®01
IEC 62443 uyumlu şebeke kontrol sistemleri ve tesisler
Her bölge için risk değerlendirmesi ve koruma seviyesiyle bölge modeli
Daha fazlasıSektörler / Enerji Sektörü
Güvenli şebekeler. Güçlü enerji arzı.
Şebeke kontrol sistemlerini koruyun ve akıllı sayaç ağ geçitlerini güvenle entegre edin.
Danışmanlık. Entegrasyon. İşletim.
Sektörünüzdeki insanlar için.
- Dağıtım ve iletim şebekesi işletmecileri
- Belediye enerji şirketleri ve ölçüm noktası işletmecileri
- Üreticiler ve doğrudan pazarlamacılar
- Gaz şebekesi ve bölgesel ısıtma işletmecileri
Odak alanlarınız
Görevleri anlıyoruz. Çözümler tasarlıyoruz.
Şebeke kontrol sistemlerini, üretim tesislerini ve akıllı ölçüm sistemlerini IEC 62443'e uygun güvenlik mimarisi, donanım güvenlik modülleri, akıllı sayaç ağ geçitleri için PKI ve kontrol odası ile kurumsal BT arasındaki denetimli arayüzlerle koruruz.
02
KRITIS kanıtları, ISO 27019 uyumlu BGYS ve saldırı tespiti
Risk analizi ve önlem planıyla BGYS dokümantasyonu
Daha fazlası03
Veri platformlarıyla yük ve üretim tahmini
Kontrol sistemine, ölçüm sistemlerine ve hava durumu verilerine bağlı veri platformu
Daha fazlasıStratejiden sisteme
Altı hizmet modülü
Altı eylem alanı. Daha yakından bakmak istediğiniz alanı seçin.
01IEC 62443 uyumlu şebeke kontrol sistemleri ve tesislerIEC 62443 · IEC 62351 · IEC 60870-5-104
Yaklaşımımız
Kontrol sistemleri ve uzaktan kumanda teknolojisi izole ağlar için tasarlandı, ancak bugün ofis BT'si, hizmet sağlayıcılar ve dağıtık tesislerle bağlantılıdır. Tesisleri ve bağlantıları tespit ederiz, kontrol merkezini, trafo merkezlerini ve kurumsal BT'yi IEC 62443-3-2'ye göre bölgelere ayırırız ve her bölge için bir koruma seviyesi ile izin verilen kanalları belirleriz. Sertleştirme, ayrıştırma ve IEC 62351'e göre protokollerin güvence altına alınmasını, tesisin onaylı yapılandırmasına dokunmadan bakım pencerelerinde gerçekleştiririz. Saldırı tespiti, kontrol sistemlerinde hatalı kullanım ile saldırıyı ayırt edebilmek için IEC 60870-5-104 ve IEC 61850'yi de okur.
Hizmet kapsamının detayları
- IEC 62443-3-2'ye göre kontrol sistemlerinin varlık envanteri ve bölge modeli, her bölge için koruma seviyesi ve risk değerlendirmesiyle
- Süreç ağı, kontrol merkezi ve kurumsal BT arasında kanallar, DMZ ve endüstriyel güvenlik duvarıyla ayrıştırma
- IEC 62443-3-3 ve BSI ICS Güvenlik Derlemesi'ne göre kontrol sisteminin, HMI'nin, uzaktan kumanda cihazlarının ve mühendislik iş istasyonlarının sertleştirilmesi
- IEC 62351'e göre IEC 60870-5-104 ve IEC 61850'nin TLS, sertifikalar ve rol tabanlı erişimle güvence altına alınması
- Pasif ağ izlemesiyle kontrol sistemi protokolleri için saldırı tespiti, SIEM ve bildirim sürecine bağlı
Bir dağıtım şebekesi işletmecisi, kontrol merkezini, trafo merkezlerini ve ofis BT'sini IEC 62443'e göre bölgelere ayırır. Uzaktan kumanda bağlantıları güvenli kanallar üzerinden çalışır ve saldırı tespiti kontrol sistemi protokollerini de okur.
Elde edecekleriniz
- Her bölge için risk değerlendirmesi ve koruma seviyesiyle bölge modeli
- Denetim kanıtıyla ayrıştırılmış ve sertleştirilmiş kontrol sistemleri
- Bakım penceresinde yamalar ve değişiklikler için işletim kılavuzu
02BSI TR-03109 uyumlu akıllı sayaç ağ geçidi PKI'sı ve HSMBSI TR-03109 · Akıllı sayaç PKI'sı · Utimaco u.trust GP HSM Se-Series
Yaklaşımımız
Akıllı ölçüm sistemleri yalnızca yapısını BSI TR-03109 teknik yönergesinin belirlediği akıllı sayaç PKI'sının sertifikalarıyla TLS üzerinden iletişim kurar. Ağ geçidi yönetimi ve piyasa katılımcıları için alt CA'lar planlarız, üreticiden bağımsız olarak Utimaco u.trust GP HSM, Thales Luna 7 ve Entrust nShield 5c arasından seçim yaparız ve roller, yeter sayı ve tutanakla anahtar törenleri yürütürüz. EnWG § 14a uyarınca ağ geçitleri, kontrol kutuları ve CLS kanalı için sertifikalar yenileme, iptal ve izlemeyi içeren bir yaşam döngüsü alır. Ağ geçidi yöneticisinin BGYS sertifikasyonu için gereken kanıtlar aynı proje kapsamında ortaya çıkar.
