IEC 62443 diegimas
Zonos ir kanalai, rizikos vertinimas pagal IEC 62443-3-2, tiksliniai saugumo lygiai ir saugi nuotolinė prieiga.
Sužinoti daugiau apie IEC 62443 diegimasIT / OT kibernetinio saugumo paslaugos
Pramoninių valdymo sistemų kibernetinis saugumas
Gamybos ir energetikos įmonėms: OT (angl. Operational Technology – operacinių technologijų) saugumo auditai, IEC 62443 standartų diegimas, CRA (Kibernetinio atsparumo akto) atitiktis gamintojams ir CISO (angl. Chief Information Security Officer – informacijos saugumo vadovo) paslaugos. Pritaikyta technologiniam procesui, ne biuro tinklui.
- ISO/IEC 27001 Lead Auditor (vadovaujantysis auditorius)
- NKSC (Nacionalinio kibernetinio saugumo centro) CISO paslaugų teikėjo sertifikatas
- INL (JAV Aidaho nacionalinės laboratorijos) ICS-300 ir ICS-401 mokymai
- ISA/IEC 62443 IC32 kursas
- 11 energetikos objektų auditų
Reikalavimai jau galioja – ne „nuo kitų metų“
Pramonėje ir energetikoje kibernetinis saugumas tapo teisine prievole su konkrečiomis datomis. Kas jas praleidžia, rizikuoja ne tik bauda, bet ir rinka.
- 2026 m. rugsėjo 11 d. – pradėta taikyti CRA 14 straipsnio prievolė: produktų su skaitmeniniais elementais gamintojai per 24 valandas turi pranešti apie aktyviai išnaudojamus pažeidžiamumus per ENISA (Europos Sąjungos kibernetinio saugumo agentūros) bendrąją pranešimų platformą.
- 2027 m. sausio 20 d. – pradedamas taikyti Mašinų reglamentas (ES) 2023/1230, kuriame atsiranda reikalavimai valdymo sistemas apsaugoti nuo sugadinimo, įskaitant tyčinį poveikį.
- 2027 m. gruodžio 11 d. – taikomi visi CRA esminiai reikalavimai: be įrodytos atitikties produktas negaus CE ženklinimo ir negalės būti tiekiamas ES rinkai.
- Jau dabar – NIS2 (ES Tinklų ir informacinių sistemų saugumo direktyvos 2) reikalavimai įtvirtinti Lietuvos kibernetinio saugumo įstatyme, o elektrinėms virš 100 kW taikomas saugumo atitikties deklaravimas pagal Elektros energetikos įstatymo 73³ straipsnį.
Paslaugos
Penkios kryptys, vienas tikslas – saugiai veikiantis technologinis procesas ir atitiktis, kurią galite įrodyti.
CRA atitiktis gamintojams
Produktų klasifikavimas, 14 straipsnio pranešimų procesas, SBOM (programinės įrangos komponentų sąrašas) ir pažeidžiamumų valdymas.
Sužinoti daugiau apie CRA atitiktis gamintojamsOT kibernetinio saugumo auditas
Gamyklos, elektrinės ar pastotės saugumo vertinimas saugiais, pasyviais metodais – su prioritetiniu veiksmų planu.
Sužinoti daugiau apie OT kibernetinio saugumo auditasKibernetinio saugumo auditas
Atitikties auditas pagal Kibernetinio saugumo įstatymą (NIS2), ISO/IEC 27001 ir NIST CSF (JAV standartų instituto kibernetinio saugumo karkasą).
Sužinoti daugiau apie Kibernetinio saugumo auditasCISO paslaugos
Išorinis informacijos saugumo vadovas: rizikos, tiekėjai, incidentai ir aiškios ataskaitos vadovybei.
Sužinoti daugiau apie CISO paslaugosKodėl Baltic Cyber Security
Inžinierius, auditorius ir programuotojas viename
Inžinerinis išsilavinimas, daugiau nei dešimt metų programinės įrangos kūrimo ir ISO/IEC 27001 vadovaujančiojo auditoriaus metodika. Todėl su automatikos inžinieriumi kalbamės apie PLC (programuojamuosius loginius valdiklius) ir ugniasienių taisykles, o su vadovybe – apie riziką ir atsakomybę. Be vertėjo.
Saugūs metodai technologinėje aplinkoje
OT aplinkoje prastova kainuoja daugiau nei bet kokia ataskaita. Pirmenybę teikiame dokumentų analizei, pokalbiams, konfigūracijų peržiūrai ir pasyviam tinklo srautų stebėjimui. Aktyvūs bandymai – tik suderinus apimtį, laiką ir atsitraukimo planą.
Išvados, kurias supranta vadovybė
Daugiau nei septyneri metai darbo patirties finansų direktoriaus pozicijose tarptautinėse įmonėse. Rizikas verčiame į sprendimų kalbą: galimą prastovos kainą, investicijų prioritetus ir atsakomybę. Saugome nepriklausomumą – įmonės, kurioje esame paskirti CISO, pakartotinio audito patys neatliekame.
Sritys, kuriose dirbame
Gamyba
Gamyklų OT apsauga ir produktų sauga: nuo gamybos linijų segmentavimo iki CRA ir IEC 62443-4-2 reikalavimų jūsų gaminamoms mašinoms ir valdikliams.
Sužinoti daugiau apie sritį GamybaEnergetika
Saulės, vėjo, hidro ir energijos kaupimo objektai: auditai pagal Elektros energetikos įstatymo 73³ straipsnį, NIS2 atitiktis ir saugi rangovų prieiga.
