Laitteiston suojaus ja huolto

Organisaatiolla on prosessi laitteiston tarkastusta ja hyväksymistä ennen asennusta tai käyttöä varten. Prosessi sisältää ainakin seuraavat asiat:

• Aitouden tarkistaminen: Vahvistetaan laitteiston aitous ja varmistetaan, että se on peräisin luotettavilta ja hyvämaineisilta myyjiltä.
• Vaatimustenmukaisuuden arviointi: Varmistetaan, että laitteisto täyttää organisaation turvallisuusstandardit ja tekniset vaatimukset, jotka koskevat käyttöä kyseisessä ympäristössä.
• Laiteohjelmiston eheyden tarkistus: Varmistetaan, että laitteiston laiteohjelmisto on aito, ajan tasalla ja ettei siihen ole tehty luvattomia muutoksia.

Tämän prosessin olisi katettava myös erityiskäyttöön tarkoitetut laitteistot, kuten diagnostiikka- tai huoltotyökalut, varmistaen, että ne täyttävät turvallisuus- ja käyttövaatimukset.

Organisaatio varmistaa, että kaikki organisaation laitteistot tarkistetaan säännöllisesti tietoturvaominaisuuksien ja korjausten, päivitysten ja/tai päivitysten hankkimistarpeen osalta. Varmistetaan laitteiston turvallinen käsittely huollon aikana rajoittamalla pääsy vain valtuutettuun henkilöstöön ja ottamalla käyttöön valvontajärjestelmät, jotka estävät peukaloinnin tai luvattoman käytön.

Lisäksi määritetään ja toteutetaan suunnitelmat laitteiston elinkaaren päättymistä varten, mukaan luettuna huoltotuki ja vanhentumisen hallinta, ja varmistetaan, että vanhentunut laitteisto ei aiheuta turvallisuusriskejä.

Organisaatio ottaa käyttöön tiukat valvontatoimet huoltotyökalujen ja kannettavien tallennuslaitteiden käytölle organisaation OT/ICS-ympäristöissä ja valvoo niiden käyttöä. Esimerkkejä toimista:

• Huoltotyökalujen, kuten diagnostisten testilaitteiden, pakettinuusijoiden ja kannettavien tietokoneiden, hyväksymis- ja valvontaprosessien käyttöönotto.
• Varmistetaan, että kaikki huoltovälineet ja kannettavat laitteet tarkastetaan laitokseen tullessa ja suojataan haittaohjelmien torjuntaratkaisuilla ennen niiden käyttöä kriittisissä järjestelmissä.
• Kriittisiä järjestelmätietoja sisältävät laitteet on suojattava ja niiden luvaton poistaminen on estettävä.

Organisaation olisi määriteltävä käytännöt, prosessit tai tekniset toimenpiteet organisaation omaisuuden katoamisen, väärinkäytön, vahingoittamisen ja varkauksien varalta. Näihin kuuluu esimerkiksi seuraavat:

• Raportointiprosessi
• Ohjeet ja käsikirjat
• Omaisuuden ja inventaarion seuranta
• Vakuutus
• Säännölliset tarkastukset
• Kulunvalvonta
• Laitteiden koventaminen
• Koulutus- ja tiedotusohjelmat
• Mobiililaitteiden hallinta
• Tietojen salaus ja suojaus
• Fyysinen turvallisuus

Organisaation on asennettava ja ylläpidettävä ICT-ympäristöönsä redundantteja laitteita, joilla voidaan riittävän hvyin varmistaa liiketoiminnan tarpeet. Laitteet tulee asentaa siten, että niillä on tarvittavat resurssit, ominaisuudet ja toiminnot tarvittavien toimintojen suorittamiseen.

Organisaation täytyy varmistaa sen laitteistokomponenttien eheys. Tämä voidaan toteuttaa:

• Vaikeasti kopioitavilla aitouden todentavilla tarroilla
• Kehittäjän toimittamilla todennettavilla sarjanumeroilla
• Vaatimalla peukaoinninestoteknologioiden käyttöä
• Laitteiston toimitukset sisältävät laitteisto- ja laiteohjelmistopäivitykset

Organisaatiolla on ylläpidetty peruskokoonpanovaatimus tietotekniikkajärjestelmille ja teollisille ohjausjärjestelmille, jossa otetaan huomioon turvallisuusperiaatteet, esimerkiksi vähimmän toiminnallisuuden periaate (concept of least functionality).

Laitteistot suojataan luvattomien laitteiden (näppäilynauhoittimet, langattomat lähettimet ml. mobiililaitteet ja vastaavat) liittämistä vastaan.

