Hvordan en netoperatør holder op med at behandle sikkerhedsadvarsler som løse PDF'er
Et energiselskabs sikkerhedsteam modtager advarsler, hændelsesrapporter og leverandørbulletiner fra et dusin kilder. KnowledgeHub kobler hver enkelt til de specifikke aktiver og tidligere hændelser, den reelt påvirker, med lineage tilbage til den oprindelige meddelelse.
Advarselspuklen
Leverandørbulletiner, nationale CERT-advarsler og interne hændelsesrapporter ankommer fra et dusin retninger, i et dusin formater. Hver af dem er klar nok, læst for sig selv. Det, der ikke er klart uden manuelt arbejde, er hvilke af operatørens egne aktiver der bliver berørt: hvilken transformerstation, hvilket kontrolsystem, hvilken leverandørkontrakt.
Analytikere krydstjekker manuelt: læser advarslen, tjekker aktivregistret, tjekker, om et lignende problem er opstået før. Gjort for hver eneste bulletin, på tværs af hver aktivklasse, skalerer dette ikke til den mængde, der ankommer i løbet af en given uge. Triage bliver et skøn over, hvilke advarsler der ser alvorlige nok ud til at forfølge. Det er et gæt under tidspres, med et tyndt spor af, hvorfor nogle blev prioriteret, og andre ikke.
Arbejdsgangen gentænkt
KnowledgeHub indlæser advarsler, bulletiner, aktivregistret og tidligere hændelsesrapporter, efterhånden som de ankommer, med lineage bevaret på dokumentniveau. En versioneret ontologi modellerer relationerne mellem aktiver, leverandører, kendte sårbarheder og tidligere hændelser.
Når en ny advarsel kommer ind, får agenter en afgrænset opgave: matche den mod aktivregistret og hændelseshistorikken og fremdrage, hvilke systemer der plausibelt er eksponeret, med den understøttende dokumentation vedhæftet. Agenten beslutter ikke reaktionen. En analytiker bekræfter eksponeringen, eller afviser den, før noget logges som en handling.
Analytikerens hverdag
En ny advarsel lander fra en national CERT og navngiver en sårbarhed i en kontrolsystemkomponent. Før analytikeren åbner den, har KnowledgeHub allerede tjekket den mod aktivregistret.
To transformerstationer bruger den berørte komponent. Én havde en relateret hændelse registreret for atten måneder siden. Advarslen ankommer med denne kontekst vedhæftet. Det er ikke bare bulletinteksten, men også hvilke aktiver der plausibelt er eksponeret, og hvorfor.
Analytikerens opgave er at bekræfte matchet, ikke at opbygge det. Med eksponeringen bekræftet prioriteres reaktionen mod reelle aktiver frem for advarslens egen angivne alvorlighed. Vurderingen består af advarslen, aktiverne og ræsonnementet og logges med sin fulde lineage.
Hvad der ændrede sig
Hurtigere triage er den synlige gevinst. Eksponering vurderet mod reelle aktiver, ikke advarselstekst alene, er den strukturelle.
Sikkerhedsteamet holdt op med at læse hver bulletin blindt. Hver enkelt ankommer nu allerede tjekket mod, hvad operatøren reelt driver. Teamets opmærksomhed går til de advarsler, der betyder noget for deres specifikke infrastruktur, ikke til dem, der blot lyder alarmerende.
Når en revisor eller tilsynsmyndighed spørger, hvordan en given advarsel blev håndteret, er svaret et specifikt aktivmatch og et tidsstempel. Det er ikke en rekonstruktion af, hvad teamet husker at have besluttet.
Let at gå i gang. Sikkert at stoppe.
Piloten kører til fast pris: Vi kortlægger arbejdsgangen, deployer i jeres miljø og beviser det på jeres egne sager. Derefter beslutter I.
Fast pris · Fast tidsramme
- 01
Kortlæg arbejdsgangen
To uger sammen med jeres medarbejdere, hvor vi dokumenterer, hvad der sker i dag. Også de dele, som ingen har skrevet ned.
- 02
Deploy i jeres miljø
Inde i jeres tenant, på jeres vilkår for dataplacering, uden eksport og uden at noget forlader systemet ad bagvejen.
- 03
Bevis det under revision
Kontrolleret evaluering op imod jeres egne sager, hvor compliance og procesejeren godkender, før løsningen går i drift.
- 04
Kør i produktion
Vi fortsætter med genoplæring, rapportering og løbende tilsyn, så længe arbejdsgangen er i drift.
Fast pris, Fast tidsramme. 8–12 ugers pilot: Fortsæt (Udvid, når I ved, at det virker) / Stop.