In alle facetten
Cybersecurity is een breed onderwerp. Omdat de risico’s per bedrijf verschillend zijn, bestaat er geen standaardoplossing die overal passend is. Ook bestaat er geen 100% veiligheid. Het gaat erom dat risico’s worden teruggebracht naar een aanvaardbaar niveau.
Risico onderzoek
Daarom wijst elke cybersecurity standaard erop dat een risico-onderzoek noodzakelijk is.
Los hiervan kunnen onze specialisten u helpen bij het toepassen van de basis cyberbeginselen, zoals patch management, netwerksegmentatie en -segregatie en user accountbeleid.
Fabriek en kantoor
De kracht van een effectief cybersecurity-beleid zit in het combineren van IT- en OT-expertise met een awareness-programma dat gedragen wordt door de hele organisatie. Onze risico gebaseerde aanpak gebruikt de ISA/IEC-62443 (voorheen ISA-99) standaard, die specifiek is geschreven voor de industrie. Voor de IT die samenwerkt met de OT hanteren wij ISO 27001 als standaard, vanuit deze standaard borgen wij wat we hebben afgesproken.
Risico Assessment (High Level)
In een High Level Risk Assessment onderzoeken we de impact van een mogelijk cybersecurity incident in uw proces, proces control systeem of organisatie. Denk hierbij aan impact met betrekking tot persoonlijke veiligheid, financiën, milieu en bedrijfsreputatie.
De benodigde informatie wordt verkregen door middel van een rondleiding en interviews met de Plant Manager en een workshop met de HSEQ-verantwoordelijke, een automatiseringsdeskundige en een operator. Daarnaast wordt de netwerk- en systeemarchitectuur beoordeeld.
Het resultaat van deze assessment wordt vastgelegd in een rapport. Op basis hiervan bepalen we wat de meest nuttige vervolgstappen zijn. Meestal is dit een gedetailleerd risico-onderzoek voor een beperkte scope. Soms kunnen al direct verbetermaatregelen worden toegepast, zoals een Awareness
Training, netwerksegmentatie of een verbeterde back-up strategie.
Inventarisatie middelen (Asset)
Een up-to-date Asset Inventory vormt het fundament voor uw Cybersecurity Management Systeem (CSMS). Niet voor niets benoemt de ISA-62443 standaard dit als een must have. Immers, als niet 100% duidelijk is welke hardware en software uw proces besturen, dan kan er geen duidelijk beeld bestaan over de kwetsbaarheden in deze hard- en software. Dit betekent in potentie onbeheerste risico’s. In veel productiebedrijven zien we dat dit niet op orde is. De beschikbare informatie is vaak verouderd. Nieuwe apparatuur die in de loop der tijd in het industriële netwerk is toegevoegd, werd meestal niet gedocumenteerd.
Onze experts voeren een inventarisatie uit van alle hard- en software die aangesloten is (of kan worden) op het industriële netwerk. Hierbij worden alle belangrijke gegevens vastgelegd. Denk aan naam, functieomschrijving, locatie, merk, type, netwerkaansluitingen, netwerkadres, firmware versie, softwareversies, configuratie, patch status, licentie-informatie. Ook worden de netwerkverbindingen in kaart gebracht d.m.v. een logisch en fysiek netwerkschema.
Een logische volgende stap is het uitvoeren van een vulnerability check, als onderdeel van een gedetailleerd Risk Assessment. Hoe kwetsbaar is uw situatie.
Gedetailleerd Risico Assessment
Het implementeren en onderhouden van alle mogelijke weerbaarheidstechnieken kost veel geld. De terechte vraag is dus: welke maatregelen zijn nu effectief? Een gedetailleerd risico-onderzoek geeft antwoord op deze vraag.
We organiseren workshops om samen met uw personeel te onderzoeken welke bedreigingen en kwetsbaarheden op uw organisatie van toepassing zijn op basis van de gevonden risico’s uit de high-level risk assessment.
Dit resulteert onder meer in een risicomatrix, waarin naast de gevonden risico’s, ook wordt afgebeeld wat het aanvaardbare risico is. Zo wordt duidelijk waar aanvullende maatregelen nodig zijn.
Met onze kennis en expertise worden vervolgens aanbevelingen gedaan om de weerbaarheid van uw proces en organisatie te vergroten en daarmee de risico’s te reduceren tot een acceptabel niveau.
Om de kwetsbaarheden in kaart te brengen, maken wij o.a. gebruik van databases van leveranciers en internationale cybersecurity kenniscentra zoals ICS-CERT.
In het Risk Assessment Report worden de gevonden bedreigingen, kwetsbaarheden, risico’s en aanbevelingen uitgebreid toegelicht.