Hvad er IEC/ISA 62443-3-3:2013? Cybersikkerhed og overholdelse

International Society of Automation (ISA) og International Electrotechnical Commission (IEC) begyndte at skabe 62443-serien af standarder i 2002. Serien, som omfatter IEC/ISA 62443-3-3, blev oprindeligt omtalt som ISA99-serien og indeholdt standarder for sikkerhed i industriel automatisering og kontrolsystemer (IACS) skabt efter vejledning fra American National Standards Institute (ANSI)

IEC/ISA 62443-3-3: 2013 definerer systemkrav (SR'er) og kravforbedringer (RE'er), der er nødvendige for at overholde de grundlæggende krav (FR'er) og principper, der er anført i del 1:1 af 62443-serien af standarder.

Fortsæt med at læse for at lære mere om IEC 62443-3-3, og hvordan din organisation kan integrere forskellige sikkerhedsstandarder for at overholde FR'erne i 62443-serien.

Opdag, hvordan UpGuard hjælper organisationer med at forsvare sig mod cybertrusler>

ISA/IEC-systemsikkerhedskrav og sikkerhedspolitikker

ISA/IEC 62443-standarderne kræver, at organisationer implementerer flere cybersikkerhedsprincipper for at overholde seriens FR'er. Disse cybersikkerhedsprincipper omfatter:

  • Mindste privilegium: Praksis med at begrænse en brugers adgangsrettigheder, kontoadgang og computerkraft baseret på deres rolle og den adgang, der er nødvendig for at udføre deres rolledefinerede opgaver
  • Forsvar i dybden: Dette princip giver organisationer mulighed for at forsinke eller forhindre cyberangreb i at påvirke kritisk infrastruktur ved at adskille systemer i "zoner", der kommunikerer med hinanden gennem "ledninger"
  • Risikoanalyse: Processen med at identificere og vurdere potentielle farer og risici, der kan påvirke et system eller en organisation negativt ved at anvende risikovurderingsmetoder, praksis og modforanstaltninger
  • Kompenserende sikkerhedsforanstaltninger: IACS-komponenter opfylder ofte ikke kravene til ISA-sikkerhedsniveauer, og kompenserende IACS-sikkerhedsforanstaltninger er nødvendige for at lette løsninger og forbedrede sikkerhedskapaciteter
  • Zoner og ledninger: 62443-serien anbefaler en systemarkitektur, der refererer til ISA95 og bruger flere zoner og ledninger

Nøglepublikationer i 62443-serien

62443-serien opdeler sig i fire dele: moduler om generelle emner, politikker og procedurer, systemer og komponenter og krav.

  • IEC 62443-1-1 (Koncepter og moduler): Del 1:1 af 62443 skitserer industrielle proceskoncepter (herunder FR'er), der anvendes i hele serien og de moduler, serien omfatter.
  • IEC 62443-2-1 (Sikkerhedsprogramkrav for IACS-aktivejere): ISA-62443-2-1 hjælper produktleverandører og operatører af automatiseringsløsninger og definerer sikkerhedsprocedurer, som ejere bør følge, mens de driver IACS-netværkssikkerhedsstyringssystemet.
  • IEC 62443-2-4 (Krav til IACS-tjenesteudbydere): Del 2:4 indeholder 12 afsnit, der definerer krav til IACS-integratorer.
  • IEC 62443-3-2 (Sikkerhedsrisikovurdering og systemdesign): Del 3:2 fastlægger målsikkerhedsniveauer (SL-T) for anbefalede zoner og ledninger og dokumenterer sikkerhedskrav til systemdesign.
  • IEC 62443-4-1 (Krav til sikker produktudvikling: Del 4:1 er opdelt i otte sikre udviklingslivscykluspraksisser og omfatter krav til test af sikkerhedsfunktioner, patch management, håndtering af sårbarheder osv.
  • ISA/IEC 62443-4-2 (Tekniske sikkerhedskrav til IACS-komponenter): Del 4:2 indeholder tekniske krav til systemkomponenter og indlejrede enheder og definerer typiske komponentsikkerhedsbegrænsninger (CCSC'er).

ISA/IEC 62443-3-3

Del 3:3 af ISA/IEC 62443-serien af standarder definerer de SR'er, som organisationer skal implementere for at nå de FR'er, der er anført i del 1:1. Hver FR gælder på tværs af fem sikkerhedsniveauer (SL'er), som brugerne kan overholde afhængigt af resultaterne af deres risikoanalyse og sårbarhedsstyringsprotokoller.

