IT sikkerhed ifm IT leverancer

Transkript

1 Gode Automations Projekt Processer GAPP Vejledning og inspiration til dokumentet er angivet med rødt. Det skal slettes inden dokumentet frigives. Dette dokument fra afspejler Best Practice og derfor er der forskelle i detaljeringsniveauet for de enkelte afsnit. Har du input der kan komme andre til gode, så send dine input til på mail info@sesam-world.dk World V 0_ unde: af

2 Gode Automations Projekt Processer GAPP Indholdsfortegnelse. Forord rav til netværksudstyr rav til netværksudstyr på produktionsnetværk Wireless på administration- / produktionsnetværk Princip tegning VLANS Firewall Placering af udstyr Jumpstation Arbejdsstation Adgangskravsmuligheder Sikkerhedsdokumenter & ontrakter Servere Login og password Eksternt udstyr på servere Share drev Antivirus og Windows update Antivirus Windows update Unit / enkelt stående systemer / stand alone SQL sikkerhed Retningslinjer for adgang og brug af server SQL server service SQL agent service SA konto Builtin administrator Leverandør administrator konto Applikations kontoer Risiko analyse og SLA niveau Backup / Restore Ændrings log... World V 0_ unde: 2 af

3 Gode Automations Projekt Processer GAPP. Forord Dette dokument indeholder s emner som bør indgå i en IT leverance. rdet firma bruges flere steder i dokumentet og kan udskiftes med ens ejet firmanavn. Der optræder fabrikat navne i nogle af afsnittene som naturligvis bare udskiftes med ejet udstyr. Afsnittene skal sproglig tilpasses da mange af afsnittene er taget fra forskellige IT standard dokumenter og hurtigt omskrevet til brug i dette dokument. Derfor er dette dokument også blot ment som et oplæg til den videre diskussion mellem kunde og leverandør af en IT leverance. World V 0_ unde: 3 af

4 Gode Automations Projekt Processer GAPP 2. rav til netværksudstyr 2.. rav til netværksudstyr på produktionsnetværk. Nedenfor er eksempler på krav til produktionsudstyr: Udstyr skal understøtte spanning tree (spanning tree må ikke blokeres). Loop protection skal være aktiv Fysiske redundante produktionsnetværk som tilsluttes det administrative miljø må max. anvende VLAN pr. ring. DHCP adresser må kun anvendes til opsætning eller test. Dvs. at alt permanent udstyr skal have en fast IP adresse. Produktionsnetværk skal være redundant og have 2 forbindelser til 2 fysisk adskilte administrative switche. Det skal være muligt at overvåge netværksudstyr via webbrowser eller andet værktøj. Skal understøtte SNMP protokollen. Alle porte i switche som ikke anvendes skal disables Wireless på administration- / produktionsnetværk. Der er her prøvet at beskrive nogle generelle krav til wireless netværk. Det er kun tilladt at anvende firma leveret wireless udstyr. Såfremt løsningen kræver anden type end firmaets standard opsætning skal dette godkendes af firmaets IT ansvarlige. rav til none standard udstyr: Wireless udstyr på ikke indeholde router Skal være af typen Access point. Skal være vand og støvtæt (apslingsklasse IPxx). ommunikation skal enten være 2.4Ghz eller 5 Ghz og det skal være muligt at bestemme hvilke kanaler som må anvendes. World V 0_ unde: 4 af

