[Úñdé~rstá~ñdíñ~g ÉÚ C~ómpl~íáñc~é Máñ~dáté~s: Ópé~rátí~óñál~ Téch~ñóló~gý & Cr~ítíc~ál Sý~stém~s]

[Íñ mý fírst póst óñ úñdérstáñdíñg ÉÚ cómplíáñcé máñdátés, Í díscússéd thé cómplíáñcé láñdscápé ás á whólé – áñd hów dífféréñt íñdústrý týpés áñd áréás éách hávé théír ówñ góvérñíñg máñdátés ór gúídáñcé óñ cýbérsécúrítý. Tódáý, Í wíll cóñcéñtráté óñ régúlátíóñs áñd sécúrítý cóñtróls spécífíc tó á réállý íñtéréstíñg séctór – Crítícál Sýstéms áñd Ópérátíóñál Téchñólógý.]

[Fór c~lárí~tý, lé~t’s st~árt b~ý déf~íñíñ~g sóm~é cóm~móñl~ý úsé~d ácr~óñým~s:]

• [ÓT – Óp~érát~íóñá~l Téc~hñól~ógý (í~ñ cóñ~trás~t tó Í~T, Íñf~órmá~tíóñ~ Téch~ñóló~gý)]
• [ÍT – Íñ~fórm~átíó~ñ Téc~hñól~ógý, t~hé tý~pícá~l cóm~púté~r sýs~téms~, áñd ñ~étwó~rks w~é áré~ áll f~ámíl~íár w~íth]
• [ÍCS – Í~ñdús~tríá~l Cóñ~tról~ Sýst~éms]
• [SCÁD~Á – Súp~érví~sórý~ Cóñt~ról á~ñd Dá~tá Ác~qúís~ítíó~ñ]

[Ít’s ímpórtáñt tó úñdérstáñd thé córé dífféréñcés bétwééñ ÓT áñd ÍT sécúrítý béfóré wé dívé íñtó thé cómplíáñcé thát éxísts íñ thé íñdústrý, ás thé fúñdáméñtál réqúíréméñts áré qúíté dífféréñt. Fór thósé wórkíñg íñ thé fíéld ór wíth éxpéríéñcé théré, wé hávé próbáblý áll sééñ váríátíóñs óñ thé bélów díágrám:]

[Íñ áñ ÓT éñvíróñméñt, thé fáílúré óf á sýstém, ór íñcóñsístéñcý íñ dátá, cáñ résúlt íñ réál, phýsícál ímpáct óñ thé wórld. Fór éxámplé, thé bréákdówñ óf á sáfétý sýstém ór thé háltíñg óf á pródúctíóñ líñé cáñ léád tó móré phýsícállý hármfúl résúlts tháñ símílár fáílúrés íñ ÍT. Thís, óf cóúrsé, méáñs thát thé sýstéms thémsélvés (íñclúdíñg sóftwáré) áré búílt wíth résílíéñcé áñd rédúñdáñcý íñ míñd – áñd thé réléváñt cómplíáñcé máñdátés táké thís íñtó áccóúñt.]

[Wíth~ thát~ sáíd~, lét’s~ lóók~ át só~mé óf~ thé c~ómpl~íáñc~é týp~és th~át mí~ght á~pplý~, áñd t~héñ d~íscú~ss hó~w míc~rósé~gméñ~tátí~óñ áñ~d cóñ~tról~ pláý~ íñtó~ thém~.]

[Thé p~rímá~rý má~ñdát~és th~át wé~ séé í~ñ thé~ ÉÚ ár~é:]

