Mikä on IEC/ISA 62443-3-3:2013? Kyberturvallisuus ja vaatimustenmukaisuus

International Society of Automation (ISA) ja International Electrotechnical Commission (IEC) alkoivat luoda 62443-standardisarjaa vuonna 2002. Sarjaa, joka sisältää IEC/ISA 62443-3-3:n, kutsuttiin alun perin ISA99-sarjaksi, ja se sisälsi teollisuusautomaation ja ohjausjärjestelmien turvallisuusstandardit (IACS), jotka oli luotu American National Standards Instituten (ANSI) ohjeiden mukaisesti

IEC/ISA 62443-3-3: 2013 määrittelee järjestelmävaatimukset (SR) ja vaatimusten parannukset (RE), joita tarvitaan 62443-standardisarjan osassa 1:1 lueteltujen perusvaatimusten (FR) ja periaatteiden noudattamiseksi.

Jatka lukemista saadaksesi lisätietoja IEC 62443-3-3:sta ja siitä, miten organisaatiosi voi integroida erilaisia tietoturvastandardeja noudattaakseen 62443-sarjan FR:itä.

Tutustu siihen, miten UpGuard auttaa organisaatioita puolustautumaan kyberuhkia vastaan>

ISA/IEC-järjestelmän turvallisuusvaatimukset ja suojauskäytännöt

ISA/IEC 62443 -standardit edellyttävät, että organisaatiot ottavat käyttöön useita kyberturvallisuusperiaatteita noudattaakseen sarjan FR:itä. Näitä kyberturvallisuusperiaatteita ovat muun muassa seuraavat:

  • Pienin oikeus: Käytäntö, jossa rajoitetaan käyttäjän käyttöoikeuksia, tilin käyttöoikeuksia ja laskentatehoa hänen roolinsa ja roolin määrittämien tehtävien suorittamiseen tarvittavien käyttöoikeuksien perusteella
  • Syvyyspuolustus: Tämän periaatteen avulla organisaatiot voivat viivyttää tai estää kyberhyökkäyksiä vaikuttamasta kriittiseen infrastruktuuriin jakamalla järjestelmät "vyöhykkeisiin", jotka kommunikoivat keskenään "kanavien" kautta
  • Riskianalyysi: Prosessi, jossa tunnistetaan ja arvioidaan mahdollisia vaaroja ja riskejä, jotka voivat vaikuttaa kielteisesti järjestelmään tai organisaatioon, käyttämällä riskinarviointimenetelmiä, käytäntöjä ja vastatoimia
  • Korvaavat turvatoimenpiteet: IACS-komponentit eivät useinkaan täytä ISA:n turvallisuustasovaatimuksia, ja korvaavat IACS-turvatoimet ovat välttämättömiä ratkaisujen ja parannettujen turvallisuusvalmiuksien helpottamiseksi
  • Vyöhykkeet ja putket: 62443-sarja suosittelee järjestelmäarkkitehtuuria, joka viittaa ISA95:een ja käyttää useita vyöhykkeitä ja putkia

62443-sarjan tärkeimmät julkaisut

62443-sarja jakautuu neljään osaan: moduuleihin, jotka käsittelevät yleisiä aiheita, käytäntöjä ja menettelytapoja, järjestelmiä sekä komponentteja ja vaatimuksia.

