CIP-101: Making the Transi5on CIP-003-6 R2 Low Impact - PowerPoint PPT Presentation

CIP-­‑101: ¡Making ¡the ¡Transi5on ¡ CIP-­‑003-­‑6 ¡R2 ¡Low ¡Impact ¡Assets ¡(LIA) ¡ September ¡24, ¡2014 ¡ Henderson, ¡NV ¡ Joseph ¡B. ¡Baugh, ¡PhD, ¡PMP, ¡ ¡ CISA, ¡CISSP, ¡CRISC, ¡CISM ¡ Senior ¡Compliance ¡Auditor ¡– ¡Cyber ¡Security ¡ Western ¡Electricity ¡Coordina5ng ¡Council ¡

2 ¡ Speaker ¡Intro: ¡Dr. ¡Joseph ¡Baugh ¡ • 40+ ¡years ¡Electrical ¡U5lity ¡Experience ¡ – Senior ¡Compliance ¡Auditor, ¡Cyber ¡Security ¡ – IT ¡Manager ¡& ¡Power ¡Trading/Scheduling ¡Manager ¡ – IT ¡Program ¡Manager ¡& ¡Project ¡Manager ¡ ¡ – PMP, ¡CISSP, ¡CISA, ¡CRISC, ¡CISM, ¡NSA-­‑IAM/IEM ¡certs ¡ – NERC ¡Cer5fied ¡System ¡Operator ¡ – Barehand ¡Qualified ¡Transmission ¡Lineman ¡ • 20 ¡years ¡of ¡Educa5onal ¡Experience ¡ ¡ – Degrees ¡earned: ¡Ph.D., ¡MBA, ¡BS-­‑Computer ¡Science ¡ – Academic ¡& ¡Technical ¡Course ¡Teaching ¡Experience ¡ • PMP, ¡CISA, ¡CISSP, ¡CISM, ¡ITIL, ¡& ¡Cisco ¡exam ¡prepara5on ¡ ¡ • Business ¡Strategy, ¡Leadership, ¡and ¡Management ¡ ¡ • Informa5on ¡Technology ¡and ¡IT ¡Security ¡ ¡ • Project ¡Management ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Agenda ¡ ¡ • Low ¡Impact ¡Progress ¡ • An5cipated ¡Dates ¡ • Low ¡Impact ¡Requirement ¡and ¡Implementa5on ¡ • Newly ¡Defined ¡Terms ¡ • Abachment ¡1 ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Low ¡Impact ¡Progress ¡ ¡ • Changes ¡to ¡Requirement ¡language ¡ • Developed ¡a ¡5ered ¡approach ¡to ¡ implementa5on ¡5meline ¡of ¡LIA ¡ • Newly ¡defined ¡terms: ¡ – Low ¡Impact ¡External ¡Routable ¡Connec5vity ¡ ¡ – Low ¡Impact ¡BES ¡Cyber ¡System ¡Electronic ¡Access ¡Point ¡ ¡ ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Low ¡Impact ¡Progress ¡(con5nued) ¡ • Added ¡abachment ¡1 ¡“ Elements ¡for ¡the ¡ Development ¡of ¡Low ¡Impact ¡Asset ¡Cyber ¡ Security ¡Plan(s) ” ¡ ¡ – Cyber ¡Security ¡Awareness ¡ – Physical ¡Access ¡Controls ¡ – Electronic ¡Access ¡for ¡Low ¡Impact ¡ – Incident ¡Response ¡Plan(s) ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

An5cipated ¡Ac5ons/Dates* ¡ *(NERC, ¡2014, ¡ CIP-­‑003-­‑6 ¡– ¡Cyber ¡Security , ¡p. ¡1) ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Low ¡Impact ¡Language* ¡ R2 . ¡ ¡ ¡Each ¡Responsible ¡En5ty ¡with ¡at ¡least ¡one ¡asset ¡iden5fied ¡in ¡CIP-­‑002 ¡ • containing ¡low ¡impact ¡BES ¡Cyber ¡Systems ¡shall ¡implement ¡one ¡or ¡more ¡ documented ¡cyber ¡security ¡plan(s) ¡that ¡include ¡the ¡applicable ¡elements ¡in ¡ Abachment ¡1. ¡ [ViolaFon ¡Risk ¡Factor: ¡Lower] ¡[Time ¡Horizon: ¡OperaFons ¡ Planning] ¡ ¡ Note: ¡An ¡inventory, ¡list, ¡or ¡discrete ¡iden5fica5on ¡of ¡low ¡impact ¡BES ¡Cyber ¡Systems ¡or ¡their ¡ BES ¡Cyber ¡Assets ¡is ¡not ¡required. ¡Lists ¡of ¡authorized ¡users ¡are ¡not ¡required. ¡ ¡ ¡ *(NERC, ¡2014, ¡ CIP-­‑003-­‑6 ¡– ¡Cyber ¡Security , ¡p. ¡9) ¡ ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Tiered ¡Approach ¡to ¡Implementa5on* ¡ ¡ ¡ ¡ ¡ *(NERC, ¡2014, ¡ ImplementaFon ¡Plan: ¡EffecFve ¡Dates , ¡pp. ¡3-­‑4) ¡ ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡ ¡

