Forstå ISO 27019

Hva er ISO/IEC 27019:2017?

ISO/IEC 27019 er et sett med veiledende prinsipper for informasjonssikkerhetsstyring av prosesskontrollsystemene (PCS) som brukes i energiforsyningssektoren.

Hovedmålet med dokumentet er å øke bredden av ISO/IEC til automatiseringsteknologi og PCS-domenet. Dette er for å gi en spesifikk og standardisert Informasjonssikkerhetsstyringssystem (ISMS) å beskytte maskinvare- og programvareteknologisystemene som er ansvarlige for å overvåke og kontrollere generering, overføring, lagring og distribusjon av olje, gass, elektrisk kraft og varme, blant andre energiverktøy.

Informasjonskontroller for energiforsyningsindustrien

Den globale energiindustrien har vært ansvarlig for noen av de mest katastrofale katastrofene menneskeheten har opplevd.

Eksempler på destruktiv feilhåndtering av energiressurser inkluderer:

• Mexicogolfen
• Tsjernobyl
• Fukushima
• Tre mils øy
• Den nylige Beirut-eksplosjonen

Det kommer ikke som noen overraskelse at det er en sterk kultur for sikkerhetskontroller i energiforsyningsindustrien. Denne etosen kommer fra bevissthet om langsiktige effekter av enkelte operasjoner og programmer som går galt.

Energiforsyningsindustrien er en av de største fordelene med automatisering. De fleste av systemene som brukes er sterkt avhengige av elektroniske PCS-er som:

• Industrial Internet of Things (IIoT)
• Programmerbare logiske kontroller (PLC)
• Tilsynskontroll og datainnsamling (SCDA)
• Industrielle kontrollsystemer (ICS)

Disse er sammen med andre tilhørende prosedyrer og nettverk ansvarlige for:

• Sanntids overvåking av produksjonsaktivitetene
• ledelse av produksjonsvirksomheten
• kontroll av produksjonsaktivitetene.

Kort sagt, svikt eller forstyrrelser i de elektroniske prosesskontrollsystemene som brukes vil føre til at hele systemet går ned.

For eksempel vil svikt i en monitor i et geotermisk kraftverk føre til overoppheting, og i verste fall en katastrofal eksplosjon.

Mens ISO / IEC 27002 standarder beskriver viktige retningslinjer for å kontrollere beskyttelsen av informasjonssikkerhetsressurser, dens omfang dykker ikke dypt nok inn i beskyttelsen av energiverktøysprosesser.

Dette er grunnen til at ISO/IEC 27019:2017 eksisterer.

Historien til ISO 27019

ISO og IEC publiserte først ISO 27019 i 2013 som en teknisk rapport (TR), laget ved å spore en DIN-standard. I 2017 ble en andre utgave av standarden publisert, noe som gjorde den til en fullstendig internasjonal standard i harmoni med 2013-versjonen av ISO 27001 og ISO 27002. Så hvorfor er ISO 27019 så viktig?

Hvem kan implementere ISO 27019?

Følgende er de spesifikke områdene der implementeringen av ISO/IEC 27019:2017 kontroller er avgjørende for å beskytte og sikre sikkerheten til kritisk energiinfrastruktur:

