Serviços de segurança cibernética

A frequência e sofisticação dos ataques cibernéticos à infraestrutura de energia está crescendo constantemente. As proteções de perímetro da rede não são suficientes para proteger os sinais de controle e os dados sensíveis. A S&C compreende que a engenharia de segurança eficaz requer uma aplicação multidisciplinar de gestão de risco para garantir a resiliência ao longo do ciclo de vida do sistema. Sistemas de energia são sistemas de sistemas de vários fornecedores que requerem coordenação de diversas partes interessadas para garantir que a postura de segurança seja projetada, implementada e mantida corretamente. A S&C projeta a segurança cibernética em nossos produtos para obter resiliência e defesa em profundidade.

A S&C oferece também um conjunto robusto de serviços de segurança cibernética para liderara integração holística de segurança da rede e do sistema. A S&C fornece excelente valor aos nossos clientes acoplando serviços de segurança cibernética com nossas soluções de sistemas de energia e nossos serviços de engenharia, mas também oferecemos consultoria e serviços isolados de segurança cibernética. Isso dá aos nossos clientes que não possuem uma equipe de segurança cibernética o suporte deque eles precisam para conformidade, e garante que seus sistemas e seus ambientes de rede permaneçam seguros.

Com experiência profunda de consultoria e serviços de segurança cibernética para o Departamento de Defesa dos EUA (DoD), nossa equipe pode oferecer uma ampla variedade de serviços de segurança cibernética e de rede para nossos clientes federais, comerciais e concessionárias. A equipe detém certificações de segurança cibernética aprovadas pelo DoD (por exemplo, CISSP, Security+CE, GICSP, GPEN). Saiba mais sobrea experiência de segurança cibernética do DoD da S&C…

Avaliações de segurança cibernética

Os serviços de segurança cibernética da S&C estão preparados para aproveitar a nossa forte experiência cibernética federal e do DoD para atender às necessidades dos nossos clientes concessionárias e comerciais. A S&C fornece avaliações de segurança cibernética personalizadas para aumentar a segurança do sistema de energia e para gestão de risco. As avaliações de segurança cibernética da S&C se baseiam em estruturas e padrões, tais como NERC-CIP, NIST IR 7628 e NIST 800-53.

As atividades específicas de avaliação incluem, entre outras:

Inventário de hardware e software
Avaliação de ameaças
Avaliação e varredura de vulnerabilidade de sistema e rede
Conformidade com NERC CIP
Conformidade com estrutura de segurança cibernética ou gestão de risco da NIST
Documentação de conclusões e recomendações de mitigação

Avaliação do Risk Management Framework federal

Avaliação do Risk Management Framework federal

Os sistemas de informações federais, incluindo a infraestrutura de energia, devem ser projetados, protegidos e monitorados em conformidade com o Risk Management Framework (RMF) e a política e diretrizes relacionadas. A S&C compreende os desafios enfrentados pelos proprietários de sistemas de energia e sistemas de controle relacionados a instalações do Departamento de Defesa (DoD) na implementação de segurança cibernética e na obtenção de autorização para operar (ATOs).

A S&C segue um enfoque de solução de problema para o planejamento e execução de RMF enfocando o alívio de pontos problemáticos do cliente (proprietário do sistema), mantendo os custos baixos e garantindo um caminho possível e oportuno para garantir uma ATO. Os serviços de segurança cibernética da S&C orientarão o proprietário do sistema ao longo do processo de RMF com base em nossa profunda experiência prática com planejamento e execução de RMF para microrredes do exército, marinha, força aérea e fuzileiros navais.

A equipe da S&C fornece alguns dos maiores valores na implementação de controles de segurança de RMF. Não apenas nós somos experientes na proteção de componentes do sistema de energia da S&C, mas também aplicamos a segurança cibernética e a gestão de riscos a qualquer dispositivo de outros fornecedores no sistema ou rede de energia ou conectado a ele. A implementação do controle de segurança inclui política de segurança organizacional e planejamento de procedimentos. Nós fornecemos suporte total aos proprietários de sistemas em cada etapa de RMF, incluindo:

