Audyt zgodności farm OZE według ISO 27001 wymagania NIS2
Ochrona instalacji energetycznych przed incydentami: dostęp zdalny, separacja sieci, odpowiedzialność kierownictwa, sankcje oraz obowiązki raportowe.
OZE Bezpieczeństwo NIS2 ISO 27001
Audytor zaleca absolutne minimum bezpieczeństwa OZE
-
Zdalny dostęp wyłącznie przez VPN
Stałe połączenia – tylko VPN site-to-site. Dostęp serwisowy – VPN z uwierzytelnianiem wieloskładnikowym (MFA).
Wszelkie narzędzia typu „zdalny pulpit”, „wsparcie techniczne” – blokada. -
Brak bezpośredniej ekspozycji OT do Internetu
Urządzenia OT, SCADA, PLC oraz ich interfejsy administracyjne nie mogą być osiągalne z sieci publicznej. -
Zmiana domyślnych haseł i rozliczalność kont
Hasła unikalne, zgodne z zaleceniami CERT, brak kont współdzielonych, pełna identyfikowalność użytkowników. -
Wyznaczenie osoby odpowiedzialnej za cyberbezpieczeństwo
Jednoznaczna odpowiedzialność, kontakt z CSIRT, reagowanie na incydenty – to wymóg organizacyjny, nie formalność. -
Rejestracja zasobów w moje.cert.pl
Zgłoszenie zakresów IP i domen umożliwia ich pasywne monitorowanie przez systemy krajowe. -
Pełna inwentaryzacja sprzętu i oprogramowania
OT, IT, urządzenia brzegowe, wersje firmware, interfejsy, konta – bez tego nie istnieje realna kontrola ryzyka. -
Segmentacja sieci i zasada minimalnych uprawnień
VLAN, separacja OT/IT, restrykcyjne reguły dostępu – to fundament ochrony instalacji. -
Kopie zapasowe konfiguracji – offline
Backup po każdej zmianie, przechowywany w środowisku odizolowanym. -
Zarządzanie podatnościami i aktualizacjami
Monitorowanie komunikatów bezpieczeństwa producentów, ocena ryzyka i planowe aktualizacje. -
Obowiązek zgłaszania incydentów do właściwego CSIRT
Zależnie od rodzaju podmiotu – administracja, wojsko lub sektor cywilny.
Cyberbezpieczeństwo OZE w praktyce oznacza działania zgodne z KSC
- Spełnione wymagania ISO/IEC 27001 (zarządzanie ryzykiem, kontrola dostępu, ciągłość działania),
- obowiązki wynikające z ustawy o KSC i dyrektywy KSC/NIS2,
- spełnione oczekiwania operatorów OSD/OSP wobec podmiotów przyłączonych do sieci.
- brak wdrożenia zasad KSC/NIS2 może skutkować ryzykiem prawnym,
- OT i OZE przestają być „poza zakresem” systemów zarządzania bezpieczeństwem,
- zapewnienie retencji zdarzeń (logów) z urządzeń brzegowych, które odpowiadają za separację sieci wewnętrznej od internetu, lub innych obiektów.