Cyber PHA

Cyber PHA (również stylizowany na cyberbezpieczeństwo PHA ) to zorientowana na bezpieczeństwo metodologia przeprowadzania oceny ryzyka cybernetycznego dla przemysłowego systemu sterowania (ICS) lub oprzyrządowanego systemu bezpieczeństwa (SIS). Jest to systematyczne podejście oparte na konsekwencjach, które opiera się na normach branżowych, takich jak ISA 62443-3-2 , ISA TR84.00.09, ISO/IEC 27005:2018 , ISO 31000:2009 i NIST Special Publication (SP) 800-39 .

Nazwa cyber PHA została nadana tej metodzie, ponieważ jest ona podobna do metodologii analizy zagrożeń procesowych (PHA) lub metodologii badania zagrożeń i operatywności (HAZOP) , która jest popularna w zarządzaniu bezpieczeństwem procesowym , szczególnie w branżach, które obsługują wysoce niebezpieczne procesy przemysłowe (np. ropa naftowa i gaz, chemikalia itp.).

Metodologia Cyber PHA łączy podejście do bezpieczeństwa procesowego i bezpieczeństwa cybernetycznego oraz umożliwia współpracę działów IT, operacji i inżynierii w sposób, który jest już znany kierownictwu i personelowi obiektu. Wzorowana na metodologii bezpieczeństwa procesowego PHA/HAZOP, cyber PHA umożliwia identyfikację i analizę zagrożeń cybernetycznych w taki sam sposób, jak każde inne ryzyko procesowe, a ponieważ może być prowadzona jako oddzielna czynność następcza po tradycyjnym HAZOP, może być stosowany zarówno na istniejących terenach poprzemysłowych, jak i nowo budowanych terenach zielonych bez nadmiernej ingerencji w dobrze ugruntowane procesy bezpieczeństwa procesowego.

Metoda jest zwykle prowadzona jako warsztat, w którym uczestniczy moderator i skryba posiadający wiedzę fachową w procesie cyber PHA, a także wielu ekspertów merytorycznych, którzy są zaznajomieni z procesem przemysłowym, systemem automatyki i sterowania przemysłowego (IACS) oraz powiązanymi systemami informatycznymi . Na przykład zespół warsztatowy zazwyczaj składa się z przedstawicieli operacji, inżynierii, IT oraz BHP, a także niezależnego facylitatora i skryby. Wielodyscyplinarny zespół jest ważny w opracowywaniu realistycznych scenariuszy zagrożeń, ocenie wpływu kompromisu i osiągnięciu konsensusu co do realistycznych wartości prawdopodobieństwa, biorąc pod uwagę środowisko zagrożenia, znane luki w zabezpieczeniach i istniejące środki zaradcze.

Facylitator i skryba są zwykle odpowiedzialni za zebranie i uporządkowanie wszystkich informacji wymaganych do przeprowadzenia warsztatu (np. diagramy architektury systemu, oceny podatności i PHA) oraz, jeśli to konieczne, przeszkolenie zespołu warsztatowego w zakresie metody.

Arkusz roboczy jest powszechnie używany do dokumentowania oceny cyber PHA. W celu wsparcia metody cyber PHA opracowano różne szablony arkuszy kalkulacyjnych, bazy danych i komercyjne narzędzia programowe. Matryca ryzyka organizacji jest zwykle zintegrowana bezpośrednio z arkuszem roboczym, aby ułatwić ocenę dotkliwości i prawdopodobieństwa oraz wyszukać wynikową ocenę ryzyka. Facylitator warsztatu prowadzi zespół przez proces i stara się zebrać wszystkie informacje, osiągnąć konsensus i zapewnić płynny przebieg procesu. Warsztat trwa do momentu oceny wszystkich stref i przewodów. Wyniki są następnie konsolidowane i przedstawiane zespołowi warsztatowemu oraz odpowiednim interesariuszom.

Linki zewnętrzne

Cyber ​​PHA

Linki zewnętrzne

Cyber PHA