Área

Elemento de acción

Concientización y sensibilización

Llevar a cabo programas de concientización sobre seguridad cibernética y ejercicios de seguridad cibernética, incluidos simulacros y ejercicios de mesa, al menos una vez cada seis meses;

Almacenamiento y residencia de datos

Garantizar que la información y los datos sensibles, incluidos aquellos alojados en la nube,

así como la información e historial de datos, se almacenen en un entorno cifrado, seguro y protegido,

y residan únicamente dentro de la India;

Acuerdos con proveedores

Incluir todos los requisitos de seguridad cibernética, así como las reglas y regulaciones aplicables en la materia emitidas por el Gobierno Central y el Acuerdo de Confidencialidad (NDA) en el Acuerdo de Nivel de Servicio (SLA) con los proveedores, según se especifica en la Política de Seguridad Cibernética,

Copias de seguridad

Garantizar copias de seguridad en línea y fuera de línea de todos los sistemas críticos en un entorno separado, seguro y protegido, tal como se especifica en la política de seguridad cibernética;

Auditorías de amenazas y riesgos

Facilitar una auditoría integral de seguridad cibernética que abarque todos los sistemas críticos, tal como se especifica en la regulación 13, al menos una vez en cada año financiero, pero con un intervalo mínimo y máximo de nueve meses y quince meses, respectivamente, entre dos auditorías consecutivas.

Garantizar que la auditoría de seguridad cibernética, que incluye la evaluación de vulnerabilidades y las pruebas de penetración, se realice antes de la puesta en servicio de cualquier sistema crítico nuevo, incluido el reemplazo de dicho sistema, y gestionar

las vulnerabilidades y riesgos del sistema crítico según el mecanismo definido en la Política de Seguridad Cibernética. No se pueden realizar tres auditorías consecutivas por la misma organización o personal de auditoría.

Registro de activos

Mantener un registro de activos:

(a) para todos los ciberactivos junto con los detalles requeridos, incluyendo propiedad, hardware, firmware, software y parches, según el procedimiento definido en la Política de Seguridad Cibernética;

(b) registrando los detalles de todos los sistemas críticos junto con la información necesaria, incluyendo su configuración, hardware, software, arquitectura de red que describa los flujos de datos y protocolos de comunicación

utilizados en ellos:

Siempre que dicho registro se revise y actualice al menos una vez en cada año financiero o tras la puesta en servicio de cualquier ciberactivo o sistema crítico nuevo, incluidos sus reemplazos, lo que ocurra primero;

Evaluación de Ciberriesgos y Plan de Mitigación

Mantener un Plan de Evaluación de Ciberriesgos y Mitigación para todos los activos detallados en el registro de ciberactivos, conforme al procedimiento definido en la Política de Seguridad Cibernética:

Siempre que dicho Plan se actualice al menos una vez cada seis meses y se revise al menos una vez en cada año financiero, y que se implemente para gestionar las vulnerabilidades, amenazas y riesgos asociados;

Puesta en servicio de nuevos equipos

Suministrar la información pertinente, incluidos los detalles del sistema y la funcionalidad de todos los nuevos sistemas críticos puestos en servicio (incluidos los reemplazados), de acuerdo con el registro de activos asociados a sistemas críticos, al Equipo de Respuesta a Incidentes de Seguridad Informática del Sector Eléctrico (CSIRT-Power) dentro de los treinta días posteriores a dicha puesta en servicio o reemplazo;

Identificación de CII

Proporcionar la información pertinente al Centro Nacional de Protección de Infraestructura de Información Crítica (NCIIPC) para la identificación de la Infraestructura de Información Crítica (CII). Además, dentro de los sesenta días posteriores a que un activo sea identificado como

Infraestructura de Información Crítica por el NCIIPC, la entidad deberá dirigirse al Gobierno Competente para notificar dicho activo como un Sistema Protegido;

