Безопасное управление цепочками поставок

Все наши электронные устройства проектируются, тестируются и изготавливаются в США, на предприятиях, владельцами которых мы являемся.

Мы тщательно проверяем и тестируем код, который используется в наших устройствах. Исходный код постоянно отслеживается на предмет новых угроз, и мы выпускаем бюллетени по кибербезопасности и предоставляем обновления в течение всего срока службы каждого производимого нами устройства.

Мы также участвуем в государственных и отраслевых проектах и мероприятиях по разработке стандартов (например, мы используем правила по управлению кибербезопасностью NIST, поэтому мы владеем последней информацией о новых методах обеспечения безопасности и требованиях, предъявляемых к нашим клиентам.

Поскольку мы понимаем, что наша цепочка поставок становится частью вашей цепочки поставок, мы делимся с вами нашими процессами управления цепочкой поставок и проверенными методами. Наши специалисты по кибербезопасности и безопасности операций также готовы проконсультировать вас по вопросам соблюдения требований к управлению цепочкой поставок стандарта NERC CIP.

Цепочка поставок SEL является сложной и международной. Для обеспечения качества, кибербезопасности и постоянного наличия всех критически важных компонентов нашей продукции она требует систематического и комплексного подхода к управлению рисками.

Мы надеемся, что описание процессов и методов, которым мы следуем для обеспечения безопасности цепочки поставок, может оказаться полезным для вас, когда вы будете продумывать собственные процедуры обеспечения кибербезопасности и соблюдения нормативных требований.

В SEL выбор поставщиков — это результат совместной работы наших отделов разработки продукции, качества и закупок. Аналогичным образом специалисты, обладающие взаимодополняющими знаниями, вместе работают над выбором компонентов, осуществляют постоянный мониторинг поставщиков и запчастей, а также занимаются проверками поставщиков на месте.

Мы используем систему рейтинга поставщиков, в которой каждый поставщик оценивается по цене, качеству, характеристикам, инновациям, условиям доставки и обслуживания. При составлении этого рейтинга мы оцениваем несколько областей риска:

• Место производства
• Сроки выполнения заказов
• Финансовое состояние
• Методики пополнения запасов
• Вид технологии
• Своевременная доставка

Чтобы гарантировать нашим клиентам сроки доставки и целостность поставляемой продукции, мы применяем такие же процессы отбора к компаниям, занимающимся транспортировкой и отгрузкой.

Развитие партнерских отношений с поставщиками

Ежегодно мы проводим конференцию для компаний, которые поставляют нам комплектующие, оборудование и предоставляют услуги. На ней мы делимся своими потребностями в технологической сфере и стратегическими целями на предстоящий год и определяем пути взаимовыгодного развития партнерских отношений с более чем 200 поставщиками.

Наше взаимодействие с поставщиками также предусматривает проведение аудитов на объектах поставщиков, в ходе которых мы проверяем, соответствуют ли их процессы качества и безопасности нашим требованиям.

Знать только наших поставщиков первого уровня для нас недостаточно. Мы просим их указать своих поставщиков первого уровня, а также ключевые риски, стратегии их минимизации и методологии пополнения запасов.

Конфиденциальность

Чтобы обеспечить необходимую безопасность информации о продукции и запчастях при работе с поставщиками, мы не передаем наши спецификации и не рассылаем проектные схемы. Мы направляем прогнозные перечни с указанием номеров по каталогу, не имеющих прямой связи с конкретным устройством.

Чтобы гарантировать целостность нашей продукции, мы, всегда когда это возможно, закупаем компоненты напрямую у производителя или у официальных дистрибьюторов. Затем мы проверяем характеристики приобретенных компонентов на соответствие спецификациям поставщика.

Если компоненты поставляются независимыми дистрибьюторами, у нас имеется несколько методов обнаружения контрафактной продукции, которыми мы пользуемся. Среди них функциональное тестирование и микроскопия, рентгеновский контроль, рентгенофлуоресцентный анализ и проверки посредством вскрытия.

Мы тестируем нашу продукцию на протяжении всего производственного процесса. Если обнаруживаются отклонения в эксплуатационных характеристиках, мы ищем причины несоответствия.

Минимизация опасности прерывания цепочек поставок

Будучи американской компанией, мы в максимально возможной степени закупаем материалы в США.

Мы работаем с поставщиками, чтобы обеспечить наличие у нас и у них достаточного количества запчастей специального назначения и потенциально дефицитных запчастей. По возможности мы стремимся гарантировать, что критически важные компоненты могут быть получены как минимум от двух соответствующих критериям отбора поставщиков.  