5 Al le n-bradl e y PLC -5/ 80E NTICE NTICE NTICE NTICE A NA LG I N (2 BI T) R UN FLT NTICE A NA LG U T (2 BI T) R UN FLT QUALITY NTICE NTICE D C U T P U T 0 T 3 0 v D C I N P U T NTICE 0 T 3 0 v QUAL ITY Allen-Br adley PWER RUN BAT Logix5550 RUN REM I / R s232 PRG D C INPUT D C INPUT QUALITY DC UTPU T Allen-Br adley PWER RUN BAT Logix5550 RUN REM I/ Rs 232 PRG DC INP UT DC INP UT DC UTPUT D C U TPUT AC UTPUT AC IN PUT DC UTPUT AC UTPUT DC UTPUT AC UTPUT AC IN PUT AC INPUT DC UTPUT DC UTPUT AC UTPUT AC UTPUT AC INPUT AC INPUT DC UTPUT AC UTPUT AC INPUT Al en -Brad le y P LC-5/ 80E NTICE NTICE NTICE NTICE A NA LG I N (2 BI T) R UN FLT NTICE A NA LG U T (2 BI T) R UN FLT QUALITY NTICE NTICE D C U T P U T 0 T 3 0 v D C 0 I N 3 P U T NTICE T 0 v QUALITY Allen-Br adley PWER RUN BAT Logix5550 RUN REM I/ Rs 232 PRG DC INP UT DC INP UT QUALITY D C U TPUT Allen-Br adley PWER RUN BAT Logix5550 RUN REM I/ Rs 232 PRG DC INP UT DC INP UT D C U TPUT DC UTPUT AC UTPUT AC IN PUT DC UTPUT AC UTPUT DC UTPUT AC IN PUT AC UTPUT AC INPUT DC UTPUT AC UTPUT DC UTPUT AC INPUT AC UTPUT AC INPUT DC UTPUT AC UTPUT AC INPUT Gode Automations Projekt Processer GAPP 2.3. Princip tegning Administration / ffice ADMIN -VLAN Produktion PRDUTIN - VLAN I/ World V 0_ unde: 5 af

6 Gode Automations Projekt Processer GAPP 2.4. VLANS pbygning af VLAN med DHCP, subnet, gateway osv. Eksempel på VLAN opbygning 52 IP adresser ønskes anvendt. Standard opsætning af VLAN o x.x.x : Reserveret til netværksudstyr. o x.x.x.0-0 : DHCP o x.x.x : Diverse udstyr Hvor mange VLANs oprettes og til hvilket opgaver? Nedenfor er eksempler på VLANs. VLAN oprettes for de systemer som skal kommunikere sammen. Dvs. at Scada servere, terminaler, idlæser og servere placeres på samme VLAN, såfremt de skal kommunikere sammen. ommunikation på tværs af VLAN skal igennem firewall, hvilket ikke er egnet til meget hurtig kommunikation som eks. sikkerhedsnetværk (nødstop). Alt anden kommunikation kan gå igennem firewall uden målbart tab. VLAN kan opdeles i flere IP områder afhængig af antal IP adresse som ønskes. De fleste proces leverandører ønsker dog at holde hvert VLAN nede på max. 52 IP adresser (default 256 IP adresser), da ikke alt udstyr understøtter højere antal. Skal der være delvist lukket VLAN Alle produktionsvlans er lukket for internet trafik og kommunikation til andre netværk. Undtagen er nødvendig kommunikation imellem produktion/admin udstyr og remote værktøjer. Skal der være total lukket VLAN Udstyr som ikke tåler Windows eller antivirus opdatering placeres på netværk som er lukket for alt andet end remote værktøjer. Nyt udstyr kan ikke kobles på anlægget uden dette godkendes i switch via MAC authentication (teknisk løsning) World V 0_ unde: 6 af

7 2 2 Allen-Bradley PLC-5/80E D C U T P U T 0 T 3 0 v Gode Automations Projekt Processer GAPP 3. Firewall Hvor placeres firewall? Administration / ffice FIREWALL ADMIN - VLAN Fabrikker VPN Leverandør VPN FIREWALL ADSL Produktion PRDUTIN - VLAN Access point NTICE NTICE NTICE NTICE PLC Produktions IT PLC Firewall er placeret imellem administrations- og produktionsvlan et, samt imellem fabrikkerne og WAN et. Trafik som skal igennem flere VLAN kommer igennem firewall, hvor trafikken valideres. Såfremt trafikken ikke er kendt i firewall lukkes den ikke igennem. IT service kan kontrollere og evt. åbne for trafik som er spærret. World V 0_ unde: 7 af