Hizmet kapsamının detayları
- BSI TR-03109-4'e göre alt CA'lı PKI mimarisi, sertifika profilleri ve akıllı sayaç PKI'sının kök CA'sı altında kayıt
- Alt CA anahtarları için HSM seçimi ve entegrasyonu, roller, yeter sayılar, tanıklar ve tutanak şablonlarıyla anahtar törenleri
- Ağ geçidi yönetiminin ve dış piyasa katılımcılarının PKI sertifikalarıyla TLS üzerinden bağlanması
- Ağ geçitleri, kontrol kutuları ve EnWG § 14a uyarınca CLS kanalı için yenileme, iptal ve izlemeyi içeren sertifika yaşam döngüsü
- ISO 27001 ve BSI TR-03109-6'ya göre ağ geçidi yöneticisinin BGYS sertifikasyonu için kanıtlar
Bir ölçüm noktası işletmecisi, akıllı sayaç ağ geçitleri için alt CA'sını hizmet sağlayıcıdan kendi bünyesine alır. Anahtarlar HSM içinde kayıt altına alınan bir törenle oluşturulur ve ağ geçidi yönetimi ile piyasa katılımcıları kendi PKI'sından sertifika alır.
Elde edecekleriniz
- BSI TR-03109-4'e göre sertifika profilleriyle PKI konsepti
- Kayıt altına alınmış anahtar törenleriyle HSM güvenceli alt CA
- Sertifika yaşam döngüsü ve iptal için işletim kılavuzu
03KRITIS kanıtları, ISO 27019 uyumlu BGYS ve saldırı tespitiISO 27019 · EnWG § 11 uyarınca BT Güvenlik Kataloğu · Microsoft Sentinel
Yaklaşımımız
Şebeke işletmecilerinin EnWG § 11 uyarınca BT Güvenlik Kataloğuna göre sertifikalı bir BGYS'ye ihtiyacı vardır, KRITIS işletmecilerinin ise ayrıca saldırı tespit sistemlerine ve BSI'ye karşı düzenli kanıtlara ihtiyacı vardır. NIS2, kayıt, risk yönetimi ve bildirim yükümlülüklerini daha fazla enerji şirketine genişletir. BGYS'yi ISO 27001'e göre, süreç kontrolü için ISO 27019 eklemeleriyle kurarız veya kapsamını şebeke kontrolüne genişletiriz. Saldırı tespitini BSI kılavuzu doğrultusunda, BT ve kontrol sistemleri için kayıt, tespit ve müdahale ile kurarız. BSI ve Federal Şebeke Ajansına bildirim süreçleri, denetim gelmeden önce şablonlar ve sürelerle uygulamalı olarak çalışılır.
Hizmet kapsamının detayları
- EnWG § 11 uyarınca BT Güvenlik Kataloğuna, ISO 27001'e ve ISO 27019'a karşı, kapsamına şebeke kontrolünün dahil olduğu boşluk analizi
- Şebeke yapı planı, risk analizi, önlem planı ve sertifikasyon hazırlığıyla BGYS kurulumu veya genişletilmesi
- BSI kılavuzu doğrultusunda, BT ve kontrol sistemleri için kayıt, tespit ve müdahale içeren saldırı tespit sistemi
- BSI Yasası ve NIS2'deki aşamalar ve sürelerle BSI ile Federal Şebeke Ajansı için bildirim süreçleri, tutanaklı tatbikatlarla
- Saldırı tespitinin uygulama düzeyini gösteren denetim belgeleri ve KRITIS denetimine eşlik
Bir belediye enerji şirketi, BT ile kontrol sistemlerini ISO 27019 uyumlu tek bir BGYS'de birleştirir ve saldırı tespitini uygulama düzeyiyle bir sonraki KRITIS denetim tarihinden önce kanıtlar.
Elde edecekleriniz
- Risk analizi ve önlem planıyla BGYS dokümantasyonu
- Uygulama düzeyi kanıtıyla işletimde saldırı tespiti
- Şablonlar ve tatbikat tutanağıyla bildirim süreci
04Uzaktan bakım ve dağıtık tesislerin bağlanmasıIEC 60870-5-104 · IEC 61850 · OPC UA
Yaklaşımımız
Fotovoltaik, rüzgar santralleri, depolama tesisleri ve kojenerasyon santralleri, genellikle kamuya açık ağlar ve birçok üreticinin bileşenleri üzerinden ölçüm değerleri sağlar ve kontrol komutlarını kabul eder. Bu tesisleri geçişlerde veri diyotları ve protokol ağ geçitleriyle IEC 60870-5-104, IEC 61850, Modbus TCP ve OPC UA üzerinden kontrol sistemine, doğrudan pazarlamacılara ve redispatch 2.0'a bağlarız. Üreticiler ve hizmet sağlayıcıların uzaktan bakımı, atlama sunucusu, çok faktörlü kimlik doğrulama, süreli onay ve oturum kaydına sahip merkezi bir erişim üzerinden yürütülür. Trafo merkezlerindeki ve santral sahalarındaki uç cihazlar sertleştirilmiş işletim sistemleri, sertifikalar ve imzalı aygıt yazılımıyla uzaktan güncelleme alır.