Мы не раскрываем исходный код или схемы.

Мы разрабатываем большую часть программного обеспечения внутри компании, что дает преимущество в отношении контроля качества и возможность быстро вносить исправления. Если мы добавляем в наши прошивки сторонние компоненты, мы приобретаем исходный код.

Доступ к коду имеют только инженеры отдела исследований и разработок SEL, работающие над данными проектами.

Тщательное внутреннее тестирование

Все испытания программного обеспечения и микропрограмм выполняются внутри SEL сотрудниками SEL.

У нас внедрен процесс, который включает в себя отзывы коллег-разработчиков и позитивное и негативное тестирование. Мы также используем автоматизированные инструменты проверки кода, чтобы определить потенциальные проблемы, которые разработчики могли упустить.

Цифровые подписи SEL и хэш-суммы

Программное обеспечение с цифровой подписью позволяет проверить, что файлы программного обеспечения являются подлинными, то есть созданы SEL, и не были изменены или подделаны.

Аппаратное обеспечение SEL прозрачным образом проверяет целостность файлов микропрограмм в процессе обновления микропрограмм, используя встроенные в микропрограмму данные. В случае несоответствия устройство SEL отклоняет файл прошивки и прерывает процесс обновления.

Мы предлагаем хэши встроенного программного обеспечения в качестве дополнительного инструмента проверки целостности файлов прошивок SEL.  

Информационная безопасность и меры физической защиты SEL являются многоуровневыми и соответствуют международным стандартам. Это гарантирует, что все устройства и службы SEL работают надежным образом, а все данные, доверенные SEL, защищены.

Защита информации

Мы защищаем информацию о клиентах как в рамках экономических отношений, так и в рамках услуг технической поддержки. Это включает в себя защиту информации заказчика, содержащейся в устройствах, возвращаемых для ремонта.

Когда для технической поддержки необходим удаленный доступ, мы используем систему мониторинга и оповещений для документирования и координации управления таким доступом. Мы ограничиваем доступ к проектам и информации внутри организации на основе служебной необходимости.

Когда мы выявляем нарушение безопасности, затрагивающее информацию клиентов, мы уведомляем соответствующие стороны и предлагаем полную поддержку при реализации мер реагирования.

Защита операций

Перед приемом на работу все сотрудники SEL проходят проверку биографии. Работа систем физической защиты объектов и информационной безопасности SEL контролируется и отлеживается в центре обеспечения безопасности, в котором круглосуточно и без выходных работают сотрудники SEL. С целью обнаружения и анализа потенциальных угроз наши сотрудники просматривают публичные и частные информационные потоки.

В целях повышения уровня кибербезопасности мы выходим за рамки стандартов: например, для устранения ряда распространенных сетевых уязвимостей на своем производстве мы внедрили программно-определяемые сети.  

Наша система управления качеством сертифицирована по стандарту ISO 9001, а наши производственные процессы соответствуют классу 3 стандарта IPC-A-610, отвечая требованиям к высоконадежным электронным устройствам, используемых, например, в системах жизнеобеспечения и аэрокосмических системах.

Мы ведем подробный учет производимых нами устройств и встроенных в них компонентов, чтобы в случае чего мы могли уведомить клиентов о потенциальных проблемах с качеством или безопасностью.

Эксплуатационные бюллетени и бюллетени по безопасности

Когда мы выявляем проблему с продукцией, которая несет в себе риск, мы информируем клиентов с помощью эксплуатационного бюллетеня. Мы распространяем эксплуатационные бюллетени как напрямую, так и через наших продавцов.

Эксплуатационные бюллетени содержат объяснение выявленной проблемы, а также ее первопричины, последствия, наблюдаемую интенсивность отказов, корректирующие меры и рекомендуемые действия по техническому обслуживанию.

При обнаружении уязвимости безопасности наши специалисты быстро разрабатывают меры по его устранению и рассылают бюллетень по безопасности, в котором информируют клиентов о уязвимости и описывают рекомендуемые действия.

Определение первопричин

Мы предоставляем десятилетнюю бесплатную гарантию на ремонт или замену всей произведенной SEL продукции, поэтому наши клиенты имеют возможность возвращать нам устройства в случае их выхода из строя.

Специалисты нашей «больницы устройств» изучают возвращенные устройства, чтобы найти причины отказа; каждый возврат по гарантии помогает нам улучшать процессы проектирования, производства и поставок.