Praktisk bruk og innføring av OLF104 1 - Classification: Internal 2010-04-23
Innhold Bakgrunn Implementering Tekniske krav Retningslinjer/anbefalinger Arbeidsprosesser Kompetanse Fundament 2 - Classification: Internal 2011-10-04
OLF104 Bakgrunn og historikk OLF er en interesse- og arbeidsgiverorganisasjon for oljeselskaper og leverandørbedrifter knyttet til utforsking og produksjon av olje og gass på norsk kontinentalsokkel. OLF104 (Startet i 2004-2005, Godkjent utgave 8.12.2006, Rev. 01 1.4.2007) Anbefalte retningslinjer og krav til informasjonssikkerhetsnivå i IKT-baserte prosesskontroll-, sikkerhets- og støttesystemer Målet: Målet for retningslinjen er å forbedre informasjonssikkerheten i den havbaserte industrien og derigjennom forbedre driftssikkerhet og regularitet på norsk sokkel. Status i forhold til myndighetene: Dette er ikke myndighetspålagte krav. Likevel har både Oljedirektoratet (OD) og Petroleumstilsynet (Ptil) hatt deltakere i arbeidsgruppen som utarbeidet dette dokumentet. 3 - Classification: Internal 2011-10-04
OLF104 Krav til informasjonssikkerhetsnivå i IKT-baserte prosesskontroll-, sikkerhets og støttesystemer 16 krav (Information Security Baseline Requirement ISBR) 1. En informasjonssikkerhetspolicy for IKT-baserte prosesskontroll-, sikkerhetsog støttesystemer skal dokumenteres. 2. Risikovurderinger skal gjennomføres for IKT-baserte prosesskontroll-, sikkerhets og støttesystemer og produksjonsnettverk. 3. Det skal utpekes system- og dataeiere for IKT-baserte prosesskontroll-, sikkerhets- og støttesystemer. 4 - Classification: Internal 2011-10-04
Implementasjon i Statoil Prosesseiere Prosesseiere arbeider på tvers av organisasjonen og sikrer at vi oppnår kvalitet og høy standard på arbeidsprosessene. Prosesseierens rolle handler om å fange opp beste praksis og erfaringer og innarbeide dette i vårt globale arbeidsprosesser. 5 - Classification: Internal 2010-04-23
Rammeverk for styrende dokumentasjon Benytter eksisterende rammeverk for styrende dokumentasjon Arbeidsprosesser Drift og vedlikehold (OM) Krav & retningslinjer Technical Requirements (TR) TR1658 - Technical Network and Security of Automation s Guidelines (GL) GL1658 - Technical Network Architecture Organisasjon Organisation, management and control (OMC) OMC01 - Development and production Norway (DPN) OMC02 - Development and production international (DPI) 6 - Classification: Internal 2010-04-23
Technical Requirements (TR1658) ISBR 4: Nettverksinfrastrukturen skal være i stand til å kunne segregeres, og alle kommunikasjonskanaler skal være kontrollert. IKT-infrastrukturen må kunne isolere nettverk, slik at IKT-systemer med forskjellig sikkerhetsnivå, sanntidssystemer som krever en garantert nettverksytelse, eller spesielt sensitive systemer kan installeres i separate, atskilte nettverk. TR1658 (2.4.2.1 Network segregation) Network segregation shall be based on the following criteria: Criticality of the system Different vulnerabilities (e.g. systems which are not able to run an updated virus scan/security patches regime are more vulnerable and shall be considered for a separate network segment) Confidentiality reasons (e.g. avoid running systems from competitors on the same network segment) Discipline (Telecom, Automation, Drilling,,.) Separate network for test systems and systems not yet in production All communication between systems on different segments shall be controlled through a firewall. All segments on the technical network shall be self-contained, i.e. continue to operate the systems primary functionality if communication across network segments or to the office network fails. 7 - Classification: Internal 2010-04-23