Hizmet kapsamının detayları
- IEC 60870-5-104, IEC 61850, Modbus TCP ve OPC UA ile üretim tesisleri, depolama ve kontrol kutuları için arayüz kataloğu
- Atlama sunucusu, çok faktörlü giriş, oturum kaydı ve hizmet sağlayıcı başına süreli onaylarla uzaktan bakım erişimi
- OPSWAT MetaDefender NetWall ile süreç ağından kontrol merkezine ve kurumsal BT'ye geçişler için veri diyotları ve protokol ağ geçitleri
- Sertleştirilmiş işletim sistemi, sertifikalar ve imzalı uzaktan güncellemeyle trafo merkezlerindeki ve santral sahalarındaki uç cihazlar
- Her arayüz için test ve kayıtla kontrol sistemine, doğrudan pazarlamacılara ve redispatch 2.0'a bağlanma
Bir rüzgar santrali işletmecisi, üreticilerin modem üzerinden erişimini atlama sunuculu merkezi bir uzaktan bakım erişimiyle değiştirir. Her oturum bir hizmet sağlayıcıya atanır, süreyle sınırlıdır ve kayıt altına alınır.
Elde edecekleriniz
- Her tesis için veri sözleşmeleriyle arayüz kataloğu
- Roller, onaylar ve oturum kaydıyla uzaktan bakım konsepti
- Veri diyotları ve protokol ağ geçitleriyle test edilmiş geçişler
05Veri platformlarıyla yük ve üretim tahminiApache Kafka · Apache Spark · TimescaleDB
Yaklaşımımız
Fotovoltaik ve rüzgardan gelen besleme, ısı pompaları ve şarj altyapısı yükü ve üretimi daha zor planlanır hale getirir ve sapmalar dengeleme enerjisine ve redispatch'e mal olur. Kontrol sistemi geçmişini, akıllı sayaç ağ geçitlerinin ölçüm değerlerini, Alman Meteoroloji Servisi'nin hava durumu verilerini ve piyasa verilerini bir araya getiren veri platformları kurarız ve bunlar üzerinde her şebeke bölgesi ve trafo merkezi için belirsizlik aralıklarına sahip tahmin modelleri eğitiriz. Modeller kontrol sistemlerinin dışında çalışır, tahminleri şebeke işletimine, dengeleme grubu yönetimine ve ticarete bir öneri olarak ulaşır. Sürümleme, tahmin kalitesinin izlenmesi, yeniden eğitim ve EU AI Act'e göre sınıflandırma işletimin bir parçasıdır.
Hizmet kapsamının detayları
- Kontrol sistemi geçmişine, ağ geçidi yönetimine, Alman Meteoroloji Servisi hava durumu verilerine ve piyasa verilerine bağlı veri platformu
- Dengeleme grubu, redispatch ve ticaret için belirsizlik aralıklı yük, fotovoltaik ve rüzgar tahmin modelleri
- Şebeke işletimi için ölçüm değerlerinden ve tahminlerden, her şebeke bölgesi için şebeke durum tahmini ve darboğaz tahmini
- Sürümleme, tahmin kalitesinin izlenmesi, yeniden eğitim ve EU AI Act'e göre sınıflandırmayla model işletimi
- GDPR ve Ölçüm Noktası İşletme Yasasına göre takma adlandırmayla akıllı sayaç ağ geçitlerinden gelen ölçüm değerleri için veri koruma konsepti
Bir dağıtım şebekesi işletmecisi, hava durumu ve ölçüm verilerinden her yerel trafo istasyonu için fotovoltaikten gelen beslemeyi tahmin eder. Şebeke işletimi darboğazları arıza anında değil, bir gün öncesinden görür.
Elde edecekleriniz
- Kontrol sistemine, ölçüm sistemlerine ve hava durumu verilerine bağlı veri platformu
- Kalite raporu ve model kartıyla sürümlenmiş tahmin modelleri
- Model işletimi ve yeniden eğitim için işletim kılavuzu
06Uzun ömürlü tesisler için kuantum sonrası hazırlıkML-KEM (FIPS 203) · ML-DSA (FIPS 204) · LMS ve XMSS
Yaklaşımımız
Güçlü kuantum bilgisayarlar, uzaktan kumanda bağlantılarının, aygıt yazılımı imzalarının ve akıllı sayaç PKI'sının bugün dayandığı RSA'yı ve eliptik eğrileri kıracak, uzaktan kumanda cihazları, ağ geçitleri ve trafo merkezi teknolojisi ise ofis BT'sinden çok daha uzun süre sahada kalır. Kriptografik yöntemlerin, anahtarların ve sertifikaların kontrol sistemleri, PKI ve tesisler genelinde envanterini çıkarır, bunları cihazların ömrüne göre değerlendiririz ve ML-KEM ile ML-DSA'ya geçişi aşamalar halinde planlarız. Aygıt yazılımı imzaları önce LMS ve XMSS gibi hash tabanlı yöntemlere geçer, HSM aygıt yazılımı ve PKI ise BSI TR-02102'ye uygun olarak hibrit sertifikalarla takip eder. Yol haritası her adımı şebekedeki yaygınlaştırma ve yenileme döngülerine bağlar.