Organisaation on käytettävä laitteiston yksilöllistä tunnistamista yhteyden vahvistamiskeinona.

Kun tarpeellista, organisaation tulisi käyttää sijaintitietoisia tekniikoita todennuksen eheyden vahvistamiseksi tunnettujen laitesijaintien perusteella.

Peruspalvelujen (kuten sähkön, tietoliikenteen, vedenjakelun, viemäröinnin, lämmityksen, tuuletuksen ja ilmastoinnin) toimintaa seurataan, jotta voidaan varmistaa, että niiden kapasiteetti kattavan liiketoiminnan kasvun.

Laitteistoja olisi huollettava toimittajan suosittelemin aikavälein sekä toimittajan antamia määrittelyjä noudattaen.

Esimerkiksi tietojenkäsittelyyn käytettävät, sekä muut tärkeät laitteistot, olisi asetettava tiloihin turvallisesti ja harkitusti. Sijoittelun avulla tulee rajoittaa luvatonta pääsyä laitteille.

Organisaation on lueteltava kaikki asiaankuuluvat suojatut omaisuuserät omistusoikeuden määrittämiseksi ja sen varmistamiseksi, että turvatoimenpiteet kattavat kaikki tarvittavat kohteet.

Suuri osa suojatusta omaisuudesta (mukaan lukien tietojoukot, tietojärjestelmät, henkilöstö/yksiköt ja kumppanit) käsitellään muiden tehtävien kautta. Lisäksi organisaation on lueteltava muut tärkeät omaisuuserät, joita voivat olla toiminnan luonteesta riippuen esimerkiksi laitteisto (palvelimet, verkkolaitteet, työasemat, tulostimet) tai infrastruktuuri (kiinteistöt, sähköntuotanto, ilmastointi). Lisäksi organisaation on varmistettava, että asiaankuuluvat ulkoiset laitteet dokumentoidaan.

Tunnista fyysinen pääsy kytkimiin. On tärkeää varmistaa, että kytkimet on suojattu asianmukaisesti ja että asiattomat osapuolet eivät pääse niihin käsiksi.

Laitteistolle tehdyt huollot kirjataan lokiin, joka sisältää tiedot mm.:

• epäillyistä ja sattuneista vioista
• ehkäisevistä ja korjaavista toimenpiteistä
• laitteiden tarkistamisesta huollon jälkeen

Sähköiset laitteet kuten kaapelit, näyttöpäätteet, kopiokoneet, tabletit ja älypuhelimet vuotavat sähkömagneettista säteilyä, josta on oikealla laitteistolla mahdollista selvittää alkuperäinen lähetetty tieto - vaikkapa syötetty käyttäjätunnus ja salasana.

Toimitilan rakenteissa olevat aukot (ikkunat, ovet, ilmastointi) suojataan, jotta ne eivät päästä säteilyä ulos. Lisäksi luottamuksellista tietoa käsittelevät laitteet sijoitetaan niin, että sähkömagneettisesta vuodosta johtuva tietovuotoriski pidetään mahdollisimman pienenä.

Kaikkiin rakennuksiin ja kaikkiin saapuviin voimalinjoihin ja ulkoisiin viestintälinjoihin on asennettu salamasuojaus.

Virta- ja tietoliikennekaaplien, jotka joko liikuttavat tietoa itsessään tai tukevat tiedonsiirtopalveluita, suojataan vahingolta, salakuuntelulta ja häirinnältä.

Kaapeloinnin turvallisuudessa olisi otettava huomioon mm. seuraavat seikat:

• tietoliikennelinjojen olisi mahdollisuuksien mukaan oltava maanalaisia tai muuten riittävän suojattuja
• sähkökaapelit olisi eristettävä tietoliikennekaapeleista, jotta vältytään häiriöiltä
• panssarikaapeleiden, sähkömagneettisen suojauksen tai teknisen haravoinnin käyttö erittäin kriittisissä paikoissa

Hälytysjärjestelmät valvovat keskeisten ympäristöolosuhteiden (esim. lämpötila ja kosteus) tasoa, jotka voivat vaikuttaa haitallisesti tietojenkäsittelylaitteiden toimintaan. Ympäristössä tulisi olla myös toimiva palohälytysjärjestelmä.

Ylijännitesuojat estävät virtatason nousujen ja laskujen vahingoittamasta laitteita. Keskeytymättömät virtalähteet (UPS) puolestaan takaavat rajallisen ajan akkuvirtaa, jonka avulla voidaan työskennellä lyhyiden sähkökatkostenkin aikana. Kriittiset laitteet pidetään kiinni UPS:ssä.