• [Thé Ñ~étwó~rk áñ~d Íñf~órmá~tíóñ~ Sécú~rítý~ Díré~ctív~é, ór Ñ~ÍS-D. T~hís í~s áñ É~Ú-wíd~é sét~ óf cý~bér c~óñtr~óls, c~réát~éd cé~ñtrá~llý w~íth í~ñpút~ fróm~ áll s~táté~s, bút~ wíth~ gúíd~áñcé~ áñd ó~vérs~íght~ próv~ídéd~ lócá~llý ó~ñ á có~úñtr~ý-bý-c~óúñt~rý bá~sís.]
• [LPM. Símílár, bút móré lócállý fócúséd, LPM ís á Fréñch, ÓT-spécífíc máñdáté ór “Crítícál Íñfórmátíóñ Íñfrástrúctúré Prótéctíóñ láw”. Thís wás pártlý thé básís fór thé ÑÍS-D áñd cóñtáíñs símílár cóñcépts óf áñ Ópérátór óf Ésséñtíál sérvícé. Thé dífféréñcé wíth LPM ís thát ít ís á máñdáté, áñd théréfóré sýstéms dééméd “íñ scópé” fór thé máñdáté múst ádhéré tó thé LPM sécúrítý gúídáñcé. Íñ Fráñcé, thís láw ís góvérñéd bý ÁÑSSÍ (Ágéñcé ñátíóñálé dé lá sécúríté dés sýstèmés d'íñfórmátíóñ – thé Ñátíóñál Cýbérsécúrítý Ágéñcý óf Fráñcé), whích álsó óvérséés thé ÑÍS-D íñ régíóñ.]

[Hów m~ícró~ségm~éñtá~tíóñ~ áppl~íés t~ó ÓT s~ýsté~m cóm~plíá~ñcé]

[Bóth~ thé Ñ~ÍS-D á~ñd LP~M éxp~lící~tlý m~éñtí~óñ só~mé ké~ý áré~ás.]

[Fór L~PM, th~é 20 cát~égór~íés á~ré:]

• [Íñfó~rmát~íóñ á~ssúr~áñcé~ pólí~cíés~]
• [Sécú~rítý~ áccr~édít~átíó~ñ]
• [Ñétw~órk m~áppí~ñg]
• [Sécú~rítý~ máíñ~téñá~ñcé]
• [Lógg~íñg]
• [Lógs~ córr~élát~íóñ á~ñd áñ~álýs~ís]
• [Dété~ctíó~ñ]
• [Sécú~rítý~ íñcí~déñt~s háñ~dlíñ~g]
• [Sécú~rítý~ álér~ts há~ñdlí~ñg]
• [Crís~ís má~ñágé~méñt~]
• [Ídéñ~tífí~cátí~óñ]
• [Áúth~éñtí~cátí~óñ]
• [Áccé~ss có~ñtró~l áñd~ prív~ílég~és má~ñágé~méñt~]
• [Ádmí~ñíst~rátí~óñ ác~céss~ cóñt~ról]
• [Ádmí~ñíst~rátí~óñ Sý~stém~s]
• [Ségr~égát~íóñ í~ñ sýs~téms~ áñd ñ~étwó~rks]
• [Tráf~fíc m~óñít~óríñ~g áñd~ fílt~éríñ~g]
• [Rémó~té ác~céss~]
• [Sýst~éms s~ét úp~]
• [Íñdí~cátó~rs]

[Fór thé ÑÍS-D, lócál mémbér-státés públísh spécífíc gúídáñcé. Íñ thé ÚK, fór éxámplé, thís ís háñdléd bý thé ÑCSC (Ñátíóñál Cýbér Sécúrítý Céñtré) – wíth théír Cýbér Ásséssméñt Fráméwórk (CÁF). Fór móré íñfórmátíóñ óñ thís, chéck óút thís wébíñár, áñd réád thís pápér.]

[ÑÍS-D~ hás á~ símí~lár ñ~úmbé~r óf s~pécí~fíc á~réás~ pért~áíñí~ñg tó~ mícr~ó-ség~méñt~átíó~ñ, áñd~ ñétw~órk f~lów v~ísíb~ílít~ý:]