Hizmet kapsamının detayları
- Kontrol sistemleri, uzaktan kumanda bağlantıları, akıllı sayaç PKI'sı, aygıt yazılımı imzaları ve TLS uç noktaları genelinde, ömre göre değerlendirmeli kripto envanteri
- HSM ve PKI yazılımının ML-KEM, ML-DSA ve aygıt yazılımı için LMS ve XMSS'e göre hash tabanlı imzalar açısından incelenmesi
- Sertifika yönetiminde ve protokol ağ geçitlerinde, saha cihazlarını değiştirmeden yöntemlerin değiştirilebilmesi için kripto çevikliği
- BSI TR-02102 ile uyumlu, kök CA ve alt CA için hibrit sertifikalar ve geçiş planı
- Ağ geçitleri, kontrol kutuları ve uzaktan kumanda cihazlarının yaygınlaştırma döngülerine bağlı, aşamalı yol haritası
Bir gaz şebekesi işletmecisi, uzaktan kumanda teknolojisindeki ve PKI'daki kriptografinin envanterini çıkarır. Aygıt yazılımı imzaları önce hash tabanlı yöntemlere geçer, alt CA ise bir sonraki cihaz değişiminde hibrit sertifikalarla takip eder.
Elde edecekleriniz
- Tesislerin ömrüne göre risk değerlendirmeli kripto envanteri
- PKI, HSM ve saha cihazları için geçiş yol haritası
- Sertifika yönetimi ve ağ geçitleri için kripto çevikliği konsepti
Tipik proje durumları
Değişimin somutlaştığı yer.
Bir proje çoğunlukla somut bir zorlukla başlar. Bu örnekler, tipik bir mevcut durumu olası bir yaklaşım ve hedeflenen sonuçla birleştirir.
Örnek başlangıç durumları, müşteri referansı değildir.
01 / Enerji Sektörü
Bir dağıtım şebekesi işletmecisinde bölge modeli
Kontrol merkezi, trafo merkezleri ve ofis BT'si tek bir ağda, devreye alma döneminden kalma güvenlik duvarı kuralları, KRITIS denetim tarihi duyuruldu.
Çözüm
IEC 62443-3-2'ye göre varlık envanteri, bölgeler ve kanallar, bakım pencerelerinde sertleştirme, SIEM'de kontrol sistemi protokolleriyle saldırı tespiti.
İşletimde ayrılmış bölgeler, kanıtlanmış uygulama düzeyiyle saldırı tespiti, tarihten önce hazır denetim belgeleri.
02 / Enerji Sektörü
Bir ölçüm noktası işletmecisinde alt CA
Akıllı sayaç yaygınlaştırması sürüyor, sertifikalar şeffaflığı olmayan bir hizmet sağlayıcıdan geliyor, kendi alt CA'sının anahtarları şirket bünyesine alınmak isteniyor.
Çözüm
BSI TR-03109-4'e göre PKI konsepti, HSM seçimi, kayıt altına alınmış anahtar töreni, ağ geçidi yönetiminin ve piyasa katılımcılarının bağlanması.
HSM güvenceli anahtarlarla kendi alt CA'sı, işletim kılavuzunda sertifika yaşam döngüsü, BGYS sertifikasyonu için kanıtlar.
03 / Enerji Sektörü
Bir belediye enerji şirketinde besleme tahmini
Fotovoltaik beslemesi tablolardan yapılan tahminleri aşıyor, dengeleme enerjisi ve redispatch masrafı artıyor, ölçüm değerleri kontrol sisteminde kullanılmadan duruyor.
Çözüm
Kontrol sistemi geçmişi, ölçüm değerleri ve hava durumu verileriyle veri platformu, her yerel trafo istasyonu için belirsizlik aralıklı tahmin modelleri, kalite raporlu model işletimi.
Şebeke işletimi ve dengeleme grubu için belirsizlik aralıklı tahminler, darboğazlar bir gün önceden görülebilir, sürüm bilgisi ve kanıtlı modeller.
İş birliği
Net bir yol. Ekibinizle birlikte.
İlk genel bakıştan sürekli işletime kadar: Öncelikleri, sorumlulukları ve her adımın sonuçlarını birlikte belirleriz.