Etapa 0 do RMF: A S&C define o palco desde o início, identificando e envolvendo indivíduos que preencherão as principais funções do RMF e o registro do sistema nos repositórios do DoD.
Etapa 1 do RMF: A S&C fornece uma categorização de segurança recomendada do sistema, completa com uma descrição do conceito de operações (CONOPS), tipos de informações processadas e níveis de impacto para confidencialidade, integridade e disponibilidade. Também desenvolvemos artefatos de acompanhamento, como listas preliminares de hardware/software e limites de rede e diagramas de fluxo de dados.
Etapa 2 do RMF: A S&C desenvolve o plano de segurança do sistema (SSP) com base na categorização de segurança aprovada e ajusta a linha de base do controle de segurança com sobreposições aplicáveis e controles herdados ou não aplicáveis.
Etapa 3 do RMF: A S&C fornece suporte total para a autoavaliação dos proprietários do sistema com a implementação de requisitos de segurança, incluindo configuração prática e política de segurança e desenvolvimento de artefatos.
Etapa 4 do RMF: A S&C participa integralmente da visita ao local das equipes de validação de terceiros, fornecendo suporte prático para a validação do sistema. A equipe de serviços de segurança cibernética da S&C conduzirá o pacote RMF nos processos de controle e aprovação de pacote, incluindo atividades de varredura/correção/varredura e conclusão de artefato.
Etapas 5 e 6 do RMF: A equipe da S&C continua dando suporte total para obter autorização por meio do retrabalho contínuo do pacote e da conclusão do treinamento e da transferência do sistema. O enfoque de RMF da S&C não termina na ATO. A manutenção contínua do RMF e o monitoramento contínuo do sistema são essenciais para a segurança e resiliência da microrrede e são programados nas políticas e procedimentos desenvolvidos com e para o proprietário do sistema. Uma oferta de serviço completa para este suporte é oferecida sob um contrato (separado).

Leia mais sobre a experiência de RMF federal e do DoD da S&C

S&C e histórico de IPERC

A aquisição pela S&C da IPERC, o fornecedor de controles de microrrede e líder de segurança cibernética para o 2015 Smart Power Infrastructure Demonstration for Energy, Reliability and Security (SPIDERS) e outros projetos do DoD, trouxe o Sistema de Controle de Microrrede GridMaster^® Microgrid no estado da arte e experênci em RMF para a equipe da S&C. Nossa equipe ajudou clientes governamentais a obter os primeiros ATOs de sistemas de controle de microrrede, primeiro no Camp Smith Hawaii dos Fuzileiros Navais para o Naval Facilities Engineering Command (NAVFAC), e pois oaa o Fort Carson, Colorado do exército, Department of Public Works.

A S&C é versada em padrões e orientações relativos a RMF para sistemas de controle industriais (por exemplo, sistemas de controle de microrrede e sistemas de controle), incluindo processos e formatos esespecíficos de serviço do DoD, incluindo, entre outros:

Unified Facilities Criteria (UFC) 4-010-06, Cybersecurity of Facility-Related Control Systems, alteração 1, 18 de janeiro de 2017
Unified Facilities Guidance Specification (UFGS) 25 05 11, Cybersecurity for Facility‐ related Control Systems, 1 de novembro de 2017
DoD Instruction 8500.01, Cybersecurity, 14 de março de 2014
DoD Instruction 8510.01, Risk Management Framework (RMF) for DoD Information Technology (IT), alteraçao 2, 28 de julho de 2017
National Institute of Standards and Technology (NIST) Special Publication (SP) 800-82, Guide to Industrial Control Systems (ICS) Security, revisão 2, maio de 2015
NIST SP 800-53, revisão 5, Security and Privacy Controls for Information Systems and Organizations
NIST SP 800‐60, Information Security, revisão 1, Volumes I & II, Information Security,

Agosto de 2008

NIST SP 800‐171, revisão 1, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations, dezembro de 2016, atualizado em 7 de junho de 2018
NAVFAC Echelon II RMF Business Rules for Facility-Related Control Systems (FRCS), versão 1.0, 4 de outubro de 2019
Air Force Civil Engineering Center (AFCEC)’s Guide for Cybersecurity Requirements for Vendors on FRCS, atualizado em 25 de agosto de 2020
Army Material Command (AMC) Cyber Security Division (CSD) Standard Operating Procedures (SOPs) for RMF
DFARS Clause 252.204‐7012, Safeguarding Unclassified Controlled Technical Information

Projeto e configuração de rede segura

Nossa equipe tem experiência profunda em projeto e configuração de rede completa e de segurança para clientes federais, comerciais e de concessionárias. A equipe de especialistas da S&C pode avaliar a segurança cibernética e arquiteturas de rede para sistemas existentes ou para uma nova construção, desde o projeto conceitual da rede até o comissionamento final. A S&C pode servir como consultora para operadores e pessoal de segurança do cliente, e/ou executar configuração prática dos dispositivos em rede para garantir que os sistemas de energia permaneçam seguros e em conformidade com requisitos de segurança aplicáveis.

Os serviços de configuração de segurança da S&C incluem implementação e documentação de uma linha de base de segurança, varredura de vulnerabilidade e conformidade, mitigação de conclusões e nova varredura. A instalação, proteção e testes apropriadas da rede e dos equipamentos são essenciais e deve ser feitas por analistas de segurança preparados. Nós podemos fornecer esse serviço completo de projeto e configuração de rede segura para atender às necessidades dos seus clientes no cenário de segurança cibernética em constante mudança.