدر؟
حدد حيازة الاعتمادات، وحقوق البرمجيات، والنسخ الاحتياطية، والملكية الفكرية المحمية، والوصول الطارئ في العقد وخطة التسليم.
كم مرة يجب تحديث برنامج التحكم؟
استخدم عملية صيانة قائمة على المخاطر تأخذ في الاعتبار الثغرات، ودعم المورد، والاختبار، والتوافق، والسلامة، ووقت التوقف، والضوابط التعويضية.
ما هي السجلات المفيدة؟
اعتبر تغييرات الحساب، والجلسات عن بُعد، والتنبيهات، وتغييرات التكوين، والأحداث الأمنية، وتزامن الوقت، وفقًا لقدرة النظام وسياسة الموقع.
ماذا يجب أن يحدث عندما ينتهي دعم المورد؟
خطط لإصدارات البرمجيات، والنسخ الاحتياطية، والأجهزة البديلة، والتراخيص، والوثائق، وخيارات الهجرة، وملكية أدوات الهندسة الأساسية.
إعداد RFQ مفيد
لإجراء مراجعة للمعدات مع الوعي بالشبكات التشغيلية، أرسل نوع العملية والمنتج، والمواد والأبعاد، وسياسة شبكة المصنع، وبيئة التطبيق، واحتياجات التخصيص والدعم عن بُعد، وملف الإنتاج، والدولة المستهدفة، وتاريخ التكليف المستهدف. أكد جميع المواصفات النهائية، ومسؤوليات الامتثال، والشروط التجارية، ومعايير القبول مع المورد والمتخصصين الأمريكيين المؤهلين.
لإجراء مناقشة مركزة حول الأمن السيبراني للشبكات التشغيلية للمعدات الصناعية، قم بتقديم تفاصيل المشروع إلى YISEN. يمكن للفريق الفني مراجعة التطبيق المؤكد واقتراح الخطوة الهندسية التالية.