Nasıl çalışıyoruz
- 01
Değerlendirme
Tesisler, ağlar, arayüzler ve KRITIS, NIS2 ile BT Güvenlik Kataloğundan gelen yükümlülükler
Varlık envanteri, kripto envanteri, boşluk analizi, tedarik üzerindeki etkiye göre önceliklendirilmiş önlem listesi - 02
Konsept
Bölge modeli, PKI mimarisi, saldırı tespiti, işletim modeli
Bölge modeli, PKI ve HSM konsepti, tespit konsepti, işletim modeli, denetim konsepti - 03
Uygulama
Bakım pencerelerinde ayrıştırma, PKI, uzaktan erişim ve veri platformu
Ayrılmış bölgeler, kayıt altına alınmış törenli alt CA, test edilmiş arayüzler, dokümantasyon, her aşama için onay - 04
İşletim
İzleme, sertifikalar, denetimler, bilgi aktarımı
Günlük işletimde saldırı tespiti, sertifika yenileme, denetime eşlik, aşamalı devir
Ön görüşmeden önce
Henüz tüm cevaplara sahip olmanız gerekmiyor.
Somut bir zorluk yeterlidir. Bu dört soru, doğru yönü birlikte bulmamıza yardımcı olur.
Ön görüşme planlayın- 01
Ne değişmeli?
Mevcut zorluk ve istediğiniz sonuç.
- 02
Hangi sistemler etkileniyor?
Lokasyonlara, uygulamalara ve arayüzlere genel bir bakış.
- 03
Çerçeveyi ne belirliyor?
Proje tarihleri, bakım pencereleri ve bilinen bağımlılıklar.
- 04
Kim masada olmalı?
BT, güvenlik ve işletimden uygun irtibat kişileri.
Arka plan ve karar desteği
Enerji sektörü için BT güvenliği nedir?
IEC 62443 uyumlu kontrol sistemlerinden, uzun ömürlü tesisler için kuantum sonrası kriptografiye kadar altı eylem alanı. OTOKO® bunları planlar, entegre eder ve işletir. Her önlem BSI, Federal Şebeke Ajansı (Bundesnetzagentur) ve denetçilere karşı kanıtlanabilir. Çözümün tamamı Alman veri merkezlerinde çalışır.
Enerji sektörü için BT güvenliği, kontrol sistemlerini, üretim tesislerini ve ölçüm sistemlerini arızalara ve saldırılara karşı korur ve her önlemi BSI ile Federal Şebeke Ajansına karşı kanıtlar. OTOKO® bunun için altı eylem alanını kapsar: IEC 62443 uyumlu şebeke kontrol sistemleri ve tesisler, BSI TR-03109 uyumlu akıllı sayaç ağ geçidi PKI'sı ve HSM, ISO 27019 uyumlu BGYS ile KRITIS kanıtları, uzaktan bakım ve dağıtık tesislerin bağlanması, veri platformlarıyla yük ve üretim tahmini ve uzun ömürlü tesisler için kuantum sonrası hazırlık. Anahtarlar ve sertifikalar bu sırada donanım güvenlik modüllerinde, kısaca HSM'lerde tutulur.
Salt danışmanlık projesinden farkı işletim ve kanıtlamadadır. Her bölge, her uzaktan kumanda bağlantısı ve her sertifika, KRITIS denetiminin ve Federal Şebeke Ajansının BT Güvenlik Kataloğunun istediği dokümantasyonu, sürüm bilgisini ve belgeleri alır. Kriptografi ve donanım güvenlik modülleri temel yetkinliğimizdir. Bu yüzden akıllı sayaç PKI'sının ve uzaktan kumanda teknolojisinin anahtarları yazılımda değil, sertifikalı cihazlarda tutulur.
Enerji sektörü için neden OTOKO®
- Kriptografi ve HSM
Kriptografi ve donanım güvenlik modülleri temel yetkinliğimizdir. Akıllı sayaç PKI'sının alt CA'sını, uzaktan kumanda teknolojisi için sertifikaları ve aygıt yazılımı imzalarını, BSI TR-03109'un istediği gibi sertifikalı cihazlarda planlar ve işletiriz.
- Alman veri merkezleri
Çözümün tamamı Alman veri merkezlerinde çalışır. Bu, PKI, saldırı tespiti ve tahminler için veri platformu için de geçerlidir.
- KRITIS ve düzenlemeye tabi sektörler
Kritik altyapı işletmecileri ve düzenlemeye tabi sektörlerle çalışıyoruz. Enerji tedarikinde BSI'nin, Federal Şebeke Ajansının, denetçilerin ve bilgi güvenliğinin beklentilerini biliriz.
- İşletime kadar tek bir ekip
Bir ekip danışmanlıktan işletime kadar size eşlik eder. OT güvenlik mimarları, kriptografi uzmanları ve veri mühendisleri, üçüncü taraflara devir olmadan sizinle kalır.
Çerçeve koşulları ve detaylar
Enerji sektöründe bir projeden önceki tipik başlangıç durumu
Çoğu enerji şirketi eksik teknolojiden değil, zamanla büyümüş kontrol sistemlerinden, kanıt boşluklarından ve KRITIS ile NIS2'den kaynaklanan sürelerden dolayı başarısız olur.
01
Bölgesiz kontrol sistemleri
Kontrol sistemi, uzaktan kumanda teknolojisi ve ofis BT'si aynı ağı paylaşır, mühendislik iş istasyonları her kontrolöre erişebilir ve güvenlik duvarı kuralları devreye alma döneminden kalmadır.