8 Gode Automations Projekt Processer GAPP 4. Placering af udstyr Hvilken type netværk placeres udstyr på? Tabellen nedenfor angiver mulige placering af udstyr: Beskrivelse Placering af udstyr Netværk Backup servere Placeres på alle VLANS hvor der ønskes backup Administrativ netværk Produktionsterminaler Produktions VLAN Administrativ netværk VMWARE og fysiske servere Samme VLAN som det udstyr der kommunikeres mest med Administrativ netværk PLC udstyr ProduktionsVLAN Produktionsnetværk Jumpstations (00% firma opdateret) ServiceVLAN (kan nå alt) Administrativ netværk Testudstyr (00% firma opdateret) ServiceVLAN (kan nå alt) Administrativ netværk World V 0_ unde: 8 af

9 Gode Automations Projekt Processer GAPP 5. Jumpstation Arbejdsstation Jumpstations/arbejdsstation skal anvendes hvor leverandøren skal have adgang til egne systemer på fabrikken. un via jumpstation/arbejdsstationer kan man få adgang til disse. Alle jumpstations/arbejdsstationer skal være 00% Windows og antivirus opdateret. Ved brug af internet skal opstartssiden vise firmaets sikkerhedspolitik. Firmaet installere jumpstation/arbejdsstationer og sikre at de kan nå det udstyr som er nødvendigt. Eksempel på jumpstation/arbejdsstation politik Der må kun anvendes AD bruger login (fælles brugere til afskaffes). AD brugeren skal have følgende : Brugertilpasset klargøring af programmer via script fil (f.eks. remote programmer). Scriptet må kun give adgang til leverandørens eget udstyr. Brugertilpasset mapping af drev Internet adgang via Firmaets opstartsside omkring Poweruser adgang (dvs. ikke mulighed for installation af programmer). World V 0_ unde: 9 af

10 Gode Automations Projekt Processer GAPP 6. Adgangskravsmuligheder Der findes flere måder at tilgå firmaets netværk og dermed produktionssystemerne på: Adgang via Citrix Adgang via VPN Adgang via trådløst netværk Adgang via fast fortrådet netværk Adgang direkte fra PC eller server. Fælles for alle adgangsniveauer: Alle systemer som tilkobles firmaets netværk skal være Windows og antivirus opdateret. Der må ikke anvendes programmer som kommunikerer med andre servicefunktioner på internettet (eks. Skype, Facebook m.v.). For at undgå brug af uautoriseret udstyr på firmaets netværk skal alle anvende Jumpstations (arbejdsstation, engineering station) som giver adgang til fabriksspecifikt software (Eks. MS SQL, SCADA & PLC programmeringsværktøjer, leverandør programmer m.v.) Jumpstation sikre både leverandøren og firmaet imod virus m.v., da disse PC er altid er opdateret med nyeste antivirus og Windows opdateringer. Adgang via Citrix Standard adgangsvejen til firmaet er via Citrix og med Remote Desktop til jumpstation. Adgang via Citrix kan søges via den IT ansvarlige for den fabrik som skal tilgås. Før adgang via Citrix kan bevilliges, skal der udfyldes og underskrives en fortrolighedserklæring for hver person, der skal tilgå firmaets netværk. Adgang via VPN Såfremt Citrix adgang ikke er tiltrækkelig kan søges om VPN adgang. VPN adgangen gives kun hvis firmaet ikke kan installere nødvendigt leverandør software på egne jumpstations. Dvs. at leverandøren har adgang udenom jumpstations. Adgang via trådløst netværk Adgang via trådløst netværk må kun ske igennem firma konfigureret netværk. pkoblingen på et firma konfigureret trådløst netværk sikrer at firmaets kendte maskiner får direkte adgang til netværket og fremmede PC er sendes til internet. For at fremmede PC er efterfølgende får adgang til produktionssystemerne skal der derfor anvendes Citrix eller VPN opkobling. Adgang via fast fortrådet netværk og adgang direkte fra admin PC eller server un firmaets IT udstyr eller firma godkendt udstyr må tilkobles direkte på fast fortrådet forbindelse og den til en hver tid gældende spolitik skal overholdes. Firma godkendelse skal ske via IT Sikkerhedssoftware (read only USB dongel) som kontrollere at Windows og antivirus software er opdateret. World V 0_ unde: 0 af

