Sikkerhed for industrielle kontrolsystemer: ISA 62443-2-1:2009

ISA-62443-serien af standarder, udviklet af International Society of Automation (ISA), er et omfattende sæt retningslinjer til sikring af sikkerheden for industrielle automatiserings- og kontrolsystemer (IACS).

ISA 62443-2-1:2009 er en specifik standard inden for denne serie, der fokuserer på at etablere et sikkerhedssystem til industriel automatisering og kontrolsystemer. Fordi mange af disse systemer leverer kritisk infrastruktur, er det vigtigt at beskytte dem mod enhver sikkerhedshændelse, der kan forstyrre driften. Denne blog beskriver de vurderinger, der er skitseret i ISA 62443-2-1:2009, og hvorfor IACS bør prioritere dem.

Automatiser dine spørgeskemaer til sikkerhedsvurdering med UpGuard->

ISA-62443-serien af standarder

ISA-62443-standarderne beskriver IACS-vurderinger, der sikrer, at organisationer fuldt ud beskytter deres kritiske systemer mod betydelige fysiske og digitale trusler. Et IACS, eller Industrial Automation and Control System, refererer til en samling af netværkssystemer, der bruges til at betjene og automatisere industrielle processer.

Eksempler omfatter programmerbare logiske controllere (PLC'er), distribuerede kontrolsystemer (DCS), overvågningskontrol- og dataindsamlingssystemer (SCADA), menneske-maskine-grænseflader (HMI'er) og sensornetværk og aktuatorer.

ISA-62443-standarderne, der tidligere var kendt som ISA99-standarder, er afgørende for at opretholde sikkerheden i forskellige brancher. Standarderne giver en struktureret og systematisk tilgang til sikring af industrielle kontrolsystemer, der er kritiske i forskellige sektorer såsom fremstilling, energi, vandbehandling osv. Serien indeholder:

• Generelle begreber og modeller (ISA-62443-1): Dette afsnit giver et grundlag for serien og skitserer definitioner, begreber og modeller, der bruges i IACS-sikkerhed.
• Etablering af et sikkerhedssystem til industrielle automatiserings- og kontrolsystemer (ISA-62443-2): Dette afsnit fokuserer på at skabe og vedligeholde et IACS-sikkerhedsprogram, herunder risikovurdering, håndtering af sårbarheder og beskyttelsesforanstaltninger.
• Systemsikkerhedskrav og sikkerhedsniveauer (ISA 62443-3): Dette afsnit indeholder en liste over specifikke krav til IFKS-sikkerhed, definerer sikkerhedsniveauer og skitserer krav for at nå disse niveauer.
• Tekniske krav til IACS-komponenter (ISA 62443-4): Dette afsnit forklarer tekniske krav til IACS-komponenter, såsom krav til sikre produktudviklingslivscyklusser og systemintegrationer.

Kernekomponenter i ISA 62443-2-1:2009

Den anden standard i ISA 62443-serien er fokuseret på at etablere et sikkerhedssystem til industriel automatisering og kontrolsystemer. Denne standard skitserer især de cybersikkerhedselementer, der er nødvendige for at administrere et IFKS, og guider brugerne til at opfylde kravene til hvert element.

Denne standard skitserer fire hovedområder, som IACS skal prioritere, med specifikke elementer inden for hvert område, der skal identificeres og evalueres.

• Vurdering af programmer for sikkerhed og beskyttelse af personlige oplysninger
• Vurdering af infrastruktursikkerhed
• Vurdering af fysisk sikkerhed og datacentersikkerhed
• Vurdering af applikationssikkerhed

Vurdering af programmer for sikkerhed og beskyttelse af personlige oplysninger

Et program for informationssikkerhed og beskyttelse af personlige oplysninger er et omfattende sæt politikker, retningslinjer og processer til at identificere og håndtere trusler og risici for virksomhedens oplysninger og systemer. For IACS er vurderinger af sikkerheds- og privatlivsprogrammer afgørende. Dette afsnit af ISA 62443-2-1:2009 fokuserer på, om en organisation har et etableret sikkerhedsprogram, og hvis ikke, skitserer de vigtigste områder, der skal overvejes, når der oprettes et.

Et etableret sikkerheds- og privatlivsprogram hjælper med at sikre, at kundeoplysninger opbevares sikkert. Denne standard vurderer nøgleområder, herunder:

• Sikkerhed og beskyttelse af personlige oplysninger: Etablerede sikkerhedsprogrammer og sikkerhedskontroller
• Personalesikkerhed: Adgangskontrol, adgangskodeprotokoller, fortrolighedsaftaler, informationssikkerhed og privatlivstræning for medarbejdere mv.
• Overholdelse af love og regler: Proces til at identificere, dokumentere og fastholde relevante lovmæssige, regulatoriske og kontraktmæssige krav

Vurdering af infrastruktursikkerhed

En vurdering af infrastruktursikkerheden er en omfattende evaluering af en IFKS' fysiske og digitale infrastruktur. Dens formål er at identificere eventuelle sårbarheder eller potentielle fejlpunkter, der kan være i fare for cybertrusler.