  • IEC 62443-1-1 (Käsitteet ja moduulit): Osa 1:1 62443:sta hahmottelee koko sarjassa käytetyt teollisuusprosessikonseptit (mukaan lukien FR:t) ja sarjan sisältämät moduulit.
  • IEC 62443-2-1 (Suojausohjelman vaatimukset IACS-omaisuuden omistajille): ISA-62443-2-1 auttaa tuotetoimittajia ja automaatioratkaisujen operaattoreita ja määrittelee suojausmenettelyt, joita omistajien tulee noudattaa käyttäessään IACS-verkkoturvallisuuden hallintajärjestelmää.
  • IEC 62443-2-4 (IACS-palveluntarjoajia koskevat vaatimukset): Osa 2:4 sisältää 12 osaa, joissa määritellään IACS-integraattoreita koskevat vaatimukset.
  • IEC 62443-3-2 (Turvallisuusriskien arviointi ja järjestelmäsuunnittelu): Osa 3:2 määrittää tavoiteturvatasot (SL-T) suositelluille vyöhykkeille ja putkille ja dokumentoi järjestelmän suunnittelun turvallisuusvaatimukset.
  • IEC 62443-4-1 (Secure Product Development Lifecycle Requirements): Osa 4:1 on jaettu kahdeksaan turvallisen kehityksen elinkaarikäytäntöön, ja se sisältää vaatimuksia suojausominaisuuksien testaamisesta, korjaustiedostojen hallinnasta, haavoittuvuuksien hallinnasta jne.
  • ISA/IEC 62443-4-2 (IACS-komponenttien tekniset suojausvaatimukset): Osa 4:2 sisältää tekniset vaatimukset järjestelmäkomponenteille ja sulautetuille laitteille ja määrittelee tyypilliset komponenttien suojausrajoitukset (CCSC).

ISA/IEC 62443-3-3

ISA/IEC 62443 -standardisarjan osa 3:3 määrittelee SR:t, jotka organisaatioiden on toteutettava saavuttaakseen osassa 1:1 luetellut FR:t. Kutakin FR:ää sovelletaan viidellä suojaustasolla (SL), joita käyttäjät voivat noudattaa riskianalyysin ja haavoittuvuuksien hallintaprotokollien tulosten mukaan.

Kunkin FR:n viisi SL:ää ovat:

  • Taso 0: Erityisiä suojauksia ei tarvita
  • Taso 1: Satunnaisia tai satunnaisia tapahtumia varten tarvittavat suojaukset
  • Taso 2: Suojaukset, joita tarvitaan tahallisille tai pahantahtoisille käyttäjille, jotka käyttävät rajallisia resursseja, matalan tason taitoja ja alhaista motivaatiota
  • Taso 3: Suojaukset, joita tarvitaan tahallisille tai pahantahtoisille käyttäjille, jotka käyttävät kohtuullisia resursseja, kohdennettuja taitoja ja kohtalaista motivaatiota
  • Taso 4: Suojaukset, joita tarvitaan tahallisille tai pahantahtoisille käyttäjille, jotka käyttävät kehittyneitä resursseja, kehittyneitä taitoja ja korkeaa motivaatiota

Näiden viiden SL:n avulla organisaatiot voivat räätälöidä suojaukset erityistarpeidensa, vaatimustensa ja mahdollisten uhkien koetun monimutkaisuuden mukaan.

Visuaalinen esitys 62443-sarjan viidestä suojaustasosta (SL).

Perusvaatimukset ja 62443-3-3 Järjestelmävaatimukset

62443-sarjan FR:t sisältävät kansainvälisiä standardeja tietoturvan varmistamiseksi ja operatiivisen teknologian suojaamiseksi. 62443-3-3 auttaa käyttäjiä noudattamaan seuraavia seitsemää FR:ää:

  • FR 1: Tunnistaminen, todentamisen valvonta ja kulunvalvonta (AC)
  • FR 2: Käytä ohjausta (UC)
  • FR 3: Järjestelmän eheys (SI)
  • FR 4: Tietojen luottamuksellisuus (DC)
  • FR 5: Rajoitettu tiedonkulku (RDF)
  • FR 6: Oikea-aikainen reagointi tapahtumiin (TRE)
  • FR 7: Resurssien käytettävyys (RA)

FR 1:n järjestelmävaatimukset

62443-sarjan ensimmäinen perusvaatimus keskittyy tunnistamiseen, todennuksen valvontaan ja kulunvalvontaan (AC). Tässä ovat järjestelmävaatimukset, joita tarvitaan FR:n noudattamiseen osan 3:3 mukaisesti.

