Kai pramonės įmonė klausia, „kiek saugumo pakanka“ gamybos linijai ar elektrinei, atsakymas be bendro karkaso tampa nuomonių ginču. IEC 62443 – tai tarptautinių standartų šeima, skirta IACS (angl. Industrial Automation and Control Systems – pramoninės automatikos ir valdymo sistemų) saugumui. Ji suteikia bendrą kalbą įrangos savininkui, sistemų integratoriui ir įrenginių gamintojui: kas už ką atsakingas, kaip vertinama rizika ir kokio stiprumo apsaugos reikia konkrečiai sistemos daliai.
Padedame IEC 62443 pritaikyti praktiškai – taip, kad standartas taptų ne dokumentų lentyna, o aiškiu sprendimų pagrindu jūsų inžinieriams ir vadovybei.
Susisiekite dėl IEC 62443 diegimo
Kas yra IEC 62443?
Standartų šeima suskirstyta į keturias grupes, kiekviena skirta skirtingam vaidmeniui:
- IEC 62443-1-x – sąvokos ir modeliai. Bendra terminija, saugumo lygių ir zonų logika.
- IEC 62443-2-x – politikos ir procedūros. Įrangos savininko saugumo programa (62443-2-1), pataisų valdymas, reikalavimai paslaugų teikėjams ir integratoriams (62443-2-4).
- IEC 62443-3-x – sistema. Rizikos vertinimas sistemos projektavimui (62443-3-2) ir sistemos saugumo reikalavimai bei saugumo lygiai (62443-3-3).
- IEC 62443-4-x – komponentai. Saugaus produkto kūrimo ciklas (62443-4-1) ir techniniai reikalavimai komponentams: valdikliams, tinklo įrenginiams, programinei įrangai (62443-4-2).
Visa šeima remiasi septyniais pamatiniais reikalavimais (FR, angl. Foundational Requirements): identifikavimo ir autentifikavimo kontrolė, naudojimo kontrolė, sistemos vientisumas, duomenų konfidencialumas, ribojamas duomenų srautas, savalaikis reagavimas į įvykius ir išteklių prieinamumas.
Zonos, kanalai ir saugumo lygiai
IEC 62443 esmė – ne apsaugoti „viską vienodai“, o suskirstyti sistemą į zonas (turto grupes su panašiais saugumo poreikiais) ir kanalus (angl. conduits – kontroliuojamus ryšius tarp zonų). Kiekvienai zonai nustatomas tikslinis saugumo lygis (SL-T, angl. Target Security Level):
- SL 1 – apsauga nuo atsitiktinio ar netyčinio pažeidimo;
- SL 2 – apsauga nuo tyčinio pažeidimo paprastomis priemonėmis, su nedideliais ištekliais ir bendrosiomis žiniomis;
- SL 3 – apsauga nuo sudėtingų atakų, kurioms naudojamos IACS specifinės žinios ir vidutiniai ištekliai;
- SL 4 – apsauga nuo sudėtingų atakų su dideliais ištekliais ir aukšta motyvacija.
Praktikoje tai reiškia, kad saugos funkcijų valdikliai gali reikalauti SL 3, o duomenų kaupimo serveris demilitarizuotoje zonoje – SL 2. Investicijos sutelkiamos ten, kur rizika didžiausia, o ne paskirstomos tolygiai.
Kam reikalingas IEC 62443?
Įrangos savininkams ir operatoriams – gamykloms, elektrinėms, vandentvarkos ir šilumos tiekimo įmonėms. IEC 62443 padeda pagrįsti segmentavimo sprendimus, nustatyti reikalavimus rangovams ir parodyti NIS2 priežiūros institucijai, kad technologinė aplinka valdoma sistemingai.
Sistemų integratoriams – įmonėms, kurios projektuoja ir paleidžia automatikos sprendimus. Vis daugiau užsakovų pirkimo dokumentuose reikalauja atitikties IEC 62443-2-4 ar 62443-3-3.
