Governance der Cybersicherheit

Cybersicherheit ist eines der wichtigsten Zukunftsthemen – für Unternehmen und die Gesellschaft. Es ist die wichtigste Voraussetzung für Unternehmen, um kritische Infrastrukturen zu schützen, vertrauliche Informationen zu schützen und die Geschäftskontinuität zu gewährleisten. Als eines der strategischen Ziele von Siemens wird die digitale Transformation nur gelingen, wenn wir uns auf Datensicherheit und vernetzte Systeme verlassen können. Cybersicherheit hat enorme Auswirkungen auf unsere Kunden und wird von vielen internationalen und nationalen Gesetzen und Vorschriften gefordert. Damit hat Cybersicherheit für Siemens höchste Priorität.

Die Cybersecurity-Organisation von Siemens Industry Software Inc. und seinen verbundenen Unternehmen (SISW) ist bestrebt, die Daten unserer Kunden zu schützen, die sich in SISW-Produkten, -Lösungen und -Dienstleistungen befinden oder von diesen verarbeitet werden. Wir erreichen dies, indem wir sicherstellen, dass solche Produkte, Lösungen und Dienstleistungen den allgemein anerkannten technischen Praktiken für die Produkt- und Lösungssicherheit entsprechen, einschließlich Best Practices für die Cyberabwehr wie Bedrohungserkennung und Reduzierung der Angriffsfläche.

SISW hat ein Informationssicherheits-Managementsystem (ISMS) eingerichtet, das sich in die Vision des Siemens Cybersecurity Policy Framework einfügt und die Richtlinien, Kontrollen und Zuweisungen von Verantwortlichkeiten vorschreibt, die es SISW ermöglichen, die Kundenerwartungen an Cybersicherheit zu erfüllen und die Anforderungen der oben aufgeführten Zertifizierungen und Bescheinigungen zu erfüllen.

Kernstück des ISMS ist das SISW Information Security Program Manual, das unseren Managementansatz für das Informationssicherheitsprogramm von SISW für Angebote und damit verbundene Aktivitäten darstellt. Das Handbuch beschreibt den Ansatz von SISW zur Einrichtung und Aufrechterhaltung eines Informationssicherheits-Governance-Programms, das die Vertraulichkeit, Integrität, Verfügbarkeit und den Schutz von Informationsressourcen gewährleistet.

Das ISMS legt auch eine Reihe von Richtlinien unter der Leitung des SISW Information Security Council (ISC) fest, um die Verpflichtung zum Informationssicherheitsprogramm, zu den Programmzielen und zur Programmdurchsetzung sicherzustellen.

Die Produkte, Lösungen und Dienstleistungen von SISW enthalten wesentliche Software- und IT-bezogene Komponenten, die den sich schnell entwickelnden regulatorischen Sicherheitsanforderungen unterliegen können.

Die Siemens-weite PSS-Initiative wurde ins Leben gerufen, um sicherzustellen, dass die von uns vertriebenen Produkte, Lösungen und Dienstleistungen es unseren Kunden ermöglichen, ihre Prozesse in einer sicheren Umgebung zu betreiben. SISW weist jeder Produktlinie einen Product and Solutions Security Officer (PSSO) zu, der dafür sorgt, dass diese Initiative während des gesamten Entwicklungszyklus umgesetzt und überwacht wird.

Zu diesem Zweck gibt es innerhalb von Siemens verbindliche Vorgaben für PSS und Empfehlungen zur Umsetzung. Kontinuierliche Verbesserung und Lernen sind grundlegende Voraussetzungen für die erfolgreiche Umsetzung von PSS.

Die Schaffung eines gemeinsamen Bewusstseins unter den Mitarbeitern ist entscheidend, um die Einhaltung von Cybersicherheitsinitiativen und die Aufrechterhaltung eines hohen Sicherheitsniveaus zu gewährleisten. Dies bedeutet, eine risikobewusste Kultur zu schaffen und kontinuierliche Schulungs- und Weiterbildungsmöglichkeiten für Einzelpersonen im gesamten Unternehmen bereitzustellen.

Siemens SISW bietet seinen Mitarbeitern verschiedene Aktivitäten und Möglichkeiten zum Lernen und zur Weiterentwicklung, darunter:

• Eine obligatorische globale Sensibilisierungskampagne , um Mitarbeiter über Cybersicherheitsthemen zu informieren. Diese Schulungen sind webbasiert, barrierefrei und mehrsprachig. Darüber hinaus bieten wir ein "Führerschein"-Training für rollenspezifische Gruppen an. Diese verpflichtende Schulung befähigt den Konzern zur Anwendung der Siemens-Sicherheitsrichtlinien.

• Es werden zusätzliche SISW-obligatorische Sicherheitsschulungen für PSSOs und Cloud-sicherheitsspezifische Schulungen für Entwickler angeboten, die an der Erstellung von Inhalten beteiligt sind.

• Siemens bietet zahlreiche, regelmäßig aktualisierte Schulungen und Weiterbildungsangebote für Mitarbeiter auf freiwilliger Basis an. Diese Schulungsmodule reichen von Basiswissen bis hin zu spezifischen und spezialisierten Bereichen wie PSS.

SISW unterhält ein nach ISO 9001 zertifiziertes Qualitätsmanagementsystem (QMS), das darauf abzielt, Sicherheitskontrollen in den Secure Development Lifecycle (SDLC) von SISW-Produkten einzubetten und Drittanbieter zu integrieren, um die Qualität der Ergebnisse zu kontrollieren. Das QMS führt Tore an wichtigen Kontrollpunkten aus, um zu überprüfen, ob Sicherheitskontrollen und Qualitäts-KPIs ordnungsgemäß ausgeführt wurden.

Qualitäts-Vision

Cybersicherheitsrisiken müssen entlang der gesamten Lieferkette gemanagt werden. Siemens betrachtet dieses Thema ganzheitlich, einschließlich IT, OT und PSS für die Beschaffung von horizontalen und vertikalen Komponenten, Produkten und Dienstleistungen.

Zu den wichtigsten Aktivitäten zur Verbesserung der Cybersicherheit entlang der Lieferkette gehören:

• Transparenz in Bezug auf Cybersicherheitsrisiken entlang der Lieferkette;

• Systematische Risikomanagementpraktiken, die durch die Bewertungsmethodik von Drittanbietern und entsprechende Tools und Vorlagen für vertragliche Cybersicherheitsanforderungen an Lieferanten unterstützt werden;

• Aktive Mitarbeit in verschiedenen Fachgemeinschaften; und

• Regelmäßige Schulungs- und Sensibilisierungskampagnen für verschiedene Zielgruppen und Anwendungsfälle.