Кибербезопасность критически важных объектов инфраструктуры
Безопасность продукции для критически важных Энергосистем
Электроэнергетические системы относятся к критически важной инфраструктуре, и их безопасная эксплуатация зависит от безопасности оборудования, интегрированной в процессы проектирования, валидации и эксплуатации систем. В OMICRON безопасность с самого начала заложена в решениях для испытаний устройств РЗА, высоковольтной диагностики и мониторинга Энергосистем. Она разрабатывается в тесном сотрудничестве с энергетическими компаниями, промышленными операторами и экспертами по кибербезопасности с учетом реальных условий эксплуатации. Безопасность обеспечивается на протяжении всего жизненного цикла продукта, от разработки до долгосрочной поддержки, что позволяет инженерам управлять рисками, поддерживать безопасную работу и принимать обоснованные решения в критически важных средах.
Управление безопасностью продуктов
Специальная команда Product Security Team
Управление уязвимостями
С помощью структурированных процессов обеспечения безопасности мы выявляем, оцениваем и устраняем потенциальные уязвимости, затрагивающие наши продукты.
Оценка и устранение рисков
Выявленные проблемы анализируются на предмет их последствий и устраняются с помощью скоординированных мер по исправлению и тестированию.
Ответственное раскрытие информации
Мы тесно сотрудничаем с подразделениями по разработке и обеспечению качества, а также с внешними партнерами, чтобы обеспечить прозрачное и ответственное реагирование на уязвимости.
Процедура сообщения об уязвимостях
Ответственное информирование об уязвимостях и их устранение
OMICRON приветствует сообщения о потенциальных уязвимостях безопасности, затрагивающих наши продукты. Каждое поступившее сообщение рассматривается конфиденциально и проходит структурированную и безопасную процедуру приема. Сообщенные проблемы проходят техническую проверку, анализ последствий и оценку в сотрудничестве с командами разработчиков и специалистов по качеству. На основании этой оценки определяются, внедряются и тестируются соответствующие меры по устранению уязвимостей. OMICRON придерживается скоординированного подхода к раскрытию информации об уязвимостях в целях защиты операторов критически важных Энергосистем. Мы просим не обнародовать выявленные уязвимости до тех пор, пока не будут доступны меры по их устранению.
Процесс обеспечения безопасности
Процесс раскрытия информации
Мы призываем вас сообщать о уязвимостях в продуктах OMICRON. Мы разработали комплексную и систематизированную процедуру, которая обеспечивает надежное и эффективное раскрытие информации о соответствующих проблемах безопасности.
Отчет
Сообщение и документирование уязвимостей.
Анализ
Определение первопричины и последствий.
Оценка
Оценка риска и приоритетов.
Устранение
Разработка и внедрение решения.
Раскрытие информации
Информирование клиентов и выдача им рекомендаций.
Внутри процесса
Что происходит в деталях
Поймите, как осуществляется каждый этап – от выявления и анализа до устранения уязвимостей и ответственного раскрытия информации.
Отчет
О уязвимостях безопасности можно сообщать в нашу службу безопасности продуктов, которая рассматривает все сообщения в конфиденциальном порядке. Сообщения можно отправлять и анонимно, и, если вы пожелаете, мы можем указать ваше имя в нашем уведомлении о безопасности.
Пожалуйста, укажите:
- Название затронутого продукта OMICRON с подробностями
- Четкое описание проблемы уязвимости
- Доступный код эксплойта или пошаговую инструкцию, использованную для обнаружения уязвимости (если возможно)
- Информацию о возможных планах публичного раскрытия информации
Анализ
После получения вашего сообщения мы проводим подробный анализ, чтобы воспроизвести проблему и выявить её первопричину.
Это позволяет нам понять технический контекст вашей проблемы и подготовить соответствующие меры по ее устранению.
Оценка
После анализа проблемы мы оценим вероятность её возникновения и возможные последствия для систем клиентов. Это позволит нам расставить приоритеты и определить надлежащие меры реагирования.
Устранение
На основании оценки мы определяем и внедряем меры по устранению уязвимостей, которые могут включать в себя предоставление исправлений, координацию их внедрения, а также подготовку структурированного и ответственного уведомления.