  • 1.1 Ihmisen käyttäjän tunnistaminen ja todentaminen: Kaikki ihmisverkon käyttäjät tulee tunnistaa ja todentaa yksiselitteisesti
  • 1.2 Ohjelmistoprosessien ja laitteiden tunnistaminen ja todentaminen: Kaikki laitteet tulee tunnistaa ja todentaa suojatuilla järjestelmäliitännöillä
  • 1.3: Tilinhallinta: Järjestelmän pitäisi pystyä käsittelemään maksimaalista käyttäjän kaistanleveyttä ja hallitsemaan kaikkia käyttäjätilejä mukavasti
  • 1.4: Tunnisteiden hallinta: Järjestelmän on tuettava kaikkia käyttäjä-, ryhmä-, rooli- ja rajapintatunnisteita
  • 1.5: Todentajien hallinta: Käyttäjillä on oltava käytössä menettelyt ja todentajien hallintajärjestelmä sen varmistamiseksi, että salasanat ovat yksilöllisiä
  • 1.6: Langattoman käytön hallinta: Järjestelmän on kyettävä tunnistamaan ja todentamaan kaikki langattomat käyttäjät
  • 1.7: Salasanapohjaisen todennuksen vahvuus: Järjestelmän on kyettävä valvomaan salasanan vähimmäisvaatimuksia
  • 1.8: Julkisen avaimen infrastruktuurin (PKI) varmenteet: Varmenteiden tulee vahvistaa avaimenhaltijat ja varmistaa, että ne ovat laillisia
  • 1.9: Julkisen avaimen todennuksen vahvuus: Järjestelmän on kyettävä noudattamaan PKI:n vähimmäisvaatimuksia
  • 1.10: Todentajan palaute: Järjestelmän ei pitäisi näyttää salasanan merkkejä, kun käyttäjä kirjoittaa ne
  • 1.11: Epäonnistuneet kirjautumisyritykset: IACS:n tulisi sallia vain tietty määrä epäonnistuneita kirjautumisyrityksiä ja asettaa lukitusajat todennusvirheelle
  • 1.12: Järjestelmän käyttöilmoitus: Järjestelmän tulee näyttää käyttöviestejä, jotka varoittavat luvattomasta käytöstä ja kieltävät tallennetun käytön
  • 1.13: Pääsy epäluotettavien verkkojen kautta: Vaatimustenmukaisten yhdennettyjen hallinto- ja valvontajärjestelmien tulisi pystyä hallitsemaan pääsyä epäluotettavista verkoista

FR 2:n järjestelmävaatimukset

62443-sarjan toinen FR koskee käytön hallintaa (UC). ISA 62443-3-3:ssa luetellut järjestelmävaatimukset ovat seuraavat:

  • 2.1: Valtuutuksen valvonta: Järjestelmän pitäisi pystyä pakottamaan valtuutus kaikille käyttäjille, rooleille ja parametreille
  • 2.2: Langattoman käytön hallinta: Järjestelmän langattomien verkkojen tulee valvoa ja valvoa etäkäyttötapahtumien rajoituksia alan tietoturvakäytäntöjen mukaisesti
  • 2.3: Käytä kannettavien ja mobiililaitteiden ohjausta: Ohjaajien on suunniteltava yhdennetty hallinto- ja valvontajärjestelmä siten, että kannettavien ja mobiililaitteiden käyttöä voidaan valvoa ja ohjata
  • 2.4: Mobiilikoodi: Kaikki järjestelmän ulkopuolelta haetut koodit on tarkistettava peukaloinnin ja haitallisten toimien estämiseksi
  • 2.5: Istunnon lukitus: IACS ei saa käyttää istunnon lukkoja kriittisten toimintojen hallintaan
  • 2.6: Etäistunnon lopettaminen: Järjestelmän pitäisi pystyä lopettamaan etäistunnot käyttämättömyyden jälkeen tai sen jälkeen, kun käyttäjä on aloittanut tällaisen toiminnon
  • 2.7: Samanaikaisen istunnon hallinta: Samanaikaisia istuntoja tulee hallita ja hallita käyttäjän valtuutusstandardien perusteella
  • 2.8: Tarkastettavissa olevat tapahtumat: Valvontajärjestelmien pitäisi pystyä tallentamaan tarkastettavissa olevat tapahtumat järjestelmälokiin
  • 2.9: Tallenna tallennuskapasiteetti: Järjestelmän tallennuskapasiteetin tulee olla riittävän suuri tarvittavien valvontalokien tallentamiseen
  • 2.10: Reagointi auditoinnin käsittelyvirheisiin: Järjestelmän tulee varoittaa operaattoreita ja jatkaa pääsyä olennaisiin toimintoihin auditoinnin käsittelyvirheiden aikana
  • 2.11: Aikaleimat: Kaikkien tarkastustietueiden tulee käyttää aikaleimoja