11 Gode Automations Projekt Processer GAPP 7. Sikkerhedsdokumenter & ontrakter Inden leverandører kobles på firmaets netværk skal de have adgang til følgende dokumenter: Fortrolighedserklæringen (Beskriver firmaets retningslinjer omkring krav og fortrolighed) Adgangserklæring (Beskriver hvilket systemer som leverandøren skal have adgang til, kontaktperson, ansvarlig for leverandør, adgangslængde m.v.) produktion (Sammendrag af ovenstående dokumenter) Der er i det efterfølgende opstillet nogle IT retningslinjer : Software og adgang til systemer Der må ikke installeres software på firmaets udstyr uden dette er godkendt af autoriseret sikkerhedspersonale fra firmaet. Udleveret login og password til firmats systemer på ikke videregives og må under ingen omstændigheder befinde sig synligt i nærheden af systemerne. Login og password må ej heller udleveres til andet firma personale end de sansvarlige. vervågning / Firewall Firmaet forbeholder sig ret til at overvåge al kommunikation på netværk og dermed via logs hurtigt at kunne finde personer, som forsøger at tilgå systemer som ikke er en del af den pålagte arbejdsopgave. vervågning kan desuden anvendes til fejlfinding, såfremt der opleves manglende forbindelse imellem netværksenheder. Ved manglende forbindelse imellem 2 forskellige VLAN kontaktes IT afdelingen, da dette kan skyldtes Firewall spærringer. Internet anvendelse Internet trafikken må alene anvendes til erhvervsmæssige formål (eks. mail, sourcekode server). Dvs. det er ikke tilladt at anvende forbindelsen i nævneværdig omfang til private formål (eks. Skype, Facebook m.v.). Det er under ingen omstændigheder tilladt af downloade/streame video, lyd og billedmateriale til privat brug, samt at anvende forbindelsen til spil, porno, chat, racistiske formål, terror eller hackersider. Change Mangement Ved ændringer i kørende IT/Automations systemer fremsendes en Release anmodning indeholdende følgende oplysninger : Hvad omhandler ændringen? Ved fejl på ændring hvordan kommer man tilbage og hvor lang tid tager det? Er der foretaget egentest? Sikre at forudsætninger for opdatering er tilstede Sikre, at tilstrækkelig bemanding og beredskab er til stede under og efter ændring Sikre en risikovurdering World V 0_ unde: af

12 Gode Automations Projekt Processer GAPP Fortrolighed Den information som erhverves under samarbejdet med firmaet, må under ingen omstændigheder offentliggøres eller videregives til tredjepart, medmindre andet er udtrykkeligt aftalt. Der skal udvises størst mulig fortrolighed samt ydes ubetinget tavshedspligt med hensyn til firmaets forhold hvortil der måtte opnås kendskab til. pbevaring af data Backup data og kørende programmer skal altid lageres på udstyr, hvor firmaets tager daglig backup. Det er leverandørens ansvar at tilsikre dette i samarbejde med den IT ansvarlige på fabrikken. World V 0_ unde: 2 af

13 Gode Automations Projekt Processer GAPP 8. Servere 8.. Login og password Den enkelte fabrik bestemmer login og password til alle servere. Der bør findes en standard for server login og password - dette er dog ikke inkluderet i dette dokument) Eksternt udstyr på servere USB dongles, indstikskort og andet ekstern udstyr til styring af licenser, kommunikation, I/ m.v. skal undgås da dette giver problemer i forbindelse med virtualisering af servere. Såfremt indstikskort er nødvendigt skal disse være fremtidssikret de næste 0 år. Dvs. at det skal være muligt at købe servere og indstikskort i denne periode. Leverandøren skal garantere dette. Indstikskort må ikke have en begrænsning i sende/modtage rækkevidde således at dette forhindre fabrikken i at placere server i Serverrum Share drev Såfremt der anvendes share drev, ftp eller tilsvarende skal disse password beskyttes. Der må derfor ikke anvendes anonymous login. World V 0_ unde: 3 af

