Underlag om åtkomst och nätverk till ert ledningssystem

Standarden

Ledningssystemet och de 93 åtgärderna

Den utgåva som gäller är från 2022. Standarden har två delar.

Den första delen ställer krav på själva ledningssystemet. Där finns riskbedömning, ledningens ansvar och internrevision. De kraven uppfyller ni i er egen organisation. Ingen produkt kan göra det åt er.

Den andra delen kallas bilaga A. Där finns 93 åtgärder i fyra teman: organisation, personal, fysisk säkerhet och teknik. Ni väljer vilka åtgärder som gäller för er. Valet redovisar ni i ett uttalande om tillämplighet, som ofta kallas SoA.

Åtgärd för åtgärd

Så hjälper XoT till

Åtkomst – 5.15, 5.18 och 8.3

Allt nekas från början. En regel bestämmer vem som får ansluta, till vilken utrustning, varifrån och när. Behörigheten kan gälla en begränsad tid och kan dras in direkt. I Policy Graph ser du vem som når vad.

Identitet och inloggning – 5.16, 5.17 och 8.5

Varje person och varje enhet har ett eget certifikat. Användarna loggar in via er katalogtjänst, till exempel Entra ID. Nyckeln kan ligga i datorns TPM, på ett smartkort eller i en hårdvarunyckel. Användaren och låset kontrollerar varandra två gånger i minuten. Personerna hanterar ni som vanligt i katalogtjänsten.

Privilegierad åtkomst – 8.2

Åtkomsten kan vara tillfällig och kan kräva att en administratör godkänner den. Administratörer i XMS kan begränsas till en anläggning eller en kund.

Leverantörer – 5.19 och 5.22

En leverantör når bara sin egen maskin, under den tid som regeln gäller. Varje anslutning loggas, och sessioner via webbläsaren spelas in. Avtalen med leverantörerna står ni för. Det är åtgärd 5.20.

Vi är också själva en leverantör till er. Vår beskrivning av kvalitetsarbetet, en förteckning över programvarans delar (SBOM) och rapporter från penetrationstester får ni på begäran. Det kan ni använda när ni bedömer oss.

Nätverk – 8.20 och 8.22

Låset sitter framför utrustningen och släpper bara igenom den trafik som en regel tillåter. Ett lås kan dela upp ett subnät utan nya adresser och utan nya VLAN. Inga portar behöver öppnas in mot låset.

Loggning och övervakning – 5.28, 8.15 och 8.16

XMS för två loggar. Händelseloggen visar vem som anslöt, till vilken utrustning och genom vilken regel. Granskningsloggen visar varje ändring av regler och behörigheter, och den är skyddad mot ändringar i efterhand. Sessioner i XoT-WebAccess spelas in automatiskt.

Hur länge loggarna sparas ställer ni in själva. Loggarna kan skickas till ert SIEM-system, till exempel Splunk, IBM QRadar eller Wazuh. Låset kan också skicka en kopia av trafiken till system som upptäcker intrång. Granskningen av loggarna står ni för.

Tekniska sårbarheter – 8.8

Mycket utrustning i OT kan inte uppdateras. Låset gör sådan utrustning osynlig för alla som saknar behörighet. Det är en kompenserande åtgärd. Den ersätter inte rutinerna för att uppdatera det som går att uppdatera.

Kryptografi – 8.24

Trafiken krypteras med WireGuard. Administrationen går över en krypterad kanal med certifikat på båda sidor. Certifikaten kommer från XMS egen certifikatutfärdare eller från er egen. Er policy för kryptografi tar ni fram själva.