FR 3:n järjestelmävaatimukset

Kolmas FR 62443-3-3 käsittelee järjestelmän eheyden valvontaa. Tässä ovat FR 3:n järjestelmävaatimukset:

  • 3.1: Viestinnän eheys: Järjestelmään ja järjestelmästä ulos lähetettävät tiedot tulee suojata sisäisillä ja ulkoisilla ratkaisuilla
  • 3.2: Haitallisen koodin suojaus: IACS:n tulisi käyttää virustorjuntaratkaisuja suojautuakseen haitalliselta koodilta
  • 3.3: Turvatoimintojen todentaminen: Testausvaiheiden ja huoltotoimenpiteiden aikana yhdennetyn hallinto- ja valvontajärjestelmän olisi tarkastettava kaikki turvatoiminnot ja raportoitava kaikista poikkeamista
  • 3.4: Ohjelmistojen ja tietojen eheys: SIEM-ratkaisun tulee havaita, tallentaa, raportoida ja suojata levossa olevat tiedot
  • 3.5: Syötteen validointi: Yhdennetyn hallinto- ja valvontajärjestelmän olisi validoitava kaikki syötteet, jotka vaikuttavat suoraan ohjausjärjestelmään, ja kaikki prosessipanokset
  • 3.6: Deterministinen tuotos: Tuotosten on palattava ennalta määritettyyn tilaan, kun yhdennetty hallinto- ja valvontajärjestelmä ei pysty toimimaan säännöllisesti
  • 3.7: Virheiden käsittely: Yhdennetyn hallinto- ja valvontajärjestelmän olisi reagoitava virhetilanteisiin ja toivuttava niistä nopeasti
  • 3.8: Istunnon eheys: Järjestelmän on pystyttävä hylkäämään virheelliset istuntotunnukset ja asentamaan istuntopohjaisia protokollia
  • 3.9: Auditointitietojen suojaaminen: Auditointitiedot tulee salata niiden suojaamiseksi lähetyksen ja levon aikana

FR 4:n järjestelmävaatimukset

Perusvaatimuksella 4 varmistetaan, että säännellyt järjestelmät noudattavat tietojen luottamuksellisuutta koskevia parhaita käytäntöjä. Tässä ovat FR 4:n järjestelmävaatimukset:

  • 4.1: Tietojen luottamuksellisuus: Luottamukselliset tiedot olisi suojattava levossa ja siirrettäessä
  • 4.2: Tietojen pysyvyys: Järjestelmän pitäisi pystyä hakemaan aiempia tietoja ja dataa seuraavissa istunnoissa
  • 4.3: Salauksen käyttö: Kaikkien järjestelmän käyttämien salausalgoritmien tulee noudattaa alan parhaita käytäntöjä (mukaan lukien varmuuskopioinnissa käytettävät algoritmit)

