Governance della sicurezza informatica

La sicurezza informatica è una delle questioni più importanti per il futuro, sia per le aziende che per la società. È il prerequisito fondamentale per le organizzazioni per salvaguardare l'infrastruttura critica, proteggere le informazioni sensibili e garantire la continuità aziendale. Come uno degli obiettivi strategici di Siemens, la trasformazione digitale avrà successo solo se potremo fare affidamento sulla sicurezza dei dati e sui sistemi connessi. La sicurezza informatica ha un enorme impatto sui nostri clienti ed è richiesta da molte leggi e regolamenti internazionali e nazionali. Questo rende la sicurezza informatica una priorità assoluta per Siemens.

Siemens Industry Software Inc. e le sue società affiliate (SISW) si impegnano a proteggere le informazioni dei nostri clienti che risiedono o vengono elaborate da prodotti, soluzioni e servizi SISW. A tal fine, garantiamo che tali prodotti, soluzioni e servizi soddisfino le pratiche ingegneristiche generalmente accettate per la sicurezza dei prodotti e delle soluzioni, comprese le best practice di difesa informatica come le operazioni di rilevamento delle minacce e la riduzione della superficie di attacco.

SISW ha istituito un sistema di gestione della sicurezza delle informazioni (ISMS) che si inserisce nella visione del Siemens Cybersecurity Policy Framework e prescrive le politiche, i controlli e l'assegnazione delle responsabilità che consentono a SISW di soddisfare le aspettative dei clienti in materia di sicurezza informatica e di soddisfare i requisiti delle certificazioni e degli attestati sopra elencati.

Il fulcro dell'ISMS è il Manuale del programma di sicurezza delle informazioni SISW, che fornisce il nostro approccio di gestione al programma di sicurezza delle informazioni di SISW per le offerte e le attività correlate. Il manuale descrive l'approccio di SISW alla creazione e al mantenimento di un programma di governance della sicurezza delle informazioni che garantisca la riservatezza, l'integrità, la disponibilità e la privacy delle risorse informative.

L'ISMS stabilisce inoltre una serie di politiche, sotto la governance del Consiglio per la sicurezza delle informazioni (ISC) del SISW, per garantire l'impegno nei confronti del programma di sicurezza delle informazioni, degli obiettivi del programma e dell'applicazione del programma.

I prodotti, le soluzioni e i servizi di SISW contengono importanti componenti software e IT, che possono essere soggetti a requisiti di sicurezza normativi in rapida evoluzione.

L'iniziativa PSS di Siemens è stata istituita per contribuire a garantire che i prodotti, le soluzioni e i servizi che vendiamo consentano ai nostri clienti di eseguire i loro processi in un ambiente sicuro. SISW assegna un Product and Solutions Security Officer (PSSO) a ciascuna linea di prodotti per verificare che questa iniziativa venga implementata e monitorata durante tutto il ciclo di sviluppo.

A tal fine, all'interno di Siemens sono in vigore requisiti vincolanti per il PSS e raccomandazioni per l'implementazione. Il miglioramento continuo e l'apprendimento sono presupposti fondamentali per il successo della realizzazione del PSS.

Creare una consapevolezza comune tra i dipendenti è fondamentale per garantire l'adesione alle iniziative di sicurezza informatica e mantenere elevati livelli di sicurezza. Ciò significa creare una cultura consapevole del rischio e fornire opportunità di formazione e istruzione continue per gli individui in tutta l'organizzazione.

Siemens SISW offre ai dipendenti diverse attività e percorsi di apprendimento e sviluppo, tra cui:

• Una campagna di sensibilizzazione globale obbligatoria per fornire ai dipendenti informazioni sui temi della sicurezza informatica. Queste sessioni di formazione sono basate sul web, prive di barriere architettoniche e multilingue. Inoltre, abbiamo una formazione "Patente di guida" per gruppi specifici per ruolo. Questa formazione obbligatoria consente al gruppo di applicare le linee guida di sicurezza di Siemens.

• Viene offerta un'ulteriore formazione sulla sicurezza obbligatoria SISW per i PSSO e una formazione specifica sulla sicurezza del cloud per gli sviluppatori coinvolti nella creazione di contenuti.

• Siemens offre numerosi corsi di formazione regolarmente aggiornati e opportunità di apprendimento per i dipendenti su base volontaria. Questi moduli di formazione spaziano dalle conoscenze di base ad aree specifiche e specializzate come il PSS.

SISW mantiene un sistema di gestione della qualità (QMS) certificato ISO 9001 progettato per incorporare i controlli di sicurezza nel ciclo di vita dello sviluppo sicuro (SDLC) dei prodotti SISW e l'integrazione di fornitori di terze parti per controllare la qualità dei deliverable. Il SGQ esegue i controlli ai principali punti di controllo per convalidare che i controlli di sicurezza e i KPI di qualità siano stati eseguiti correttamente.

Visione di qualità

I rischi per la sicurezza informatica devono essere gestiti lungo l'intera catena di approvvigionamento. Siemens considera questo argomento in modo olistico, includendo IT, OT e PSS, per l'approvvigionamento di componenti, prodotti e servizi orizzontali e verticali.

Le principali attività per migliorare il livello di cybersecurity lungo la supply chain includono:

• Trasparenza per quanto riguarda l'esposizione ai rischi di sicurezza informatica lungo la catena di fornitura;

• Pratiche sistematiche di gestione del rischio supportate da una metodologia di valutazione dei fornitori di terze parti e dai rispettivi strumenti e modelli per i requisiti contrattuali di sicurezza informatica ai fornitori;

• Partecipazione attiva a diverse comunità di esperti; e

• Regolari campagne di formazione e sensibilizzazione per vari gruppi target e casi d'uso.