Раскрытие информации
Мы со всей ответственностью подходим к своим обязанностям и своевременно информируем затронутых клиентов о соответствующих уязвимостях, затрагивающих продукты OMICRON, чтобы предотвратить возможный ущерб. Каждая поступившая информация о проблемах безопасности тщательно анализируется и рассматривается надлежащим образом.
Мы предоставляем следующую информацию:
- Описание уязвимости
- Затронутые продукты и версии
- Рейтинг серьезности (CVSS)
- Ссылка на CVE (если применимо)
- Рекомендуемые меры по устранению
- Благодарности (по желанию автора сообщения)
OMICRON Product Security Team
Сообщение об уязвимости безопасности
В OMICRON управлением безопасностью и координацией процессов раскрытия информации занимается специальная группа безопасности продуктов. Специалисты готовы ответить на любые ваши вопросы, касающиеся уязвимостей продуктов OMICRON. Для защищенной коммуникации мы рекомендуем по возможности использовать зашифрованную электронную почту.
- Связаться с командой можно по адресу product-security@omicronenergy.com.
- Для зашифрованной связи доступен открытый ключ PGP, который можно скачать ниже.
Открытый ключ PGP
Отпечаток: 90F2 6F91 6186 22EA AFF1 06A0 F014 F4B8 C72E C818
Раскрытие информации об уязвимостях
Рекомендации по безопасности
В 2021 году компания OMICRON внедрила четко структурированный процесс обработки и раскрытия информации об уязвимостях в безопасности продуктов. Ниже приведены все опубликованные на данный момент уведомления о безопасности, включая подтвержденные уязвимости и рекомендуемые меры по их устранению.
Как OMICRON реагирует на сообщения об уязвимостях безопасности?
Сообщения об уязвимостях обрабатываются в рамках структурированного и конфиденциального процесса. Каждое сообщение проходит проверку, анализируется на предмет потенциальных последствий и оценивается совместно с командами разработчиков и специалистов по качеству. На основании этой оценки определяются, внедряются и тестируются соответствующие меры по устранению уязвимостей до их обнародования.
Как сообщить об уязвимости, затрагивающей продукт OMICRON?
О уязвимостях безопасности можно сообщать напрямую в нашу службу безопасности по электронной почте или через защищенные каналы связи. Рекомендуем указывать название продукта, версию, подробное описание и инструкции по воспроизведению проблемы. Принимаются также анонимные сообщения.
Какая информация содержится в уведомлении о безопасности?
Рекомендации по безопасности содержат проверенную информацию о выявленных уязвимостях, их потенциальных последствиях и рекомендуемых мерах по устранению. Они содержат рекомендации, помогающие пользователям оценивать риски и принимать соответствующие меры для обеспечения безопасной работы системы.
Применяет ли компания согласованную процедуру раскрытия информации об уязвимостях?
Да, OMICRON следует согласованной процедуре раскрытия информации об уязвимостях. Информация об уязвимостях не разглашается до тех пор, пока не будут доступны соответствующие меры по их устранению, что способствует защите операторов критически важных Энергосистем.
Как обеспечение безопасности продукта интегрировано в процесс разработки?
Безопасность продукта учитывается на всех этапах его жизненного цикла – от проектирования и разработки до тестирования, внедрения и долгосрочного обслуживания. Структурированные процессы обеспечения безопасности позволяют своевременно выявлять и устранять потенциальные риски, а также осуществлять их постоянный мониторинг.
Используются ли продукты OMICRON в системах критически важной инфраструктуры?
Да, решения OMICRON используются в системах критически важной инфраструктуры по всему миру, в том числе в системах производства, передачи и распределения электроэнергии. Меры безопасности разрабатываются в сотрудничестве с энергокомпаниями, промышленными операторами и экспертами в области кибербезопасности с целью обеспечения соответствия этим требованиям.
Как часто обновляются рекомендации по безопасности?
Рекомендации по безопасности обновляются при обнаружении и оценке подтвержденных уязвимостей. Обновления публикуются по мере необходимости, чтобы обеспечить своевременное предоставление актуальной информации, необходимой для поддержания безопасной работы системы.
Как компания обеспечивает защиту клиентов в ходе работ по устранению неполадок?
В процессе устранения уязвимостей OMICRON применяет контролируемый и скоординированный подход, чтобы обеспечить устранение уязвимостей до их обнародования. Это способствует защите клиентов за счет снижения рисков на этапе разработки и тестирования решений.