Gamybos linija, elektrinė ar katilinė veikia kitaip nei biuro tinklas: čia svarbiausia, kad fizinis procesas vyktų saugiai ir be pertrūkių. Mūsų paslaugos sukurtos būtent tokiai aplinkai. Jos remiasi tarptautiniais standartais IEC 62443 (pramoninės automatikos ir valdymo sistemų saugumo standartų šeima) ir ISO/IEC 27001 (informacijos saugumo valdymo sistemų standartu), o reguliacinė dalis – ES Kibernetinio atsparumo aktu, NIS2 direktyva ir Lietuvos teisės aktais.
Žemiau rasite penkias pagrindines kryptis. Dažnai jos jungiasi: auditas parodo spragas, IEC 62443 metodika padeda jas sistemingai uždaryti, o CISO paslauga užtikrina, kad pasiekta būklė nesubyrėtų po pusmečio.
IEC 62443 diegimas
IEC 62443 yra pripažinta kalba, kuria pramonėje kalbama apie OT saugumą. Padedame ją pritaikyti jūsų aplinkai: atliekame rizikos vertinimą pagal IEC 62443-3-2, suskirstome sistemas į saugumo zonas ir kanalus, nustatome tikslinius saugumo lygius (SL, angl. Security Level) ir parengiame realistišką įgyvendinimo planą. Įrenginių gamintojams padedame pasirengti IEC 62443-4-1 ir 4-2 reikalavimams. → IEC 62443 diegimas
CRA atitiktis gamintojams
Nuo 2026 m. rugsėjo 11 d. gamintojai privalo pranešti apie aktyviai išnaudojamus pažeidžiamumus per 24 valandas, o nuo 2027 m. gruodžio 11 d. be CRA atitikties produktas neteks CE ženklinimo. Įvertiname, kurie jūsų produktai patenka į reglamento sritį, kuriai klasei jie priklauso, parengiame pranešimų procesą, SBOM (angl. Software Bill of Materials – programinės įrangos komponentų sąrašo) generavimą ir pažeidžiamumų valdymą. → CRA atitiktis gamintojams
OT kibernetinio saugumo auditas
Nepriklausomas gamyklos, elektrinės, pastotės ar kito technologinio objekto vertinimas: OT įrangos inventorizacija, IT ir OT tinklų atskyrimas, nuotolinė rangovų prieiga, privilegijuotos paskyros, atsarginės kopijos ir pasirengimas incidentams. Taikome saugius, pirmiausia pasyvius metodus, o išvadas susiejame su prastovos ir žmonių saugos rizika. → OT kibernetinio saugumo auditas
Kibernetinio saugumo auditas (NIS2, ISO/IEC 27001)
Atitikties auditas pagal Lietuvos Respublikos kibernetinio saugumo įstatymą, kuriame įtvirtinti NIS2 (ES Tinklų ir informacinių sistemų saugumo direktyvos 2) reikalavimai, ISO/IEC 27001 standartą ir NIST CSF (JAV Nacionalinio standartų ir technologijų instituto kibernetinio saugumo karkasą). Tinka tiek įmonėms, kurioms auditas privalomas, tiek tiems, kas ruošiasi sertifikavimui ar klientų patikrinimams. → Kibernetinio saugumo auditas
CISO paslaugos
Išorinis informacijos saugumo vadovas be etato kaštų: rizikų registras, saugumo politikos, tiekėjų ir prieigų kontrolė, incidentų valdymas ir reguliarios ataskaitos vadovybei. Turime NKSC (Nacionalinio kibernetinio saugumo centro) sertifikatą, leidžiantį teikti CISO paslaugas Lietuvoje, ir patirtį energetikos objektuose, kur saugumas tiesiogiai susijęs su veiklos tęstinumu. → CISO paslaugos
Standartai ir teisės aktai, kuriais remiamės
Kiekvieną projektą grindžiame pripažintais kriterijais, kad rezultatai būtų suprantami ir jūsų vadovybei, ir priežiūros institucijai, ir klientams: IEC 62443 standartų šeima pramoninėms sistemoms ir produktams, ISO/IEC 27001 informacijos saugumo valdymui, NIST CSF brandos vertinimui, ES Kibernetinio atsparumo aktas, NIS2 direktyva ir ją įgyvendinantis Lietuvos kibernetinio saugumo įstatymas, Elektros energetikos įstatymo 73³ straipsnis bei ESO tvarkos aprašas. Kriterijus parenkame pagal jūsų reguliacinį statusą, todėl nemokate už reikalavimus, kurie jums netaikomi.
Kitos paslaugos
Taip pat teikiame specializuotas paslaugas, kurios dažnai papildo pagrindines kryptis:
- Saulės elektrinių kibernetinio saugumo auditas – pasirengimas pagal Elektros energetikos įstatymo 73³ straipsnį.
- ISVS (informacijos saugumo valdymo sistemos) diegimas ir pasirengimas ISO/IEC 27001 sertifikavimui.
- ISO 27001 vidaus auditas – nepriklausomas, kaip reikalauja standartas.
- IT saugumo auditas – biuro IT infrastruktūrai ir debesijos paslaugoms.
- Kibernetinio saugumo vadovas (vCISO – virtualus CISO) – lankstus CISO modelis mažesnėms įmonėms.
- Įsilaužimų monitoringas – įskaitant elektrinių ugniasienių žurnalų stebėseną.
- Kibernetinio saugumo dokumentacijos rengimas – politikos, procedūros ir planai.
Kuo skiriamės nuo bendrųjų IT saugumo paslaugų teikėjų
Dauguma IT saugumo įmonių gerai išmano biuro tinklus, debesiją ir galinius įrenginius. Pramonėje to nepakanka. Gamybos linijos valdiklis negali būti perkrautas antradienio popietę, elektrinės inverteris neatnaujinamas vien todėl, kad išėjo nauja versija, o rangovo prieiga kartais yra vienintelis būdas greitai pašalinti gedimą naktį. Mūsų rekomendacijos atsižvelgia į šiuos apribojimus: kai standartinis sprendimas netinka, siūlome kompensacines priemones, kurias galima įgyvendinti nesustabdžius proceso.
Antras skirtumas – produktų sauga. Įrenginių gamintojams CRA ir IEC 62443-4-x reikalavimai liečia ne įmonės tinklą, o patį gaminį ir jo kūrimo procesą: komponentų sąrašus, pažeidžiamumų valdymą, atnaujinimų tiekimą ir dokumentaciją. Čia praverčia programinės įrangos kūrimo patirtis – kalbamės su jūsų programuotojais jų kalba ir siūlome procesus, kurie įsilieja į esamą kūrimo ciklą, o ne kuria paralelinę biurokratiją.
Trečias – vienas atsakingas žmogus. Nuo pirmojo pokalbio iki ataskaitos pristatymo vadovybei darbą veda tas pats konsultantas, todėl kontekstas neprarandamas, o atsakomybė aiški.
Kaip pasirinkti tinkamą paslaugą?
Jei nežinote, nuo ko pradėti, dažniausiai teisingas pirmas žingsnis yra auditas: jis parodo faktinę būklę ir leidžia investicijas nukreipti ten, kur rizika didžiausia. Jei gaminate produktus su programine įranga, pradėkite nuo CRA taikymo srities įvertinimo – jo terminai griežčiausi. Jei jau žinote spragas, bet trūksta žmogaus, kuris jas nuosekliai uždarytų, rinkitės CISO paslaugas. Neapsisprendus padės nemokamas pirminis pokalbis.