FR 5:n järjestelmävaatimukset

FR 5 rajoittaa sitä, miten tietovirta voi tapahtua organisaation yhdennetyssä hallinto- ja valvontajärjestelmässä. Tässä ovat FR 5:n järjestelmävaatimukset:

  • 5.1: Verkon segmentointi: Henkilöstön tulee eristää verkkosegmentit mahdollisuuksien mukaan ja ottaa käyttöön riskiarviointeja kyberhäiriön riskin vähentämiseksi
  • 5.2: Vyöhykerajojen suojaus: Verkkokäyttöprotokollia tulee pakottaa suojausten asentamiseksi vyöhykkeen rajoille
  • 5.3: Yleiskäyttöiset henkilöiden välisen viestinnän rajoitukset: Yhdennetyllä hallinto- ja valvontajärjestelmällä olisi oltava kyky estää viestit haitallisen hyökkäyksen sattuessa
  • 5.4: Sovellusten osiointi: Sovellukset tulee jakaa kriittisyyden perusteella ja tavalla, joka toteuttaa alan hyväksymän vyöhykemallin

FR 6:n järjestelmävaatimukset

62443-sarjan kuudennella perusvaatimuksella varmistetaan, että IACS-operaattorit asentavat standardit, jotta kehitysprosessin aikana voidaan reagoida tapahtumiin ajoissa. Tässä ovat FR 6:n erityisvaatimukset:

  • 6.1: Valvontalokin käytettävyys: Järjestelmän tulee myöntää vain valtuutetuille käyttäjille vain lukuoikeudet valvontalokeihin, eikä lokien muokkaaminen
  • 6.2: Jatkuva seuranta: Henkilöstön tulee asentaa jatkuvat valvontaprotokollat jatkuvan tietoisuuden varmistamiseksi ja riskipäätösten tukemiseksi

FR 7:n järjestelmävaatimukset

62443-sarjan viimeinen perusvaatimus sisältää protokollat resurssien saatavuuden hallintaan. Tässä ovat standardissa IEC 62443-3-3 FR 7:lle luetellut SR:t:

  • 7.1: DoS-suojaus: IACS:n pitäisi toimia ennalta määritetyssä vajaatoimintatilassa, kun palvelunestohyökkäys tapahtuu
  • 7.2: Resurssien hallinta: Järjestelmästandardien tulisi hallita resurssien kohdentamista ja estää resurssien ehtyminen
  • 7.3: Ohjausjärjestelmän varmuuskopiointi: Ajantasaisten varmuuskopioiden tulee aina olla saatavilla, jotta järjestelmän täydellinen palautus voidaan toteuttaa järjestelmävian sattuessa
  • 7.4: Ohjausjärjestelmän palautus ja palauttaminen: Järjestelmän työnkulkujen tulisi varmistaa, että järjestelmä voi palata turvalliseen tilaan nopeasti ja tehokkaasti
  • 7.5: Varavirta: IACS:n siirtyminen vakiovirtalähteestä varavirtaan ei saisi vaikuttaa turvatiloihin ja vajaatoimintatiloihin
  • 7.6: Verkon ja suojauksen määritysasetukset: Yhdennetyn hallinto- ja valvontajärjestelmän tulee noudattaa alan parhaita verkkoturvallisuuden käytäntöjä
  • 7.7: Vähiten toimintoja: Tarpeettomia toimintoja tulee rajoittaa ja hallita resurssien suojaamiseksi tietoturvaloukkausten aikana
  • 7.8: Ohjausjärjestelmän komponenttien inventaario: Yhdennetyn hallinto- ja valvontajärjestelmän olisi ylläpidettävä ja hallinnoitava päivitettyä luetteloa kaikista ohjausjärjestelmän osista

Kuinka noudattaa ISA:n turvallisuusstandardeja

Jokaisen organisaation, joka on kiinnostunut noudattamaan ISA:n 62443-sarjan tietoturvastandardeja, on jaettava vastuu osastojen kesken. 62443-sarja edellyttää, että kyberturvallisuuden keskeiset sidosryhmät tekevät yhteistyötä ja varmistavat, että kaikki yhdennetyn hallinto- ja valvontajärjestelmän osat suojaavat kyberriskeiltä ja haavoittuvuuksilta.