IACS bruger ofte systemer, der er kritiske for forskellige industrielle processer, så enhver form for brud eller fejl kan have ødelæggende konsekvenser (driftsforstyrrelser, sikkerhedsrisici osv.). Derfor hjælper denne type vurdering med at forstå sikkerhedsniveauet og tilstrækkeligheden af eksisterende sikkerhedsforanstaltninger. Områder i dette afsnit af ISA-62443-2-1:2009 omfatter:

• Netværk: Systemkonfigurationsstyringsværktøjer, firewalls, datakryptering, adskilte systemer, kontinuerlig overvågning osv.
• Servere: Processer til OS-opdateringer og patches, malware-beskyttelsesforanstaltninger osv.
• Klienter (arbejdsstation, bærbare computere osv.): Standarder for klientsystemer, malwarebeskyttelse på klientenheder, personlig adgangskontrol osv.
• Infrastruktursupportaftaler: Supportaftaler for ikke-understøttede operativsystemversioner
• Datastyring: Separate miljøer til udvikling, test og produktion
• Teknisk sikkerhedstest: Penetrationstest, sårbarhedsscanning, sikkerhedstest osv.
• Logføring: Sikkerhedsrelevant hændelseslogføring
• Asset Management: Opdaterede varebeholdninger, sporing af medarbejder/entreprenør/tredjepartsaktiver osv.

Vurdering af fysisk sikkerhed og datacentersikkerhed

Det næste område af ISA-62443-2-1:2009 fokuserer på fysisk sikkerhed og datacentersikkerhed. Denne vurdering evaluerer fysiske sikkerhedsforanstaltninger, der forhindrer uautoriseret adgang til følsomt udstyr og datacentre, hvor en enhed opbevarer komponenterne og dataene i deres IACS.

En omfattende vurdering identificerer fysisk adgangskontrol, overvågningssystemer og miljøkontrol. Denne vurdering evaluerer sikkerhedsniveauet mod cybertrusler som hacking, malware og databrud for digitale aktiver. Denne dobbelte tilgang sikrer robust fysisk og datacentersikkerhed og løbende drift for IACS. Områder i dette afsnit omfatter:

• Sikkerhed på kontoret: Fysiske foranstaltninger som vagter, bevægelsesdetektorer, CCTV, elektronisk adgangskontrol, perimetersikkerhed, automatisk låsning af uovervåget udstyr mv.
• Datacentersikkerhed: Kontrollerede adgangspunkter, afbrydelsesprotokoller, risikovurderinger osv.

Vurdering af applikationssikkerhed

Applikationer spiller en afgørende rolle i styring, overvågning og styring af industrielle processer i et IFKS. Enhver sårbarhed i disse applikationer kan føre til betydelige risici, såsom driftsforstyrrelser, databrud og sikkerhedsrisici.

Udførelse af en omfattende sikkerhedsvurdering af disse applikationer kan hjælpe med at identificere og afbøde sårbarheder, herunder kodningsfejl, utilstrækkelig kryptering eller usikre API'er, som cyberangribere kan udnytte. Den evaluerer også effektiviteten af eksisterende sikkerhedsprotokoller, såsom godkendelses- og autorisationsmekanismer, og sikrer overholdelse af branchestandarder og bedste praksis. Områder i dette afsnit omfatter:

• Sårbarhedsrapportering og -håndtering: Processer til rapportering af sårbarheder, kundeunderretning mv.
• Godkendelse og autorisation: Godkendelsestjenester, adgangskodekrav, SSO-mekanismer osv.
• Softwareudvikling Lifecycle: Sikkerhedsrelaterede krav til applikationer, integritet og fortrolighed af behandlede oplysninger, sikre kodningsprocesser osv.
• 3. parts afhængigheder: Sikkerhedsgennemgange af outsourcingudbydere

UpGuard, BreachSight og VendorRisk automatiserer din vurderingsproces ved hjælp af vores kraftfulde indbyggede sikkerhedsspørgeskemaer. Send standardskabeloner eller brugerdefinerede spørgeskemaer til dine kreditorer, konfigurer forfaldsdatoer for spørgeskemaer, og angiv regelmæssige påmindelser for at sikre, at kreditorer udfylder anmodninger effektivt.

Risici identificeres automatisk på leverandørsvar, så du kan anmode om afhjælpning eller give afkald på dem. Samarbejd med leverandører om at afbøde risici ved hjælp af arbejdsgangen for risikovurdering, korrespondér direkte for specifikke leverandørsvar ved hjælp af reviderbare, indbyggede meddelelser, eller tilføj interne noter.

Vores spørgeskemabibliotek refererer til regler og bedste praksis fra cybersikkerhedsbranchen, herunder:

• SIG Lite Spørgeskema
• ISO 227001 spørgeskema
• Spørgeskema til evaluering af leverandører til videregående uddannelser (HECVAT)
• Spørgeskema til lov om overførsel og ansvarlighed af sundhedsforsikring (HIPAA)
• NIST Cybersecurity Framework Spørgeskema
• COBIT 5 Spørgeskema om sikkerhedsstandard
• Spørgeskema til Californiens lov om forbrugerbeskyttelse (CCPA)
• CIS-kontroller 7.1 Spørgeskema om sikkerhedsstandard
• PCI DSS spørgeskema
• Apache Log4J - Spørgeskema om kritiske sårbarheder