14 Gode Automations Projekt Processer GAPP 9. Antivirus og Windows update. 9.. Antivirus Firmaet anvender i dag X (eg. McAfee, Norton, Antivir,etc) som antivirus leverandør. Firmaet installerer antivirus på alle terminaler. For eksempel med McAfee som leverandør skal EP agenten være installeret alle steder for at sikre at terminaler og servere er opdateret. Såfremt filer skal eksluderes fra virus scan skal dette meddeles Firmaets installation af antivirus software Windows update Det forventes at alle systemer opdateres med Windows opdateringer frem til afleveringsdatoen og at leverandøren sikre at egne systemer fungerer. Terminaler i Firmaet opdateres med nyeste Windows opdateringer min. X gange om året. Såfremt leverandøren er bekendt med opdateringer som giver problemer frem til afleveringsforretning skal dette meldes til Firmaet omgående. World V 0_ unde: 4 af

15 Gode Automations Projekt Processer GAPP 0. Unit / enkelt stående systemer / stand alone Units eller enkelt stående systemer skal betragtes som en enhed hvor der er installeret en Windows version på en PC eller industri terminal. PC/Terminalen kan både være med og uden netværk. Der er opstillet nogle regler får håndtering af unit/ekelt stående systemer/stand alone udstyr. Generelle regler: Firmaet skal kende alle logins og password på PC / terminal samt applikation. PC/Terminaler med netværk: Alt kommunikation med firmaets IT udstyr skal foregå via TCP/IP, hvor firmaets socket kommunikation, alm. database kommunikation eller Microsoft Message Queuing (Windows MSMQ) kan anvendes. Dongels til seriel, parallel eller USB porte er ikke tilladt. PC/Terminal med netværk uden firma standard programmer: Placeres på lukket VLAN, hvor andre systemer uden Firmaet standard programmer også forefindes. PC/Terminal vil ikke være på AD og skal derfor logge ind lokalt. Alle kommunikationsporte som skal kommunikere med PC/terminal skal åbnes enkeltvis i firewall alt andet er spærret. Vigtigt at leverandøren kender disse porte. Eneste remote adgang til systemet er via firmaets standard remote system. PC/Terminal uden netværk: Windows 7 er fortrukne Windows version, men der kan gives disposition til andre styresystemer, så længe firmaet får udleveret en procedure for backup/restore, så Firmaet selv kan udføre dette. World V 0_ unde: 5 af

16 Gode Automations Projekt Processer GAPP. SQL sikkerhed Generelt ønsker Firmaet at begrænse adgangen mest muligt til SQL databaserne, dette er for at højne sikkerheden og dermed begrænse chancen for at får nedbrud i produktion på den bekostning... Retningslinjer for adgang og brug af server... Remote acess Adgang til servere sker via Remote Desktop. Brugernavn og password udleveres af Firmaet...2. SQL Server Management Der er installeret SQL Server Management software (eg. SSMSE) på serverne. Det er et krav at Management software nedlukkes efter brug...3. Diverse leverandør filer Det er ikke tilladt at placere diverse filer f.eks. scripts, dokumenter eller andre filer på drev medmindre det er aftalt med Firmaet. Filer der er placeret uden aftale vil blive slettet. brug i stedet det udleverede drev (X:\XXX\XX ) til disse filer. Husk at holde orden på serveren, slet filer der ikke længere skal bruges!!.2. SQL server service SQL Server Servicen bliver afviklet af en active directory user som er lokal admin og sysadmin..3. SQL agent service SQL Agent Service bliver afviklet af en active directory user som er lokal admin og sysadmin..4. SA konto SA kontoen findes på SQL serveren, men den tilhører 00% Firmaet, og må derfor ikke anvendes af leverandøren.5. Builtin administrator Lokal administratoren på operativsystemet har ikke adgang til databaserne..6. Leverandør administrator konto Der oprettes en SQL bruger ved levering af systemet til leverandøren, denne brugerkonto er oprettet som sysadmin, men så snart indkøring af systemet begynder, bliver rettigheden ændret til databaseowner hvis ikke andet af aftalt. Denne databaseowner konto må kun benyttes til leverandørens support på databasen og skal derfor kunne deaktiveres uden stop af applikationer. World V 0_ unde: 6 af

17 Gode Automations Projekt Processer GAPP.7. Applikations kontoer Der skal oprettes SQL brugerkontoer for de applikationer leverandøren leverer, det er vigtigt at begrænse rettighederne mest muligt for disse brugere. Det er således ikke tilladt at lade disse brugere have sysadmin eller databaseowner rettigheder. Firmaet opretter kontoer og dokumentere disse på opfordring fra leverandøren. World V 0_ unde: 7 af