Įrenginių ir mašinų gamintojams – IEC 62443-4-1 ir 4-2 yra praktinis pagrindas CRA esminiams reikalavimams įgyvendinti ir įrodyti. Jei gaminate valdiklius, pramoninius tinklo įrenginius ar mašinas su įterptine programine įranga, šie standartai sutaupo daug darbo, ruošiantis CRA atitikčiai.
Ką darome
- Esamos būklės ir spragų analizė. Palyginame jūsų aplinką ar procesus su IEC 62443-2-1, 3-3 arba 4-1 reikalavimais ir parengiame prioritetizuotą spragų sąrašą.
- Rizikos vertinimas pagal IEC 62443-3-2. Identifikuojame vertinamą sistemą, atliekame aukšto lygio rizikos vertinimą, apibrėžiame zonas ir kanalus, atliekame detalų rizikos vertinimą ir dokumentuojame tikslinius saugumo lygius.
- Architektūros projektavimas. Parengiame zonų ir kanalų schemą, ugniasienių ir DMZ (demilitarizuotos zonos) principus, saugios nuotolinės prieigos modelį rangovams ir įrangos gamintojams.
- Saugumo programa įrangos savininkui. Paskiriame atsakomybes, parengiame pakeitimų, pataisų, atsarginių kopijų ir incidentų valdymo procedūras, pritaikytas OT tempui.
- Pagalba gamintojams. Saugaus kūrimo ciklo (62443-4-1) procesų aprašai, komponentų reikalavimų (62443-4-2) atitikties analizė ir sąsaja su CRA techninės dokumentacijos reikalavimais.
Ką gaunate
- dokumentuotą rizikos vertinimą ir zonų bei kanalų modelį;
- tikslinius saugumo lygius kiekvienai zonai su pagrindimu;
- spragų sąrašą, susietą su konkrečiais IEC 62443 reikalavimais;
- įgyvendinimo planą su prioritetais, preliminariais kaštais ir atsakomybėmis;
- santrauką vadovybei, paaiškinančią riziką verslo kalba.
Kaip vyksta darbas
Pradedame nuo trumpo pokalbio apie jūsų vaidmenį (savininkas, integratorius ar gamintojas), objektus ir tikslą: ar reikia pasirengti klientų reikalavimams, NIS2 patikrinimui, ar CRA. Tada suderiname apimtį – dažnai racionalu pradėti nuo vienos gamybos linijos ar vieno objekto ir metodiką vėliau išplėsti. Darbas vyksta kartu su jūsų automatikos ir IT specialistais: standartas veikia tik tada, kai jį supranta tie, kas sistemas prižiūri kasdien.
Kadangi OT aplinkoje prastova nepriimtina, techninė dalis remiasi dokumentais, konfigūracijų peržiūra ir pasyviu srautų stebėjimu. Rezultatas – ne teorinis modelis, o schema ir planas, kuriuos jūsų komanda gali įgyvendinti etapais.
Dažniausiai užduodami klausimai
Ar galite mus sertifikuoti pagal IEC 62443? Ne – sertifikatus išduoda akredituotos sertifikavimo įstaigos. Mes padedame pasirengti: atliekame spragų analizę, parengiame dokumentaciją ir procesus. Toks atskyrimas užtikrina vertinimo nepriklausomumą.
Ar IEC 62443 privalomas? Pats standartas teisės aktu neprivalomas, tačiau jis tampa faktiniu reikalavimu: jį nurodo užsakovai pirkimuose, jis naudojamas NIS2 priemonių pagrindimui ir laikomas vienu pagrindinių atskaitos taškų CRA reikalavimams pramonės produktams.
Ar būtina iš karto diegti visą standartą? Ne. Dažniausiai pradedame nuo rizikos vertinimo ir zonų modelio vienam objektui. Jau šis etapas parodo, kur yra didžiausios spragos ir kokių investicijų reikia pirmiausia.
Pradėkime nuo jūsų sistemos
Papasakokite, kokią aplinką valdote ar kokius produktus gaminate, ir pasiūlysime racionaliausią pirmą IEC 62443 žingsnį.