1. Sentral og distribuert teknologi for styring, overvåking og automatisering av driftsprosessene og informasjonssystemene som brukes som parametrisering og programmering som letter dem.
2. Automatiseringskomponenter og digitale kontrollere som Programmerbar Logic Controller (PLS), sammen med aktuatorelementer og digitale sensorer.
3. Alle andre støttende informasjonssystemer som brukes i prosesskontroll som de som supplerer visualisering av data og de som involvert i overvåking, kontroll, historikerlogging, dataarkivering, dokumentasjon og rapportering..
4. Kommunikasjonsteknologiene som brukes innen prosesskontroll som telemetri, nettverk, fjernkontrollteknologi og telekontrollapplikasjoner.
5. Komponenter av Advanced Metering Infrastructure (AMI) som smarte målere.
6. Måleutstyr som de som brukes i utslippsverdier.
7. Digitale beskyttelses- og sikkerhetssystemer som sikkerhets-PLSer, beskyttelsesreleer og nødregulatormekanismer.
8. Systemer for styring av energi som infrastruktur for elektrisk lading, distribuerte energiressurser (DER), industrielle kundeinstallasjoner, boligbygg og til og med i private husholdninger.
9. Smart grid miljø distribuerte komponenter som i private husholdninger, energinett, industrielle kundeinstallasjoner og boligbygg.
10. All fastvare, applikasjoner og programvare installert på systemene nevnt ovenfor, inkludert strømbruddsstyringssystemer (OMS), distribusjonsstyringssystem (DMS), etc.
11. Alle lokaler som huser systemene og utstyret nevnt ovenfor.
12. Fjernvedlikeholdssystemene for systemene nevnt ovenfor.

Hvordan implementere ISO 27019

Etter å ha gjennomført en sikkerhetsvurdering og komme med sikkerhetsrisikoer og mål og beslutninger om hvordan man skal håndtere den identifiserte risikoen, bør nødvendig kontroll velges og implementeres for å sikre at risikoene reduseres til et akseptabelt nivå.

I tillegg til kontrollene som tilbys av et omfattende ISMS, gir ISO 27019 ytterligere sektorspesifikke tiltak og assistanse for å hjelpe til med prosesskontrollen som brukes av energiforsyningsindustrien, angående de spesielle kravene til de spesifikke miljøene. Om nødvendig kan en organisasjon iverksette ytterligere tiltak for å oppfylle individuelle krav.

Kontrollene som en organisasjon vil bestemme seg for avhenger av:

• Organisasjonens risikostyringstilnærming og deres risikoaksept
• Andre relevante internasjonale og nasjonale lover, forskrifter og juridiske forordninger

Informasjonssikkerhet for energiselskaper

I tillegg til tiltakene og sikkerhetsretningslinjene som er presentert i ISO/IEC 27002:2013, har prosesskontrollsystemene for energileverandører og energiverk tilleggskrav. Sammenlignet med andre konvensjonelle IKT-miljøer som energihandelssystemer og kontorinformasjonsteknologi, har energiforsyningssektoren grunnleggende forskjeller når det gjelder drift, utvikling, vedlikehold, reparasjon og driftsmiljø for PCS.

Siden noen av prosesskontrollteknologiene beskrevet i ISO/IEC 27019:2017 beskriver integrerte komponenter i noen kritiske infrastrukturer, er de derfor avgjørende for å sikre pålitelig og sikker drift av slike infrastrukturer.

Når du tar i betraktning deres funksjon og design, bør du betrakte PCS-er for energiforsyningssektoren som informasjonsbehandlingssystemer. Data om status for de fysiske prosessene overvåkes ved hjelp av sensorer. Disse dataene blir deretter behandlet og kontrollutganger generert for å regulere handlingene ved hjelp av aktuatorer. Selv om prosessen er automatisk, kan driftspersonell manuelt gripe inn ved behov.

Siden informasjons- og informasjonsbehandlingssystemer er en vesentlig del av hvordan energiselskapene opererer, må organisasjoner iverksette nødvendige beskyttelsestiltak for å ivareta sin informasjon som andre organisatoriske enheter.

Prosesskontrollmiljøene for energiverktøy bruker i økende grad maskinvare- og programvarekomponenter. Et eksempel på dette er programmerbar logikk basert på standard IKT-teknologi. Tallrike sammenkoblinger danner også komplekse systemer. Det ville hjelpe om du vurderte disse nye risiko under en risikovurdering og nødvendige tiltak for å rette opp det.

Hvordan komme i gang med ISO 27019?