18 Gode Automations Projekt Processer GAPP 2. Risiko analyse og SLA niveau Alle servere skal igennem en risiko analyse inden de dimensioneres så man sikre at forretningen og IT har designet den rigtige løsning. Ud fra en fælles vurdering af konsekvens og sandsynlighed gives serveren et SLA niveau som fortæller hvilket server setup der skal anvendes. SLA beregningsgrundlag : Først gennemgås konsekvens ved et nedbrud : onsekvens -2 : LAV : Lille konsekvens ved nedbrud og ingen betydning for produktionen 3-5 : MIDDEL : ortere nedetid og medium omkostninger (f.eks. kr. xxx) ved nedbrud 6-8 : HØJ : Længere nedetid og større omkostninger (f.eks. kr. xxx) ved nedbrud 9-0 : RITIS : Stor konsekvens og store omkostninger (f.eks. kr. xxx) ved nedbrud Via nedenstående SLA tabel kan man se hvilken sandsynlighed et SLA niveau giver. SLA niveau AAA AA A BBB BB B Beskrivelse VMWare løsning med dobbelt SAN løsning og redundante servere VMWare løsning med manuel failover Server med spejlet diske og automatisk database fejlover Server med spejlet diske ontor PC Industri PC Forventet nede tid / max nedetid Udskiftningsrate Sandsynlighed 0 timer / 3 timer 4 år 0. time / 3 timer time / 4 timer 2-3 timer / 8 timer 8 timer / 24 timer 8 timer / 48 timer 4 år 4 år 3 4 år år 7 Min. 6 år 9 Risikoen = Sandsynlighed x onsekvens Sandsynlighed onsekvens , 0,2 0,5 0, Tommelfinger reglen er at risikoen værdien ikke må være over 30. Skal dog vurderes fra sag til sag. World V 0_ unde: 8 af

19 Gode Automations Projekt Processer GAPP 3. Backup / Restore Der er 3 elementer som der skal tages backup af: Virtuelle server Fysiske server SQL X anvendes som backup software. Systemet er opbygget så der står en lokal backup server på alle lokationer. Den lokale backup server holder backup 4 dage tilbage. På eksternt site skal der ligge både virtual, fysisk samt SQL backup, og der skal backup version tilbage og månedsbackup. Der tages dagligt backup at både virtuelle og fysiske servere. Dog kan der i særlige tilfælde aftales længere opbevaringstid for backupsæt. Virtuelle Server For virtuelle servere tages backup af hele Virtual Machine Disk (VMD) samt opsætnings filer. Der kan restores en hel server eller lave en File Level Restore (FLR). I large site og High Performance løsninger tages backuppen gennem for eksempel iscsi produkter (Internet Small Computer Interface), direkte via SAN (Storage Area Network). I Small- og medium sites tages backup gennem LAN (Local Area Network). Fysiske server Her tages der backup via agent. Her kan der laves File Level Restore (FLR). Der skal tages separat System State backup. Backup en skal være incremental. SQL SQL backup styres fra SQL Maintenance-planer til et share på den lokale backup server. SQL backup s gennem efter aftale med SQL-gruppen. Mulige opsætningsmuligheder i forhold til SLA niveau: SLA niveau SQL backup krav AA + A SQL backup hvert 5 min og fuld backup gang i døgnet af hele serveren. BBB SQL backup hver 6 time og fuld backup gang i døgnet af hele serveren. BB+B SQL backup hver 2 time og fuld backup gang i døgnet af hele serveren. Restore Restore test udføres 2 gange om året på udvalgte systemer. World V 0_ unde: 9 af

20 Gode Automations Projekt Processer GAPP 4. Ændrings log Dato Navn Version Beskrivelse a Første oplæg til dokument: retningslinier beskrevet. Ikke offentliggjort fortrolig b Ændringer fra arbejdsgruppemøde indarbejdet samt firma specifik information fjernet. Carsten Nøkleby. ffentlig version. World V 0_ unde: af