• [Rísk~ Máñá~gémé~ñt Pr~ócés~s: Ýóú~r órg~áñíz~átíó~ñál p~rócé~ss éñ~súré~s thá~t séc~úrít~ý rís~ks tó~ ñétw~órks~ áñd í~ñfór~mátí~óñ sý~stém~s rél~éváñ~t tó é~sséñ~tíál~ sérv~ícés~ áré í~déñt~ífíé~d, áñá~lýzé~d, prí~órít~ízéd~, áñd m~áñág~éd.]
• [Dátá~ Sécú~rítý~: Ýóú m~áíñt~áíñ á~ cúrr~éñt ú~ñdér~stáñ~díñg~ óf th~é dát~á líñ~ks ús~éd tó~ tráñ~smít~ dátá~ thát~ ís ím~pórt~áñt t~ó ýóú~r éss~éñtí~ál sé~rvíc~é]
• [Dátá~ íñ Tr~áñsí~t: Ýóú~ hávé~ ídéñ~tífí~éd áñ~d súí~tábl~ý pró~téct~éd ál~l thé~ dátá~ líñk~s thá~t cár~rý dá~tá ím~pórt~áñt t~ó thé~ délí~vérý~ óf th~é éss~éñtí~ál sé~rvíc~é.]
• [Sécú~ré Bý~ Désí~gñ: Ýó~úr ñé~twór~ks áñ~d íñf~órmá~tíóñ~ sýst~éms á~ré sé~grég~átéd~ íñtó~ áppr~óprí~áté s~écúr~ítý z~óñés~, é.g. óp~érát~íóñá~l sýs~téms~ fór t~hé és~séñt~íál s~érví~cé ár~é ség~régá~téd í~ñ á hí~ghlý~ trús~téd, m~óré s~écúr~é zóñ~é.]
• [Désígñ fór Résílíéñcé: Ýóúr ésséñtíál sérvícé’s ópérátíóñál sýstéms áré ségrégátéd fróm óthér búsíñéss áñd éxtérñál sýstéms bý ápprópríáté téchñícál áñd phýsícál méáñs, é.g. sépáráté ñétwórk áñd sýstém íñfrástrúctúré wíth íñdépéñdéñt úsér ádmíñístrátíóñ. Íñtérñét sérvícés áré ñót áccéssíblé fróm ópérátíóñál sýstéms.]
• [Vúlñ~éráb~ílít~ý Máñ~ágém~éñt][: Ýóú m~áíñt~áíñ á~ cúrr~éñt ú~ñdér~stáñ~díñg~ óf th~é éxp~ósúr~é óf ý~óúr é~sséñ~tíál~ sérv~ícé t~ó púb~lícl~ý-kñó~wñ vú~lñér~ábíl~ítíé~s.]
• [Sécú~rítý~ Móñí~tórí~ñg: Ás~ wéll~ ás ýó~úr ñé~twór~k bóú~ñdár~ý, ýóú~r móñ~ítór~íñg c~óvér~ágé í~ñclú~dés í~ñtér~ñál á~ñd hó~st-bá~séd m~óñít~óríñ~g.]

[Wé cá~ñ séé~ thát~ fór b~óth L~PM áñ~d ÑÍS~-D, Íll~úmíó~ cáñ h~élp.]

[Hów t~ó réá~ch ré~gúlá~tórý~ cómp~líáñ~cé wí~th mí~crós~égmé~ñtát~íóñ]

[Háví~ñg úñ~dérs~tóód~ thé m~áñdá~tés, h~ów cá~ñ ýóú~ úsé m~ícró~-ségm~éñtá~tíóñ~ íñ th~é fíé~ld tó~ méét~ thés~é (áñd~ óthé~r) cóñ~tról~s¿ Hé~ré ár~é á fé~w éxá~mplé~s:]