Accesibilidad de CII desde redes externas

Garantizar que la Infraestructura de Información Crítica y el Sistema Protegido no sean localizables en plataformas públicas, a menos que lo apruebe el director o la junta directiva de la entidad, según corresponda, en función de los requisitos comerciales, la criticidad y la evaluación de riesgos de dicho sistema;

FAT y Pruebas de Aceptación en Sitio

Garantizar que el proceso de adquisición exija la inclusión de Pruebas de Aceptación en Fábrica (FAT) y Pruebas de

Aceptación en Sitio (SAT), que incluyan pruebas de los requisitos de seguridad cibernética;

Capacitación del personal del proveedor

Garantizar que todo el personal, incluido el contratado por los proveedores para la operación y el mantenimiento diario de todos los sistemas críticos, haya realizado obligatoriamente los cursos de seguridad cibernética designados para el

sector eléctrico;

Separación física de redes conectadas con sistemas críticos

Garantizar que los sistemas, redes y aplicaciones asociados con la seguridad física de los sistemas críticos estén físicamente separados de la red de dichos sistemas críticos:

Siempre que, en caso de que dicha separación física no sea viable, con la aprobación del director de la entidad, los sistemas, redes y aplicaciones en cuestión se separen lógicamente de las redes de dichos sistemas críticos;

Respuesta a incidentes y recuperación

Mantener un Plan de Respuesta a Incidentes y Recuperación, tal como se especifica en la Política de Seguridad Cibernética, para recuperarse de ciberincidentes y reanudar las operaciones normales a la brevedad: Siempre que dicho plan se revise y actualice al menos una vez cada seis meses;

Monitoreo

Contar con vigilancia y monitoreo continuo de los sistemas de Tecnología de la Información y de Tecnología de Operación, según corresponda, para la identificación de amenazas y vulnerabilidades, y proporcionar el soporte de respuesta a incidentes y remediación correspondiente;

Registros de dispositivos de seguridad

Garantizar que los registros (logs) de todos los dispositivos de seguridad implementados en el Perímetro de Seguridad Electrónica estén habilitados para registrar el intercambio de datos e información que fluye a través de dichos dispositivos;

Revisión de políticas

Garantizar la revisión y actualización periódica, al menos una vez al año, de las reglas y políticas de los dispositivos de seguridad perimetral;

Adquisiciones

Garantizar que los equipos y servicios de Tecnología de la Información se adquieran de fuentes confiables, de acuerdo con las órdenes, directrices o lineamientos emitidos por el Gobierno Central periódicamente;

Divulgación de vulnerabilidades e incidentes

Contar con programas estructurados de divulgación y gestión de vulnerabilidades con los proveedores y el CSIRT-Power. Mantener un registro de todos los incidentes de seguridad cibernética junto con los detalles pertinentes, según el formato prescrito por el CSIRT-Power;

Requisitos adicionales para operadores de TO

Aislamiento físico

Garantizar el aislamiento físico del sistema de Tecnología de Operación tanto de internet como del sistema de Tecnología de la Información. Siempre que, en caso de que dicho aislamiento del sistema de TI no sea posible debido a requisitos comerciales, se pueda permitir la interconexión entre TI y TO, según el procedimiento definido en la Política de Seguridad Cibernética, con una separación lógica adecuadamente robustecida entre el sistema de TO y el de TI, basándose en la evaluación de riesgos de dicha interconexión y la aprobación del director o la junta directiva de la entidad, según corresponda.