02
Yönetimsiz sertifikalar
Ağ geçitleri, uzaktan kumanda cihazları ve kontrol kutuları için sertifikalar tablolarda, alt CA'nın anahtarları yazılımda tutulur ve bir sona erme ancak arıza sırasında fark edilir.
03
Kontrol sistemsiz saldırı tespiti
SIEM, ofis BT'sinin olaylarını toplar ama kontrol sistemi protokolleri olan IEC 60870-5-104 ve IEC 61850'yi toplamaz ve BSI'ye bildirim tek bir kişiye bağlıdır.
04
Kayıtsız uzaktan bakım
Üreticiler ve hizmet sağlayıcılar tesislere kendi modemleri ve VPN erişimleriyle, onay, zaman penceresi veya oturum kaydı olmadan erişir.
Üç işletim modeli
| Şirket içi | Alman bulutu | Hyperscaler | |
|---|---|---|---|
| Veri tutma | Sizin kontrol merkeziniz, veri merkeziniz, HSM'leriniz ve alt CA'nız | Almanya'daki veri merkezleri, ISO 27001'e göre işletilir | Azure, AWS veya Google Cloud, Almanya bölgesi seçilebilir |
| İşletim | Sizin ekibiniz veya yönetilen hizmet olarak OTOKO® | OTOKO®, KRITIS denetimi için denetim haklarıyla ve kanıtlarla | Ortak, sağlayıcı tarafından platform hizmetleri |
| Araçlar | Şirket içinde kontrol sistemi, OT izleme, HSM ve PKI, Kafka, Kubernetes | Barındırılan PKI, Hizmet Olarak HSM, tahminler için veri platformu | Bulut HSM hizmetleri, yönetilen veri ve ML hizmetleri |
| Uygun olduğu durumlar | Şebeke işletimi, uzaktan kumanda teknolojisi, akıllı sayaç PKI'sının alt CA'sı | Egemenlik ve denetim kanıtlarına ihtiyaç duyan KRITIS işletmecileri | Tahminler, analitik, piyasa iletişimi, yük tepe noktaları |
| Uyum | Tam kontrol, ISO 27019 uyumlu BGYS'nizden gelen kanıtlar | GDPR uyumlu veri işleme sözleşmesi, KRITIS sözleşmesi, Almanya konumu | Veri işleme sözleşmesi, standart sözleşme maddeleri, buluttan kontrol komutu yok |
İş birliği
Proje
IEC 62443 uyumlu bir bölge modeli, bir alt CA kurulumu veya KRITIS denetimine hazırlık gibi net tanımlı bir proje, belirlenmiş sonuç, kilometre taşları ve kabulle.
- Değerlendirme, konsept, uygulama, devir
- Sabit fiyat veya kilometre taşlarına göre efor
- Denetim hazırlığı, PKI kurulumu ve ayrıştırma projeleri için uygundur
Ekip takviyesi
OT güvenlik mimarları, kriptografi uzmanları veya veri mühendisleri, sizin ekiplerinizde, araçlarınızda ve onay süreçlerinizde, gerektiğinde doğrudan kontrol merkezinde çalışır.
- Tesislerinize, süreçlerinize ve bakım pencerelerinize uyum sağlama
- Proje seyrine göre ölçeklenebilir
- Kendi ekibi olan ve kapasite boşluğu yaşayan enerji şirketleri için uygundur
Yönetilen hizmet
OTOKO®, saldırı tespitini, PKI'yı ve HSM'leri veya veri platformunu kararlaştırılmış performans değerleriyle, düzenli raporlarla ve KRITIS denetçilerinin ve Federal Şebeke Ajansının istediği kanıtlarla işletir.
- İzleme, sertifika yenileme, güncellemeler ve destek
- Sözleşmede denetim hakları, performans göstergeleri ve bildirim yolları
- OT güvenliği veya PKI için kendi işletim ekibi olmayan enerji şirketleri için uygundur
Standartlar ve kanıtlar
Şebeke işletmecilerini, üreticileri ve ölçüm noktası işletmecilerini bağlayan beş düzenleme, gereksinimleriyle ve OTOKO®'nun bunlar için sağladıklarıyla.