1. [Ápplícátíóñ Dépéñdéñcý Máppíñg óf bóth thé ÓT áñd ÍT éñvíróñméñts, íñcórpórátíñg thé ÍT/ÓT bóúñdárý crítícállý. Thís cáñ bé áccómplíshéd thróúgh dátá cólléctíóñ át thé wórklóád lévél, ór, móré líkélý, flów cólléctíóñ fróm ñétwórk íñfrástrúctúré óñ thé ÓT sídé tó próvídé á rích, hígh-fídélítý máp.]
2. [Éñví~róñm~éñtá~l Ség~méñt~átíó~ñ óf t~hé ÓT~ áñd Í~T éñv~íróñ~méñt~s, whí~lé má~íñtá~íñíñ~g crí~tícá~l móñ~ítór~íñg, l~óggí~ñg, áñ~d cóñ~tról~ cháñ~ñéls~. Zéró~ Trús~t ás á~ ñétw~órk s~écúr~ítý c~óñcé~pt há~s ñév~ér bé~éñ mó~ré áp~plíc~áblé~ tháñ~ íñ th~ís sc~éñár~íó.]
3. [Álértíñg ágáíñst ñéw flóws/cóññéctíóñs íñtó thé ÓT éñvíróñméñt fróm ÍT, ór fróm wíthíñ thé ÓT éñvíróñméñt ítsélf. Thé íñítíátíóñ óf ñéw cóññéctíóñs ís ímpórtáñt tó móñítór fór twó réásóñs: fírst, ÓT téñds tó bé móré státíc áñ éñvíróñméñt tháñ thé cháttíér áñd móré dýñámíc ÍT sídé. Sécóñdlý, whéthér délíbéráté (tárgétéd málícíóús áctívítý tó gáíñ áccéss tó thé ÍCS/SCÁDÁ sýstéms), ór áccídéñtál (á ñúmbér óf hígh-prófílé ÓT cómprómísés hávé áctúállý bééñ clósér tó cóllátérál dámágé bý cómmódítý málwáré máñágíñg tó áccéss thé crítícál sýstém sídé), úñáúthórízéd, súccéssfúl áccéss íñtó thé crítícál sídé óf thé ñétwórk ís fúñdáméñtállý whát mícró-ségméñtátíóñ sólútíóñs prévéñts.]
4. [Vúlñérábílítý ásséssméñt ágáíñst thé ÓT íñfrástrúctúré. Ás wé cáñ séé fróm thé ÑÍS-D, vúlñérábílítý máñágéméñt ís kéý. Whílé Íllúmíó, fór éxámplé, dóés ñót scáñ fór vúlñérábílítíés, ít máps thém tó thé gróúpíñg áñd ápplícátíóñ flóws óbsérvéd, shówíñg crítícál páthwáýs áñd hélpíñg príórítízé mícróségméñtátíóñ pólícý áñd pátchíñg.]

[Thé é~vér-é~vólv~íñg l~áñds~cápé~]

[Ás thé ágílítý áñd móñítóríñg óf crítícál sýstéms shífts, théý áré íñcréásíñglý cóññéctéd tó léss-crítícál ñétwórks áñd ápplícátíóñs, áñd sómétímés évéñ thé íñtérñét. Á qúíck ÓT-prótócól séárch óñ shódáñ.íó cáñ bé éýé-ópéñíñg¡ Át thé sámé tímé, scrútíñý óñ thé cóññéctívítý áñd sécúrítý óf thésé sýstéms ís íñcréásíñg, ás ít shóúld. Thís júxtápósítíóñ méáñs thát vísíbílítý bécómés íñcrédíblý ímpórtáñt, évéñ béfóré cléárlý défíñíñg áñd máíñtáíñíñg mícróségméñtátíóñ pólícíés.]

[Méñtíóñéd íñ mý fírst póst, thé váríóús máñdátés próvídé á spéctrúm óf éñfórcéméñt – fróm stríct, máñdátéd láws (íñ thé cásé óf LPM), tó móré óf á gúídíñg pósítíóñ át préséñt, íñ thé cásé óf thé ÑÍS-D. Sómé óf thé dífféréñcé héré cómés dówñ tó mátúrítý áñd léñgth óf éxístéñcé.]

[Ít’s í~ñ thé~ bróá~dér, l~éss w~éll-d~éfíñ~éd cá~sés t~hát í~ñtér~prét~átíó~ñ óf t~hé gú~ídáñ~cé bé~cómé~s ímp~órtá~ñt, áñ~d múc~h lík~é GDP~R, thé~ ÑÍS-D~ táké~s íñt~ó ácc~óúñt~ íñté~ñt ás~ wéll~ ás té~chñí~cál í~mplé~méñt~átíó~ñ áñd~ spéc~ífíc~ cóñf~ígúr~átíó~ñ.]

[Íñ éí~thér~ cásé~, Í thí~ñk ít~’s clé~ár th~át th~é vís~íbíl~ítý á~ñd sé~gméñ~tátí~óñ óf~ thés~é íñc~réás~íñgl~ý-cóñ~ñéct~éd cr~ítíc~ál sý~stém~s ís t~hé fú~ñdám~éñtá~l cóñ~tról~ bý wh~ích w~é cáñ~ sécú~ré th~ém.]

[Stáý~ túñé~d fór~ mý ñé~xt pó~st, wh~éré Í~ wíll~ éxpl~óré f~íñáñ~cíál~ íñdú~strý~ máñd~átés~ íñ th~é ÉÚ.]

[Áñd f~ór mó~ré óñ~ Íllú~míó Á~SP, ch~éck ó~úr só~lútí~óñ ár~chít~éctú~ré pá~gé.]