DAU IT-SIKKERHEDSKONFERENCE BEST PRACTICE: ORGANISATIORISK OT-SIKKERHED D. 13 JUNI 2017

Transkript

1 DAU IT-SIKKERHEDSKONFERENCE BEST PRACTICE: ORGANISATIORISK OT-SIKKERHED D. 13 JUNI 2017

2 CV Name: Thomas Page Company : Danish Crown A/S Title : Senior Manager Department : Factory IT Age : 46 years Employees : 39 Factory IT is responsible for more than 1200 Windows servers, 250 SQL servers and 1700 Windows terminals in our factories.

3 International fødevarevirksomhed med produktion og salg over hele verden

4 DANISH CROWN PRODUKTION LANDE MED PRODUKTION

5 23 SLAGTERIER I 5 EUROPÆISKE LANDE 2,4 mio ,9 mio. 0,1 mio. 2 UK Tyskland Danmark 13,9 mio. 0,3 mio. 9 Sverige 1,0 mio. 0,2 mio. 4 Polen 1,6 mio. 0,2 mio. 5

6

7 Fact Horsens. 128 Windows servere 250 netværks switche 2000 IP addresser i produktionen 200 PLC systemer FACTORY IT - HEADQUATER

8 AGENDA Opbygning af en OT/IT afdeling. Hvordan sikre vi vores produktions IT? Hvordan skaber vi fokus omkring IT sikkerhed i produktionen? Hvad er lykkes og hvad er ikke? Udfordringer i fremtiden (Industry 4.0)?

9 OPBYGNING AF EN OT/IT AFDELING År : 2004 Danish Crown vil have større fokus på produktionskritiske IT systemer. Indsats områder: Stabilt server og produktionsterminal miljø Standardisering Bedre overvågning Styr på IT sikkerhed Applikations og grænseflade kendskab Robust netværk Stille krav til leverandører Organisation som kan håndtere IT systemerne på fabrikkerne. Forstå både IT og automationssystemer Placering på et slagteri

10 OPBYGNING AF EN OT/IT AFDELING Hvad er fabriks IT egentlig? Alt udstyr på en fabrik som enten har et netværksstik eller et OS. Undtagen administrativ IT (Office PC er og programmer, som ikke vedr. fabrikkerne) Eks. på systemer: ADK, kantinesystemer, CCTV, håndholdte terminaler, Scada, IT sikkerhed, IT styret alarm systemer, serverrum, licenser, overvågning, PLC backup, Wireless musikanlæg, kontrakter, SQL, VMWARE / Windows platform, distributionsværktøjer, MES platform, produktionsterminaler, label systemer, lab. systemer, jobregistrering.. m.v.

11 OPBYGNING AF EN OT/IT AFDELING Hvem kan håndtere disse systemer? Administrativt IT eller lokale elektriker / automationsfolk?

12 OPBYGNING AF EN OT/IT AFDELING I 2004 findes stort set ingen OT folk (kompetencer indenfor både IT og automation). Kan, men vil ikke. ERP / ADMIN IT Kan og vil gerne Factory IT Kan ikke, men vil gerne Automation systems Kilde: SESAM (*)

13 OPBYGNING AF FACTORY IT (ORGANISATION) Afdelingen består i dag af følgende grupper: Lokal support DK, D og UK Server gruppe System gruppe Projekt gruppe Windows servers, 30+ VMWARE installations, production terminals, 140+ various IT systems, 250+ SQL servers, 90+ Scada servers FTE - Factory IT

14 HVORDAN SIKRE VI VORES PRODUKTIONS IT? 1. Total gennemgang af fabrikkens IT systemer (i og uden for serverrum). 2. IT security assesment report (16 key controls med fokus på fabriks IT) 3. Business alalyse Sikre af forretningen forstår hvilket systemer som driver deres fabrik og tilstanden på dem (Ikke IT folk)? Vi kører selv analyserne, men har netop kørt en Siemens IEC62443 IT Security assessment på en fabrik i Sverige, for at forbedre kvaliteten af vores 16 key controls.