| Gereklilik | Gereken | OTOKO® sunuyor |
|---|---|---|
| BT Güvenlik Yasası 2.0 ve KRITIS | KRITIS Yönetmeliği eşik değerlerinin üzerindeki tesisler için güncel teknik önlemler, saldırı tespit sistemleri, BSI'ye karşı düzenli kanıt, önemli arızaların bildirilmesi | Tesislerin sınıflandırılması, BSI kılavuzu doğrultusunda BT ve kontrol sistemleri için saldırı tespiti, uygulama düzeyli denetim belgeleri, şablonlu bildirim süreci |
| NIS2 | Kayıt, tedarik zinciri, kriptografi ve erişim için risk yönetimi önlemleri, erken uyarı, bildirim ve son raporla aşamalı bildirim, üst yönetimin sorumluluğu | Önlemlere ilişkin boşluk analizi, kriptografi ve erişim konsepti, sürelerle ve tatbikatlarla bildirim süreci, üst yönetim için eğitim kanıtı |
| ISO 27019 ve BT Güvenlik Kataloğu | Süreç kontrolü için ISO 27019 eklemeleriyle ISO 27001 uyumlu BGYS, EnWG § 11 uyarınca kapsama dahil şebeke kontrolü, sertifikasyon ve BT güvenliği için irtibat kişisi | Şebeke yapı planı, risk analizi ve önlem planıyla BGYS kurulumu veya genişletilmesi, sertifikasyon hazırlığı ve denetime eşlik |
| IEC 62443 | Koruma seviyeli bölgeler ve kanallar, kontrol sistemleri için sistem gereksinimleri, bileşenlerin sertleştirilmesi, otomasyon sistemleri için yama ve değişiklik süreçleri | Risk değerlendirmeli bölge modeli, ayrıştırma ve sertleştirme, her bölge için denetim kanıtı, bakım penceresinde yamalar için işletim kılavuzu |
| BSI TR-03109 | Koruma profiline göre sertifikalı akıllı sayaç ağ geçitleri, alt CA'lı akıllı sayaç PKI'sı, PKI sertifikalarıyla TLS, ağ geçidi yöneticisine ve BGYS'sine ilişkin gereksinimler | HSM'li PKI konsepti ve alt CA, sertifika profilleri ve yaşam döngüsü, ağ geçidi yönetiminin ve piyasa katılımcılarının bağlanması, BGYS kanıtları |
Sıkça sorulan sorular
İyi sorular. Net cevaplar.
Sektörünüz, proje ve sonrasındaki işletim hakkında 15 cevap.
Sektör ve eylem alanları6 soru
OTOKO® enerji sektörü için hangi hizmetleri sunar?
Sunulan hizmetler, IEC 62443 uyumlu bölge modelini ve kontrol sistemlerinin sertleştirilmesini, BSI TR-03109 uyumlu akıllı sayaç ağ geçitleri için PKI'yı ve HSM'yi, ISO 27019 uyumlu BGYS ile KRITIS kanıtlarını ve saldırı tespitini, uzaktan bakımı ve dağıtık tesislerin bağlanmasını, yük ve üretim tahminlerini ve kuantum sonrası hazırlığı kapsar. Her eylem alanı tek tek veya eksiksiz bir paket olarak sipariş edilebilir, işletim Alman veri merkezlerinde gerçekleşir.
Belediye enerji şirketimiz KRITIS işletmecisi mi sayılır yoksa NIS2 kapsamına mı girer?
Bir tesisin kritik sayılıp sayılmadığına, her tesis kategorisi için KRITIS Yönetmeliğindeki eşik değerler karar verir, örneğin elektrik şebekeleri, üretim, gaz tedariki ve bölgesel ısıtma için. NIS2 ise bu eşiklerin altında olsa da, boyut ve sektöre göre enerji şirketlerini de kapsar. Tesislerinizi sınıflandırır, yükümlülükleri sürelerle birlikte türetiriz ve hangi kanıtların önce oluşturulması gerektiğini belirleriz.
Mevcut kontrol sistemlerine, tesisi değiştirmeden güvenlik eklenebilir mi?
Evet, bu olağan durumdur. Eski kontrol sistemleri ve uzaktan kumanda cihazları nadiren güncelleme alır, bu yüzden onları bölgeler, ön saflarda endüstriyel güvenlik duvarları, veri diyotları, kontrollü uzaktan erişim ve ağ trafiğinin pasif izlenmesiyle koruruz. Bu önlemler tesisin onaylı yapılandırmasına dokunmadan devreye girer ve bakım pencerelerinde uygulanır. Kritik altyapı işletmecileri ve düzenlemeye tabi sektörlerle çalışırız. Bu yaklaşım orada günlük uygulamadır.
BSI TR-03109, akıllı sayaç ağ geçidi PKI'sı işletmecisinden ne bekler?
Teknik yönerge, ağ geçitlerinin, ağ geçidi yönetiminin ve piyasa katılımcılarının yalnızca akıllı sayaç PKI'sının sertifikalarıyla TLS üzerinden iletişim kurmasını belirler. Bir alt CA işleten kişi, BSI'nin kök CA'sı altında kayıt, TR-03109-4'e göre sertifika profilleri, ISO 27001 uyumlu bir BGYS ve HSM içinde oluşturulup saklanan anahtarlara ihtiyaç duyar. PKI konsepti, HSM entegrasyonu, anahtar töreni ve sertifikasyon için kanıtları biz sağlarız.
Tahmin modelleri, kontrol sistemini tehlikeye atmadan kontrol sistemi ve ölçüm sistemlerinden nasıl veri alır?
Veri platformu, süreç ağından bir veri diyotu veya protokol ağ geçidi üzerinden okur, ancak geri asla yazmaz. Akıllı sayaç ağ geçitlerinden gelen ölçüm değerleri, GDPR ve Ölçüm Noktası İşletme Yasasına göre takma adlandırılmış olarak, ağ geçidi yönetimi üzerinden platforma ulaşır. Modeller kontrol sistemlerinin dışında çalışır ve tahminleri şebeke işletimine bir kontrol komutu olarak değil, bir öneri olarak akar.