Guidelines Technical Network Architecture (GL1658) Shared equipment for the Technical Network Network availability for Moderate Criticality systems should be provided by shared managed LAN equipment utilizing VLAN technology. The VLAN should be implemented using dedicated switches for the Technical Network, not shared with the office network. Segregation recommendations Office Nettwork Plant information systems Information Alarm Management Management Plant Historian Office network Secure Access Condition Solution Monitoring Technical network Integrated Operaton Suite Field device Management Life-Cylce Simulator Information Management Plant Historian Technical Network DMZ for Technical Network Z o n e 1 Z o n e 2 Segregated Technical Network Medium Criticality Z o n e 1 Z o n e 2 Z o n e 3 Z o n e 4 Automation systems Instrumented systems SIS Control Class 3 High Integrity Protection Safety and Automation Operator Large Screen Engineering Station Display Work Station Safety Instrumented Process Control Control Class 1 Control Class 1 Critical Action Panel SAS network Fire & Gas Emergency Process Power Basic Process Subsea detection ShutDown ShutDown Distribution Control Control Unit Control SAS Gateway Marine s Contr class 1 PCS Control Class 2 Advanced Process Control Gas Turbine Control Engineering Monitoring Station Logic Solver Vibration Protection & Diagnostic Engineering Monitoring Station Logic Solver Marine s Contr Class 2 Engineering Monitoring Station Logic Solver Fiscal Metering Human Machine Interface Logic Solver PCS Control class 3 Instrumented Drilling Monitoring Control s Human Engineering Machine Monitoring Interface Station Logic Logic Solver Solver Pedestal cranes Control Human Machine Interface Logic Solver Telecom s Human Machine Interface Data logger Z o n e 1 Z o n e 2 Z o n e 3 Z o n e 1 Z o n e 2 Z o n e 3 Segregated Technical Network High Criticality Segregated Technical Network Very High Criticality Field instrumentation Subsea Production Control 8 - Classification: Internal 2010-04-23
Organisation, management and control (OMC) ISBR 3: Det skal utpekes system- og dataeiere for IKT-baserte prosesskontroll-, sikkerhets- og støttesystemer. OMC01 - Development and production Norway (DPN) Teknisk ansvar 69 Distributed control Ola Normann 9 - Classification: Internal 2010-04-23
Arbeidsprosesser ISBR 2: Risikovurderinger skal gjennomføres for IKT-baserte prosesskontroll-, sikkerhets og støttesystemer og produksjonsnettverk. Arbeidsprosesser: PD03.70.02no - Utarbeide endringsunderlag for sikkerhets- og automasjons-system OM01.08.02.01no - Sjekke IKT-utstyr for virus før tilkobling til teknisk nett OM01.08.02.02no - Håndtere mistanke om virus/uønsket hendelse i teknisk nett Vurdere behov for tilkobling til teknisk nett Følgende punkter må som minimum vurderes før tilkobling til teknisk nett: - Foreligger det forhåndsgodkjenning av utstyr fra prosjekt etc? - Kan selskapets minnepenn etc. benyttes? - Finnes godkjent virusprogram på utstyret? - Finnes det permanent tilkoblet IKT-utstyr på anlegget som kan benyttes? - Finnes det bærbart IKT-utstyr på anlegget som kan benyttes? 10 - Classification: Internal 2010-04-23
Implementasjon / Kompetanse Arbeidsprosess Krav Integrasjonen mellom Statoil og Hydro Olje og Gass medførte en harmonisering og innføring av arbeidsprosesser. Implementert som en del av «Pakke 4» Gjennomgang av arbeidsprosessene med bl.a. systemansvarlige (onshore) Gjennomgang av arbeidsprosessene med aktuelle fagpersoner på alle installasjoner & skift.(offshore) Nye anlegg (TORG dokument) Eksisterende anlegg og modifikasjon. Oppkjøp av anlegg. 11 - Classification: Internal 2010-04-23
Krav og støtte TR1658: «Risk and vulnerability assessment» Mal for risikovurdering? TR1658: «Network topology diagram» Verktøy, innhold og format? Sensitiv informasjon?
Fundament for nye prosjekter og modifikasjoner Organisasjon Krav Arbeidsprosess Teknologi 13 - Classification: Internal 2010-04-23
Thank you Praktisk bruk og innføring av OLF104 Lars N. Grøteide Advisor Information Technology www.statoil.com Classification: Internal 2010-04-23 14 -