De fem SL'er for hver FR er:

  • Niveau 0: Ingen specifik beskyttelse nødvendig
  • Niveau 1: Beskyttelse, der er nødvendig for tilfældige eller tilfældige begivenheder
  • Niveau 2: Beskyttelse, der er nødvendig for tilsigtede eller ondsindede brugere, der bruger begrænsede ressourcer, færdigheder på lavt niveau og lav motivation
  • Niveau 3: Beskyttelse, der er nødvendig for tilsigtede eller ondsindede brugere, der bruger moderate ressourcer, målrettede færdigheder og moderat motivation
  • Niveau 4: Beskyttelse, der er nødvendig for tilsigtede eller ondsindede brugere ved hjælp af avancerede ressourcer, avancerede færdigheder og høj motivation

Disse fem SL'er giver organisationer mulighed for at skræddersy beskyttelse til deres specifikke behov, krav og opfattede kompleksitet af potentielle trusler.

Visuel repræsentation af de fem sikkerhedsniveauer (SL'er) i 62443-serien.

Grundlæggende krav & 62443-3-3 Systemkrav

FR'erne i 62443-serien omfatter internationale standarder for at sikre informationssikkerhed og beskytte driftsteknologi. 62443-3-3 hjælper brugerne med at overholde følgende syv FR'er:

  • FR 1: Identifikation, autentificeringskontrol og adgangskontrol (AC)
  • FR 2: Brug kontrol (UC)
  • FR 3: Systemintegritet (SI)
  • FR 4: Datafortrolighed (DC)
  • FR 5: Begrænset dataflow (RDF)
  • FR 6: Rettidig reaktion på begivenheder (TRE)
  • FR 7: Ressourcetilgængelighed (RA)

Systemkrav til FR 1

Det første grundlæggende krav i 62443-serien er centreret omkring identifikation, autentificeringskontrol og adgangskontrol (AC). Her er de systemkrav, der er nødvendige for at overholde FR i henhold til del 3:3.

  • 1.1 Identifikation og autentificering af menneskelige brugere: Alle menneskelige netværksbrugere skal identificeres og autentificeres entydigt
  • 1.2 Softwareproces og enhedsidentifikation og -godkendelse: Alle enheder skal identificeres og autentificeres af sikre systemgrænseflader
  • 1.3: Kontostyring: Systemet skal være i stand til at håndtere maksimal brugerbåndbredde og administrere alle brugerkonti komfortabelt
  • 1.4: Identifikatorstyring: Systemet skal understøtte alle bruger-, gruppe-, rolle- og grænsefladeidentifikatorer
  • 1.5: Autentificeringsstyring: Brugere skal have procedurer og et godkendelsesstyringssystem på plads for at sikre, at adgangskoder er unikke
  • 1.6: Trådløs adgangsstyring: Systemet skal kunne identificere og godkende alle trådløse brugere
  • 1.7: Styrken af adgangskodebaseret godkendelse: Systemet skal være i stand til at håndhæve minimumskrav til adgangskoder
  • 1.8: PKI-certifikater (Public Key Infrastructure): Certifikater skal validere nøgleindehavere og sikre, at de er legitime
  • 1.9: Styrken af godkendelse af offentlig nøgle: Systemet skal være i stand til at håndhæve minimumskrav til PKI
  • 1.10: Autentificeringsfeedback: Systemet bør ikke vise tegnene i en adgangskode, når det indtastes af en bruger
  • 1.11: Mislykkede loginforsøg: IACS bør kun tillade et bestemt antal mislykkede loginforsøg og fastsætte spærringstider for godkendelsesfejl
  • 1.12: Meddelelse om systembrug: Systemet skal vise brugsmeddelelser, der advarer mod uautoriseret brug og forbyder registreret brug
  • 1.13: Adgang via ikke-pålidelige netværk: Kompatible IFKS'er bør have mulighed for at kontrollere adgangen fra ikke-pålidelige netværk

Systemkrav til FR 2

Den anden FR i 62443-serien vedrører brugskontrol (UC). Her er systemkravene, der er angivet i ISA 62443-3-3:

  • 2.1: Håndhævelse af autorisation: Systemet skal være i stand til at håndhæve autorisation på alle brugere, roller og parametre
  • 2.2: Trådløs brugskontrol: Systemets trådløse netværk bør overvåge og håndhæve begrænsninger for fjernadgangshændelser ved hjælp af branchens sikkerhedspraksis
  • 2.3: Brug kontrol til bærbare og mobile enheder: Controllere skal designe IACS, så brugen af bærbare og mobile enheder kan overvåges og kontrolleres
  • 2.4: Mobilkode: Enhver kode, der hentes uden for systemet, skal verificeres for at forhindre manipulation og ondsindede aktiviteter
  • 2.5: Sessionslås: IACS bør ikke bruge sessionslåse til at styre kritiske funktioner
  • 2.6: Fjernsessionsafslutning: Systemet skal være i stand til at afslutte fjernsessioner efter inaktivitet, eller efter at brugeren har initieret en sådan handling
  • 2.7: Kontrol af samtidige sessioner: Samtidige sessioner skal administreres og kontrolleres baseret på brugergodkendelsesstandarder
  • 2.8: Hændelser, der kan revideres: Kontrolsystemerne skal kunne registrere hændelser, der kan revideres, i systemloggen
  • 2.9: Overvågning af lagerkapacitet: Systemets lagerkapacitet skal være stor nok til at gemme de påkrævede overvågningslogge
  • 2.10: Reaktion på revisionsbehandlingsfejl: Systemet skal advare operatører og fortsætte adgangen til væsentlige funktioner under revisionsbehandlingsfejl
  • 2.11: Tidsstempler: Alle overvågningsposter skal bruge tidsstempler

Systemkrav til FR 3

Den tredje FR i 62443-3-3 omhandler systemintegritetskontrol. Her er systemkravene til FR 3:

  • 3.1: Kommunikationsintegritet: Oplysninger, der overføres ind og ud af systemet, bør beskyttes ved hjælp af interne og eksterne løsninger
  • 3.2: Beskyttelse mod ondsindet kode: IACS bør bruge antivirusløsninger til at beskytte sig mod ondsindet kode
  • 3.3: Verifikation af sikkerhedsfunktionalitet: Under testfaser og vedligeholdelsesprocedurer bør IFKS verificere alle sikkerhedsfunktioner og rapportere alle afvigelser
  • 3.4: Software- og informationsintegritet: En SIEM-løsning skal registrere, registrere, rapportere og beskytte inaktive oplysninger
  • 3.5: Validering af input: IFKS skal validere alle input, der direkte påvirker kontrolsystemet og alle procesinput
  • 3.6: Deterministisk output: Output skal vende tilbage til en foruddefineret tilstand, når IFKS ikke kan opnå regelmæssig drift
  • 3.7: Fejlhåndtering: IFKS bør reagere og genoprette efter fejlforhold hurtigt
  • 3.8: Sessionsintegritet: Systemet skal have mulighed for at afvise ugyldige sessions-id'er og installere sessionsbaserede protokoller
  • 3.9: Beskyttelse af revisionsoplysninger: Revisionsoplysninger skal krypteres for at beskytte dem under transmission og hvile

Systemkrav til FR 4

Grundlæggende krav 4 sikrer, at regulerede systemer følger bedste praksis for datafortrolighed. Her er systemkravene til FR 4:

  • 4.1: Fortrolighed af oplysninger: Fortrolige oplysninger bør beskyttes i hvile og under overførsel
  • 4.2: Informationspersistens: Systemet skal være i stand til at hente tidligere information og data i efterfølgende sessioner
  • 4.3: Brug af kryptografi: Alle kryptografialgoritmer, der bruges af systemet, skal overholde branchens bedste praksis (herunder algoritmer, der bruges til sikkerhedskopiering)

Systemkrav til FR 5

FR 5 begrænser, hvordan dataflow kan forekomme på tværs af en organisations IACS. Her er systemkravene til FR 5:

  • 5.1: Netværkssegmentering: Personalet bør isolere netværkssegmenter, når det er muligt, og implementere risikovurderinger for at reducere risikoen for en cyberhændelse
  • 5.2: Zonegrænsebeskyttelse: Netværksadgangsprotokoller bør håndhæves for at installere beskyttelse ved zonegrænser
  • 5.3: Generelle begrænsninger for person-til-person-kommunikation: IACS bør have mulighed for at forhindre beskeder i tilfælde af et ondsindet angreb
  • 5.4: Applikationspartitionering: Applikationer bør partitioneres baseret på kritikalitet og på en måde, der implementerer en brancheaccepteret zoneinddelingsmodel

Systemkrav i FR 6

Det sjette grundlæggende krav i 62443-serien sikrer, at IACS-operatører installerer standarder for rettidig reaktion på hændelser under udviklingsprocessen. Her er de reelle redegørelser for FR 6:

  • 6.1: Tilgængelighed af overvågningslog: Systemet bør kun give autoriserede brugere skrivebeskyttet adgang til revisionslogfiler og ikke være i stand til at ændre logfilerne
  • 6.2: Kontinuerlig overvågning: Personalet bør installere løbende overvågningsprotokoller for at sikre konstant opmærksomhed og støtte risikobeslutninger

Systemkrav i FR 7

Det sidste grundlæggende krav til 62443-serien omfatter protokoller til styring af ressourcetilgængelighed. Her er de SR'er, der er anført i IEC 62443-3-3 for FR 7:

  • 7.1: DoS-beskyttelse: IACS skal fungere i en forudbestemt forringet tilstand, når der opstår et denial of service-angreb
  • 7.2: Ressourcestyring: Systemstandarder skal styre allokeringen af ressourcer og forhindre ressourceudmattelse
  • 7.3: Kontrolsystembackup: Opdaterede sikkerhedskopier skal altid være tilgængelige for at implementere en komplet systemgendannelse i tilfælde af en systemfejl
  • 7.4: Kontrol Systemgendannelse og rekonstitution: Systemarbejdsgange skal sikre, at systemet kan vende tilbage til en sikker tilstand hurtigt og effektivt
  • 7.5: Nødstrøm: Sikkerhedstilstande og forringede tilstande bør ikke påvirkes, når IACS skifter fra standard- til nødstrøm
  • 7.6: Netværks- og sikkerhedskonfigurationsindstillinger: IACS skal opfylde branchens bedste praksis for netværkssikkerhed
  • 7.7: Mindst funktionalitet: Unødvendige funktioner bør begrænses og administreres for at beskytte ressourcer under sikkerhedshændelser
  • 7.8: Kontrolsystemkomponentopgørelse: IFKS bør vedligeholde og forvalte en ajourført opgørelse over alle kontrolsystemkomponenter

Sådan overholder du ISA's sikkerhedsstandarder

Enhver organisation, der er interesseret i at overholde ISA's 62443-seriens sikkerhedsstandarder, skal dele ansvaret på tværs af afdelinger. 62443-serien kræver, at vigtige cybersikkerhedsinteressenter samarbejder og sikrer, at alle komponenter i deres IFKS forsvarer sig mod cyberrisici og sårbarheder.

En organisations medarbejdere, standarder, cybersikkerhedsmålinger og kultur vil alle spille en afgørende rolle i at overholde de grundlæggende krav og systemkrav, der findes i hele 62443-serien. Serien udnytter også de grundlæggende søjler i NIST Cybersecurity Framework (NIST CSF), som it- og cybersikkerhedsprofessionelle typisk er mere fortrolige med.

Hovedprincipperne i NIST CSF omfatter:

  • Opdag: Personalet bør overvåge og vurdere alle systemkomponenter regelmæssigt for at forudse, identificere og forhindre systemrisici og ondsindet aktivitet
  • Segment: Systemer bør segmenteres, hvor det er muligt, for at afbøde den indvirkning, cyberangreb og sikkerhedshændelser kan have på et system
  • Registrer: Personalet skal installere procedurer og protokoller for løbende at opdage nye sårbarheder og risici på tværs af systemet
  • Svar: Organisationer bør udnytte hændelsesrespons og forretningskontinuitetsplaner til at fremskynde hændelsesstyring og systemreparation

UpGuards cybersikkerhedsløsninger kan hjælpe organisationer med at opfylde mange af ISA's 62443-3-3-systemkrav. Samtidig kan UpGuard BreachSight og Vendor Risk hjælpe brugere med kritiske cybersikkerhedskoncepter, herunder styring af angrebsflader, leverandørrisikostyring, hændelsesrespons, netværkssikkerhed osv.

De komplette funktioner i BreachSight og Vendor Risk omfatter:

  • Detektion af datalækage: Beskyt dit brands omdømme, intellektuelle ejendom og kundedata med rettidig registrering af datalækager
  • Løbende overvågning: Få opdateringer i realtid, og administrer eksponeringer på tværs af din angrebsflade, herunder domæner, IP'er, apps, slutpunkter, plugins og firewalls
  • Reduktion af angrebsflade: Reducer din angrebsflade ved at opdage sårbarheder, der kan udnyttes, og domæner, der risikerer typosquatting
  • Delt sikkerhedsprofil: Opret en UpGuard Shared profil for at eliminere besværet med at besvare sikkerhedsspørgeskemaer
  • Arbejdsprocesser og dispensationer: Strømlin afhjælpningsarbejdsgange, frafald hurtigt risici, og svar på sikkerhedsforespørgsler
  • Rapportering og indsigt: Få adgang til skræddersyede rapporter til forskellige interessenter, og se oplysninger om din eksterne angrebsflade
  • Spørgeskemaer til leverandørsikkerhed: Automatiser sikkerhedsspørgeskemaer for at få dybere indsigt i dine leverandørrelationer og tredjeparts sikkerhedsstilling
  • Sikkerhedsvurderinger: Vurder de enkelte leverandørers sikkerhedsniveau ved hjælp af vores datadrevne, objektive og dynamiske sikkerhedsvurderinger
  • Risikovurderinger: Strømlin arbejdsgange for risikovurdering, indsaml beviser, og anmod hurtigt om afhjælpning