Enerji şirketleri kuantum sonrası kriptografiye ne zaman başlamalı?
Şimdi, envanterle. Akıllı sayaç ağ geçitleri, uzaktan kumanda cihazları ve trafo merkezi teknolojisi, güçlü kuantum bilgisayarların beklenen ortaya çıkış zamanından çok daha uzun süre sahada kalır ve şebekede cihaz değişimi yıllar süren bir hazırlık gerektirir. Envanter, hangi aygıt yazılımı imzalarının, sertifikaların ve bağlantıların önce dönüştürüleceğini gösterir ve yol haritası geçişi yaygınlaştırma ve yenileme döngülerine bağlar.
Başlangıç ve uygulama5 soru
Tek bir eylem alanıyla başlayabilir miyiz?
Evet. Önce somut bir görevi sınırlandırabiliriz. Bu sırada görevin geri kalan altyapıyla olan arayüzlerini inceler ve uygulamadan önce hangi hizmetlerin kapsama dahil olduğunu netleştiririz.
Ön görüşme için neleri hazırlamalıyız?
Başlangıç için zorluğun, etkilenen sistemlerin ve istediğiniz sonucun kısa bir açıklaması yeterlidir. Bilinen tarihler ve uygun irtibat kişileri de yardımcı olur. Erişim bilgileri veya gizli sistem dokümantasyonu ilk iletişim talebine dahil edilmemelidir.
Projede kimler yer almalı?
OT Güvenlik Mimarı: Kontrol sistemleri için bölge modeli, sertleştirme, saldırı tespiti. Kriptografi Uzmanı: Akıllı sayaç PKI'sı, HSM entegrasyonu, PQC yol haritası. Entegrasyon Geliştiricisi: Tesislere arayüzler, uzaktan erişim, veri diyotları. Veri Mühendisi: Veri platformu, tahmin modelleri, model işletimi. Uyum Danışmanı: KRITIS, NIS2, BT Güvenlik Kataloğu, denetim belgeleri. Proje Yöneticisi: Kilometre taşları, bakım pencereleri, kabuller, raporlar.
Zaman planı ve efor nasıl belirlenir?
Sistemleri, arayüzleri, dokümantasyon durumunu ve işletimsel çerçeve koşullarını inceleriz. Üzerinde anlaşılan kapsam ve kilometre taşları, efor tahmininin temelini oluşturur. Bu bilgiler olmadan belirlenecek sabit bir süre güvenilir olmaz.
İlk proje aşaması ne sağlar?
Tesisler, ağlar, arayüzler ve KRITIS, NIS2 ile BT Güvenlik Kataloğundan gelen yükümlülükler Varlık envanteri, kripto envanteri, boşluk analizi, tedarik üzerindeki etkiye göre önceliklendirilmiş önlem listesi
İşletim ve geliştirme4 soru
Hangi iş birliği biçimleri mümkündür?
Proje: IEC 62443 uyumlu bir bölge modeli, bir alt CA kurulumu veya KRITIS denetimine hazırlık gibi net tanımlı bir proje, belirlenmiş sonuç, kilometre taşları ve kabulle. Ekip takviyesi: OT güvenlik mimarları, kriptografi uzmanları veya veri mühendisleri, sizin ekiplerinizde, araçlarınızda ve onay süreçlerinizde, gerektiğinde doğrudan kontrol merkezinde çalışır. Yönetilen hizmet: OTOKO®, saldırı tespitini, PKI'yı ve HSM'leri veya veri platformunu kararlaştırılmış performans değerleriyle, düzenli raporlarla ve KRITIS denetçilerinin ve Federal Şebeke Ajansının istediği kanıtlarla işletir.
İşletime devir nasıl gerçekleşir?
İzleme, sertifikalar, denetimler, bilgi aktarımı Günlük işletimde saldırı tespiti, sertifika yenileme, denetime eşlik, aşamalı devir
Daha sonra ek lokasyonlar veya sistemler ekleyebilir miyiz?
Bu, ilk konseptte dikkate alınabilir. Belgelenmiş arayüzler ve yeniden kullanılabilir kurallar, genişleme için bir temel oluşturur. Yine de her ek lokasyon ve her yeni sistem kendine özgü gereksinimler açısından incelenir.
Çözüm uzun vadede nasıl işletilebilir kalır?
Sorumluluklar, tekrarlayan görevler ve değişiklik süreçleri, teknik uygulamayla birlikte belirlenir. Dokümantasyon ve bilgi aktarımı, ekibinize günlük işlerinde yardımcı olur. Hangi faaliyetlerin ve sürekli desteğin buna dahil olduğu, hizmet kapsamında kararlaştırılır.
Enerji Sektörü
Sonraki adımı birlikte görüşelim.
Şebekelerinizin ve tesislerinizin bugün nerelerde saldırıya açık olduğunu ve hangi önlemlerin önce etkili olacağını birlikte inceleyelim.
Ön görüşme planlayın