For å komme i gang med 27019, bør organisasjoner i energiforsyningsbransjen gjennomføre en risikovurdering av systemene deres som brukes for å kjenne deres trusler, sårbarheter og mulige konsekvenser av risiko. Avhengig av den spesifikke maskinvare- og programvareautomatiseringsteknologien som brukes av energiselskapene, bør de velge de riktige retningslinjene og kontrollene for å sikre sikkerheten til systemene deres.

Tilgjengeligheten av programvare og verktøy for informasjonssikkerhet gjør det enkelt for organisasjoner å måle etterlevelsen av ISO 27019. Ved hjelp av slike verktøy vil de som er involvert i sikkerhetsstyring eller prosesskontroll som brukes av energiforsyningsindustrien få et klarere bilde av hvordan deres retningslinjer og kontroller sammenlignet med de fastsatte ISMS-kravene. Å kjenne til områdene som trenger forbedring gjør det mulig å bruke de relevante kontrollene basert på ISO 27019-standardene.

ISO 27019-sertifisering

For å oppnå ISO-sertifisering, bør en organisasjon følge en spesifikk prosedyre for å sikre at alle de tar opp risikoer når de er relatert til de bestemte forretningsmiljøene.

Det første trinnet for å oppnå sertifisering er å identifisere kjernevirksomhetsprosessen, dokumentere den til relevante medlemmer av organisasjonen. Dokumentasjonen skal angi prosedyrer og tiltak som er iverksatt beskytte de ulike informasjonssystemene og automatiseringsteknologi.

Neste steg er å implementere prosedyrene som beskrevet i dokumentasjonen, og sikre at alle ansatte er kvalifisert til å utføre oppgavene som kreves av dem. Det bør være et effektivt rapporteringssystem for å ivareta testing, inspeksjon, forebyggende tiltak, korrigerende tiltak, statistiske teknikker, ledergjennomgangsmøter, overvåking av mål, etc.

Effektiviteten til disse prosessene bør da være overvåkes ved hjelp av målbare data Hvor mulig. Energiselskaper bør også gjennomføre nødvendig gjennomgang og systemrevisjon.

Disse revisjonene sikrer at du implementerer alle kontrollene og retningslinjene som er foreslått av ISO 27019 på riktig måte. Systemrevisjoner bør:

• Identifisere og rapportere styrker og svakheter ved styringssystemet
• Ta nødvendige korrigerende eller forebyggende tiltak

Det siste trinnet for organisasjoner i energiforsyningsindustrien som ønsker å oppnå ISO/IEC 27019-sertifisering er å velge et uavhengig revisjonsorgan som driver med ekstern registrering.

Ledelsessystemets dokumentasjon bør deretter sendes inn for gjennomgang for å sikre samsvar med gjeldende standarder.

ISO 27019 krav

For å overholde ISO/IEC 2019, energiverk organisasjoner må identifisere sine sikkerhetskrav basert på deres automatiseringsteknologi. Disse kravene er hovedsakelig fra:

1. En organisasjons risikovurdering resultater. De bør ta hensyn til en organisasjons generelle forretningsmål og strategier. Risikohendelser og kilder, sammen med sannsynligheten for forekomst og de potensielle konsekvensene av forekomsten av en gitt risiko.
2. Andre krav vil følge av vedtekter og lover, kontrakter og forskrifter og andre sosiokulturelle forhold en organisasjon er pålagt å oppfylle. Noen spesielle eksempler inkluderer å sikre en energiforsyning som er pålitelig, sikker og effektiv, og også oppfyllelsen av et deregulert energimarkedskrav.
3. De spesifikke forretningskravene, prinsippene og målene som er satt til behandling av informasjon som utviklet av virksomheten for å støtte driften.

Energiselskaper bør sørge for at alle PCSs sikkerhetskrav er ordentlig analysert og dekket i deres retningslinjer for informasjonssikkerhet. Noen av hensynene på plass inkluderer:

• Begrensningen av energiflyten
• Faren for fysisk skade
• Effektene på informasjonspersonvernet
• Økonomiske konsekvenser