Newly ¡Defined ¡Terms ¡ • What ¡is ¡the ¡reason ¡for ¡them? ¡ • To ¡mi5gate ¡the ¡aggrega5on ¡of ¡risk ¡by ¡keeping ¡Low ¡ impact ¡BES ¡Assets ¡with ¡Low ¡Impact ¡External ¡ Routable ¡Connec5vity ¡(LERC) ¡isolated ¡by ¡Low ¡ Impact ¡BES ¡Cyber ¡System ¡Electronic ¡Access ¡Point ¡ (LEAP) ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Newly ¡Defined ¡Terms ¡(con5nued) ¡ • Low ¡Impact ¡External ¡Routable ¡Connec5vity ¡(LERC) ¡ ¡ Bi-­‑direc5onal ¡routable ¡communica5ons ¡between ¡low ¡impact ¡BES ¡ • Cyber ¡System(s) ¡and ¡Cyber ¡Assets ¡outside ¡the ¡asset ¡containing ¡those ¡ low ¡impact ¡BES ¡Cyber ¡System(s). ¡Communica5on ¡protocols ¡created ¡for ¡ Intelligent ¡Electronic ¡Device ¡(IED) ¡to ¡IED ¡communica5on ¡for ¡protec5on ¡ and/or ¡control ¡func5ons ¡from ¡assets ¡containing ¡low ¡impact ¡BES ¡Cyber ¡ Systems ¡are ¡excluded ¡(examples ¡of ¡this ¡communica5on ¡include, ¡but ¡ are ¡not ¡limited ¡to, ¡IEC ¡61850 ¡GOOSE ¡or ¡vendor ¡proprietary ¡protocols). ¡ (NERC, ¡2014, ¡ DefiniFons ¡of ¡Terms , ¡p. ¡1) ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Newly ¡Defined ¡Terms ¡ • Low ¡Impact ¡BES ¡Cyber ¡System ¡Electronic ¡Access ¡Point ¡ (LEAP) ¡ ¡ ¡ • A ¡Cyber ¡Asset ¡interface ¡that ¡allows ¡Low ¡Impact ¡External ¡Routable ¡ Connec5vity. ¡The ¡Cyber ¡Asset ¡may ¡reside ¡at ¡a ¡loca5on ¡external ¡to ¡ the ¡asset ¡or ¡assets ¡containing ¡low ¡impact ¡BES ¡Cyber ¡Systems. ¡ ¡The ¡ Low ¡Impact ¡BES ¡Cyber ¡System ¡Electronic ¡Access ¡Point ¡is ¡not ¡an ¡ EACMS. ¡(NERC, ¡2014, ¡ DefiniFons ¡of ¡Terms , ¡p. ¡1) ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

CIP-­‑003-­‑6 ¡-­‑ ¡Abachment ¡1* ¡ • Provides ¡the ¡elements ¡associated ¡with ¡the ¡ four ¡(4) ¡subject ¡maber ¡areas ¡as ¡directed ¡in ¡ FERC ¡Order ¡No. ¡791 ¡ • Cyber ¡Security ¡Awareness ¡ • Physical ¡Access ¡Controls ¡ • Electronic ¡Access ¡for ¡Low ¡Impact ¡ • Incident ¡Response ¡Plan(s) ¡ • Provides ¡Responsible ¡En55es ¡flexibility ¡on ¡how ¡to ¡ apply ¡the ¡required ¡security ¡controls. ¡ ¡ *(NERC, ¡2014, ¡ CIP-­‑003-­‑6 ¡– ¡Cyber ¡Security , ¡pp. ¡25-­‑26) ¡ ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Abachment ¡1 ¡– ¡Flexibility ¡ ¡ • Responsible ¡En55es ¡with ¡mul5ple ¡impact ¡BES ¡Cyber ¡ Systems ¡ra5ngs ¡ can ¡u5lize ¡policies, ¡procedures, ¡and ¡ processes ¡for ¡their ¡high ¡or ¡medium ¡impact ¡BES ¡Cyber ¡ Systems ¡to ¡fulfill ¡the ¡elements ¡for ¡the ¡development ¡ of ¡low ¡impact ¡cyber ¡security ¡plan(s). ¡Each ¡ Responsible ¡En5ty ¡ can ¡develop ¡a ¡cyber ¡security ¡ plan(s) ¡either ¡by ¡individual ¡asset ¡or ¡groups ¡of ¡assets. ¡ ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

Abachment ¡1 ¡-­‑ ¡Element ¡1 ¡ ¡ ¡ ¡ 1. ¡Cyber ¡security ¡awareness: ¡ • Each ¡Responsible ¡En5ty ¡shall ¡reinforce, ¡once ¡every ¡ 15 ¡calendar ¡months, ¡its ¡cyber ¡security ¡prac5ces, ¡ using ¡ one ¡or ¡a ¡combina+on ¡of ¡ the ¡following ¡ methods: ¡ ¡ • Direct ¡communica5ons ¡(for ¡example, ¡e-­‑mails, ¡memos, ¡computer-­‑ based ¡training); ¡ ¡ • Indirect ¡communica5ons ¡(for ¡example, ¡posters, ¡intranet, ¡or ¡ brochures); ¡or ¡ ¡ • Management ¡support ¡and ¡reinforcement ¡(for ¡example, ¡ presenta5ons ¡or ¡mee5ngs). ¡ ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡

WECC’s ¡Audit ¡Approach ¡ • Does ¡the ¡en5ty ¡have ¡a ¡cyber ¡security ¡ awareness ¡plan? ¡ • Does ¡the ¡en5ty ¡use ¡one ¡or ¡more ¡methods ¡as ¡ iden5fied ¡in ¡Abachment ¡1, ¡element ¡1? ¡ • Is ¡physical ¡security ¡addressed? ¡ • Did ¡the ¡en5ty ¡reinforce ¡the ¡cyber ¡security ¡ awareness ¡prac5ces ¡once ¡every ¡15 ¡calendar ¡ months? ¡ W ESTERN ¡ E LECTRICITY ¡ C OORDINATING ¡ C OUNCIL ¡