Siempre que, además, dicha interconexión sea monitoreada continuamente para la detección de actividades maliciosas y sus medidas correctivas correspondientes:

Siempre que, asimismo, dicha aprobación y los registros asociados a la interconexión se conserven durante el período especificado en la política de retención de datos;

Seguridad perimetral

Garantizar el despliegue de dispositivos de seguridad cibernética perimetrales adecuados, incluyendo cortafuegos (firewalls) en el punto de interconexión del sistema de TO con el sistema de comunicación del sistema eléctrico, de modo que cumpla, entre otros requisitos, con la detección y filtrado de protocolos y tráfico relacionados con TO; filtrado basado en contenido, usuario y aplicaciones; inspección profunda de paquetes (DPI), detección de intrusiones; geolocalización limitada (geo-fencing); actualizaciones controladas por el usuario; detección basada en firmas y anomalías de comportamiento y su filtrado correspondiente:

Siempre que las actualizaciones, incluidas las firmas para los dispositivos que forman parte de dicho sistema de seguridad, se realicen en modo fuera de línea, según se especifica en la Política de Seguridad Cibernética;

Intercambio de información

Garantizar que el control y la operación de los elementos del sistema eléctrico y el intercambio de su información, incluidos los datos en tiempo real, se realicen a través de un canal de comunicación dedicado y aislado de internet mediante dispositivos de seguridad cibernética perimetral, y se limiten únicamente a las fronteras nacionales:

Siempre que para las entidades que tengan requisitos comerciales o elementos de sistemas eléctricos transfronterizos, se pueda permitir el intercambio de información y datos en tiempo real, según lo identificado en la Política de Seguridad Cibernética, más allá de las fronteras nacionales únicamente a través de un sistema de comunicación dedicado e independiente y una pasarela unidireccional, aislada de internet y junto con dispositivos de seguridad cibernética para transmitir y recibir, con la condición de que dicha información y datos se monitoreen continuamente para detectar cualquier anomalía o intento no autorizado;

Siempre que, además, en el caso de intercambio de información y datos en tiempo real asociados con consumidores finales, este pueda permitirse a través de una conexión segura y aislada del acceso público, con la condición de que el intercambio de información y datos sensibles sobre dicha conexión esté cifrado para garantizar su confidencialidad, integridad y privacidad;

Operación remota

Garantizar que si la operación remota es necesaria por requisitos comerciales, esta se realice dentro de la India, con la aprobación previa del director o la junta directiva de la entidad, según corresponda, conforme al procedimiento especificado en la Política de Seguridad Cibernética;

Cumplimiento de órdenes

Garantizar que todos los equipos, componentes y partes de Tecnología de Operación implementados para el control y la operación del sistema eléctrico cumplan con las órdenes emitidas por el Gobierno Central;

Segmentación

Garantizar que el entorno de Tecnología de Operación esté segmentado en diferentes niveles de confianza según la criticidad, los requisitos de seguridad y la evaluación de riesgos;

Seguridad de las comunicaciones

Garantizar que el sistema de comunicación, particularmente el canal que abastece los datos e información de TO entre las dos entidades, esté protegido por el propietario de dicho sistema contra amenazas de seguridad cibernética.

Gobernanza del CISO

CISO + CISO Alterno, informes, permanencia, cualificaciones

Continuo

Carta de nombramiento, descripción de puesto, organigrama

Registro de Ciberactivos

Mantener un registro completo de ciberactivos/sistemas críticos

Anual + ante nuevo activo

Registro de activos

Evaluación de Ciberriesgos

Mantener el CRAMP

Actualización ≥6 meses

Registro de riesgos

Auditoría de Ciberseguridad

Auditoría integral

Anual; intervalo de 9 a 15 meses

Informe de auditoría

Nuevos Sistemas Críticos

Auditoría + VAPT antes de la puesta en servicio

Antes de la puesta en servicio

Evidencia de VAPT/auditoría

Reporte de Incidentes

Reportar al CSIRT-Power + CERT-In

≤6 horas

Registros de incidentes

Aislamiento de TO

Separación física / separación lógica aprobada y robustecida

Continuo

Arquitectura + aprobaciones

Monitoreo de TO

Vigilancia continua de IT/TO

Continuo

Registros de NDR/SIEM

CII

Enviar información al NCIIPC

Según corresponda

Correspondencia con el NCIIPC

Certificación ISO/Técnica

Certificación que cubra sistemas críticos

Según se notifique por separado

Certificado