Sužinoti daugiau apie sritį EnergetikaPatirtis ir kvalifikacija
11energetikos objektų kibernetinio saugumo auditų (10 saulės elektrinių ir 1 hidroelektrinė)
10+metų programinės įrangos kūrimo patirties
7+metai finansų direktoriaus (CFO, angl. Chief Financial Officer) darbo tarptautinėse įmonėse
- ISO/IEC 27001 Lead Auditor
- NKSC (Nacionalinio kibernetinio saugumo centro) CISO paslaugų teikėjo sertifikatas
- INL (JAV Aidaho nacionalinės laboratorijos) ICS-300 ir ICS-401 pramoninių valdymo sistemų saugumo mokymai
- ISA/IEC 62443 IC32 kursas
- Google Cybersecurity Professional Certificate
Kaip dirbame
- 1Pirminis pokalbis. Nemokamai aptariame jūsų objektą, reguliacinį statusą ir lūkesčius. Jau po pokalbio žinote, kurie reikalavimai jums taikomi.
- 2Apimtis ir pasiūlymas. Suderiname vertinamas sistemas, metodus, leidžiamus techninius veiksmus ir terminus. Gaunate aiškios apimties ir kainos pasiūlymą.
- 3Vertinimas. Dokumentai, pokalbiai su IT, automatikos ir eksploatacijos specialistais, apžiūra vietoje ir saugi techninė patikra.
- 4Ataskaita ir veiksmų planas. Prioritetizuotos išvados, vadovybės santrauka ir realistiškas planas. Prireikus padedame jį įgyvendinti arba tęsiame darbą kaip jūsų CISO.
Konsultantas, su kuriuo kalbatės tiesiogiai
Vaidas Jokubauskas – įkūrėjas ir vadovaujantis konsultantas
Inžinierius pagal išsilavinimą, ilgametis programinės įrangos kūrėjas ir buvęs tarptautinių įmonių finansų direktorius. Fintech lab MB įkūrė tam, kad pramonės ir energetikos įmonės gautų kibernetinio saugumo kompetenciją, kurioje susitinka technologinis procesas, programinis kodas ir verslo rizika. Jūsų projektą veda tas pats žmogus, su kuriuo kalbėjotės pirmojo pokalbio metu.
Įžvalgos
Praktinės pastabos apie OT saugumą, CRA ir reguliavimą – iš realių projektų.
Dažniausios kibernetinio saugumo spragos elektrinėse virš 100 kW
Septynios spragos, kurias dažniausiai randame saulės elektrinių ir kitų energetikos objektų auditų metu, ir kaip jas pašalinti prieš deklaruojant atitiktį.
Skaityti: Dažniausios kibernetinio saugumo spragos elektrinėse virš 100 kWKas yra kibernetinis saugumas ir kodėl jis svarbus
Kas yra kibernetinis saugumas, kodėl jis svarbus verslui ir asmenims bei kokie pagrindiniai žingsniai padeda apsisaugoti nuo kibernetinių grėsmių.
Skaityti: Kas yra kibernetinis saugumas ir kodėl jis svarbusDažniausiai užduodami klausimai
IT audite svarbiausia duomenų apsauga, o OT aplinkoje – saugus ir nenutrūkstamas fizinis procesas. Todėl vertiname kitus dalykus (PLC, SCADA – angl. Supervisory Control and Data Acquisition, priežiūros ir duomenų surinkimo sistemas, rangovų prieigas, valdymo tinklų segmentavimą) ir taikome kitus metodus: be agresyvaus skenavimo, su išvadomis, susietomis su prastovos ir žmonių saugos rizika.
Ne, jei jis tinkamai suplanuotas. Pradedame nuo dokumentų, pokalbių ir konfigūracijų peržiūros, srautus stebime pasyviai. Bet koks aktyvus testas atliekamas tik gavus raštišką leidimą, suderinus laiką su eksploatacija ir turint aiškų atsitraukimo planą.
Jei tiekiate ES rinkai produktą su programine įranga, kuris jungiasi prie kito įrenginio ar tinklo, jis beveik neabejotinai patenka į CRA taikymo sritį. Išimtys taikomos, pavyzdžiui, medicinos priemonėms ir motorinėms transporto priemonėms, kurias reguliuoja atskiri teisės aktai. Pirminį taikymo srities įvertinimą atliekame nemokamai.
Tai priklauso nuo sektoriaus ir dydžio. Energetika ir mašinų bei įrangos gamyba patenka į direktyvos sektorius, o reikalavimai paprastai taikomi vidutinėms ir didelėms įmonėms pagal ES MVĮ (mažų ir vidutinių įmonių) apibrėžimą. Kai kuriems subjektams jie taikomi nepriklausomai nuo dydžio – tai įvertiname per pirmą pokalbį.
Ne tam pačiam laikotarpiui ir ne tų pačių kontrolės priemonių. Kai prižiūrime jūsų saugumą kaip CISO, nebegalime būti nepriklausomu jo auditoriumi. Tokiu atveju pakartotinį auditą rekomenduojame pavesti kitam auditoriui – taip jūsų atitiktis lieka nepriekaištinga.
Kaina priklauso nuo objektų skaičiaus, sistemų sudėtingumo ir taikomų reikalavimų. Po pirmojo pokalbio pateikiame fiksuotos apimties pasiūlymą, kad iš anksto žinotumėte biudžetą. Vienos nedidelės elektrinės auditas yra kompaktiškas projektas, o CISO paslaugos apmokamos mėnesiniu mokesčiu.
Pradėkime nuo aiškaus vaizdo
Per pirmą pokalbį įvertinsime, kurie reikalavimai – CRA, NIS2, IEC 62443 ar Elektros energetikos įstatymas – taikomi jūsų įmonei ir ką verta daryti pirmiausia.
Nemokama konsultacija