15 IEC62443 IT SECURITY ASSESSMENT Eks. på nye fokus områder efter IT Security assessment IEC Mer fokus på OPC sikkerhed. Bedre bruger styring af rettigheder på Scada systemer Adgangen til produktionsnetværk Forståelse for IT sikkerhed Nye IT sikkerhedskrav i forbindelse med automationsprojekter. PLC versionering og backup

16 HVORDAN SIKRE VI VORES PRODUKTIONS IT? De 16 key controls anvendes både i administration og produktion. Men de er ikke ens.

17 HVORDAN SIKRE VI VORES PRODUKTIONS IT? Kunden præsenteres for rapporten som består af: Server liste i rød, gul og grøn afhængig af kvaliteten (målt på 15 parameter). 16 Key control score og sammenligning med andre fabrikker. Anbefalinger til ændringer og Site level agreement. Budget for kommende år.

18 FOKUS OMKRING IT SIKKERHED I PRODUKTIONEN? Alt udstyr med et netværksstik eller OS skal igennem Factory IT. Alt udstyr skal overholde Requirements for production IT. IT sikkerhedsfolder Forside med mobilnummer og fabrikstegning 2 sider omkring IT sikkerhed Bagside med diverse vagtnumre til IT

19 FOKUS OMKRING IT SIKKERHED I PRODUKTIONEN? Opret holde niveauet: Opdatering af IT Security assesment hvert andet år. Følger op på nyt udstyr og score (overholder IT det som er lovet?). Informationsmøder med teknisk afdeling i alle lande. Overdragelse af viden. KPI tal gennemgås hvert md. (delvist automatisk generet tal). (antivirus, legacy systemer, backup niveau m.v.)

20 SUCCES OR NOT!! Utrolig svært at rekruttere folk til OT området. Bruger meget tid på intern uddannelse. [Mål : Deltage i lærlinge uddannelse / praktik] IT analysen tager ca. 5 dage for en ny fabrik + rejsetid (1 dag gennemgang, ½ interview, 2 dage til at beskrive, 1 dag QA, ½ til præsentation). [Mål: reduceres fra 5 mand til 3 mand, autogenereret tal til rapporten, 4 dage] Både vores egen og IEC62443 rapporten kommer med mange findings. Det er utroligt svært at nå dem alle. [Mål: Risiko prioritere findings og smid væk] Utrolig svær at få forretningen i snak omkring IT sikkerhed indtil de har et problem. [Awareness kampagne kører p.t. i håb om en bedre forståelse] IT Security folder ud til alle [Mål: oversæt til alle Danish Crown sprog og lokal forankring]

21 UDFORDRINGER I FREMTIDEN (INDUSTRY 4.0)? Industry 4.0 Er der noget nyt og har vi ikke arbejdet med dette de sidste 10 år?. Måske! P.t. vælter det ind over os med data opsamlingsløsninger til en cloud baseret system (eks. rystelser på motorer, pumpetryk, data fra maskiner, alarm opsamling, AI m.v.). Nogle kører via LAN og andre via anden teknologi. Det skal vi kunne håndtere.

22 UDFORDRINGER I FREMTIDEN (INDUSTRY 4.0)? Industry 4.0 Vi går fra kontrolleret datatrafik til kaos. Hvem skal håndtere dette område, hvis man ikke har folk med viden omkring automation og IT? Kilde : Reference Architectural Model Industrie 4.0 (RAMI 4.0)

23 UDFORDRINGER I FREMTIDEN (INDUSTRY 4.0)? Industry 4.0 Endnu bedre styr på segmentering af netværk og hvem som sender hvad. Vi skal også stille krav til cloud udbyderen (hvem har adgang til data). Må vi sende data i skyen og hvem beslutter? Information til forretningen og tekniske afdeling. Industry 4.0 kræver gennemtænkt IT sikkerhedsstruktur og er vi klar til dette i dag? (*)

24 SPØRGSMÅL? Factory IT Senior Manager Thomas Page