Organisaation ihmisillä, standardeilla, kyberturvallisuusmittareilla ja -kulttuurilla on ratkaiseva rooli 62443-sarjan perus- ja järjestelmävaatimusten noudattamisessa. Sarja hyödyntää myös NIST Cybersecurity Frameworkin (NIST CSF) peruspilareita, jotka IT- ja kyberturvallisuusammattilaiset ovat tyypillisesti tutumpia.

NIST:n CSF:n pääperiaatteita ovat:

  • Etsi: Henkilöstön tulee valvoa ja arvioida kaikkia järjestelmän osia säännöllisesti järjestelmäriskien ja haitallisen toiminnan ennakoimiseksi, tunnistamiseksi ja estämiseksi
  • Segmentti: Järjestelmät tulisi segmentoida mahdollisuuksien mukaan, jotta voidaan lieventää kyberhyökkäysten ja tietoturvapoikkeamien mahdollisia vaikutuksia järjestelmään
  • Havaitse: Henkilöstön tulee asentaa menettelyjä ja protokollia uusien haavoittuvuuksien ja riskien havaitsemiseksi koko järjestelmässä jatkuvasti
  • Vastaa: Organisaatioiden tulisi hyödyntää häiriötilanteiden hallintaa ja liiketoiminnan jatkuvuussuunnitelmia nopeuttaakseen tapahtumien hallintaa ja järjestelmän korjausta

UpGuardin kyberturvallisuusratkaisut voivat auttaa organisaatioita täyttämään monet ISA:n 62443-3-3-järjestelmävaatimukset. Samanaikaisesti UpGuard BreachSight ja Vendor Risk voivat auttaa käyttäjiä kriittisissä kyberturvallisuuskonsepteissa, mukaan lukien hyökkäyspinnan hallinta, toimittajan riskienhallinta, tapausten käsittely, verkkoturvallisuus jne.

BreachSightin ja Vendor Riskin täydellisiin ominaisuuksiin kuuluvat:

  • Tietovuotojen havaitseminen: Suojaa brändisi mainetta, immateriaalioikeuksia ja asiakastietoja havaitsemalla tietovuodot ajoissa
  • Jatkuva valvonta: Hanki reaaliaikaisia päivityksiä ja hallitse altistumista koko hyökkäyspinnallasi, mukaan lukien toimialueet, IP-osoitteet, sovellukset, päätepisteet, laajennukset ja palomuurit
  • Hyökkäyspinnan pienentäminen: Pienennä hyökkäyspinta-alaa löytämällä hyödynnettävissä olevat haavoittuvuudet ja toimialueet, jotka ovat vaarassa kirjoitusvirheiden vuoksi
  • Jaettu suojausprofiili: Luo jaettu UpGuard-profiili, jotta tietoturvakyselyihin vastaamisen vaiva poistuu
  • Työnkulut ja luopumiset: Virtaviivaista korjaustyönkulkuja, luovu riskeistä nopeasti ja vastaa suojauskyselyihin
  • Raportointi ja merkitykselliset tiedot: Käytä räätälöityjä raportteja eri sidosryhmille ja tarkastele tietoja ulkoisesta hyökkäyspinnastasi
  • Toimittajan tietoturvakyselyt: Automatisoi tietoturvakyselyt saadaksesi syvemmän käsityksen toimittajasuhteistasi ja kolmannen osapuolen tietoturva-asennosta
  • Suojausluokitukset: Arvioi yksittäisten toimittajien suojaustasoa käyttämällä tietoon perustuvia, objektiivisia ja dynaamisia suojausluokituksiamme
  • Riskinarvioinnit: Virtaviivaista riskinarvioinnin työnkulkuja, kerää todisteita ja pyydä nopeasti korjausta