Vad är IEC/ISA 62443-3-3:2013? Cybersäkerhet och efterlevnad

International Society of Automation (ISA) och International Electrotechnical Commission (IEC) började skapa 62443-serien av standarder 2002. Serien, som inkluderar IEC/ISA 62443-3-3, kallades ursprungligen för ISA99-serien och innehöll IACS-standarder (Industrial Automation and Control Systems Security) som skapats efter vägledning från American National Standards Institute (ANSI)

IEC/ISA 62443-3-3: 2013 definierar systemkrav (SR) och kravförbättringar (RE) som behövs för att uppfylla de grundläggande kraven (FR) och principerna som anges i del 1:1 av 62443-serien av standarder.

Fortsätt läsa för att lära dig mer om IEC 62443-3-3 och hur din organisation kan integrera olika säkerhetsstandarder för att uppfylla FR:erna i 62443-serien.

Upptäck hur UpGuard hjälper organisationer att försvara sig mot cyberhot>

ISA/IEC Systemsäkerhetskrav och säkerhetspolicyer

ISA/IEC 62443-standarderna kräver att organisationer implementerar flera cybersäkerhetsprinciper för att följa seriens FR:er. Dessa cybersäkerhetsprinciper inkluderar:

Lägsta behörighet: Att begränsa en användares åtkomsträttigheter, kontoåtkomst och datorkraft baserat på deras roll och den åtkomst som krävs för att utföra deras rolldefinierade uppgifter
Försvar på djupet: Denna princip gör det möjligt för organisationer att fördröja eller förhindra cyberattacker från att påverka kritisk infrastruktur genom att dela upp system i "zoner" som kommunicerar med varandra genom "ledningar"
Riskanalys: Processen att identifiera och bedöma potentiella faror och risker som kan påverka ett system eller en organisation negativt genom att använda metoder, praxis och motåtgärder för riskbedömning
Kompenserande säkerhetsåtgärder: IACS-komponenter uppfyller ofta inte kraven för ISA-säkerhetsnivåer, och kompenserande IACS-säkerhetsåtgärder är nödvändiga för att underlätta lösningar och förhöjd säkerhetskapacitet
Zoner och ledningar: 62443-serien rekommenderar en systemarkitektur som refererar till ISA95 och använder flera zoner och ledningar

Viktiga publikationer i 62443-serien

62443-serien är uppdelad i fyra delar: moduler om allmänna ämnen, policyer och procedurer, system samt komponenter och krav.

IEC 62443-1-1 (Koncept och moduler): Del 1:1 av 62443 beskriver industriella processkoncept (inklusive FR) som används i hela serien och de moduler som serien innehåller.
IEC 62443-2-1 (Security Program Requirements for IACS Asset Owners): ISA-62443-2-1 hjälper produktleverantörer och operatörer av automationslösningar och definierar säkerhetsprocedurer som ägare ska följa när de använder IACS-hanteringssystemet för nätverkssäkerhet.
IEC 62443-2-4 (Requirements for IACS Service Providers): Part 2:4 innehåller 12 avsnitt som definierar krav för IACS-integratörer.
IEC 62443-3-2 (Security Risk Assessment and System Design): Del 3:2 fastställer målsäkerhetsnivåer (SL-T) för rekommenderade zoner och ledningar och dokumenterar säkerhetskrav för systemdesign.
IEC 62443-4-1 (Secure Product Development Lifecycle Requirements): Del 4:1 är uppdelad i åtta metoder för säker utvecklingslivscykel och innehåller krav på testning av säkerhetsfunktioner, patchhantering, hantering av sårbarheter etc.
ISA/IEC 62443-4-2 (Technical Security Requirements for IACS Components): Del 4:2 innehåller tekniska krav för systemkomponenter och inbyggda enheter och definierar typiska komponentsäkerhetsbegränsningar (CCSC).

ISA/IEC 62443-3-3

Del 3:3 av ISA/IEC 62443-serien av standarder definierar de SR:er som organisationer måste implementera för att nå de FR:er som listas i del 1:1. Varje FR gäller för fem säkerhetsnivåer (SL), som användare kan följa beroende på resultaten av deras riskanalys och protokoll för sårbarhetshantering.

De fem abonnemangslicenserna för varje FR är:

Nivå 0: Inget specifikt skydd behövs
Nivå 1: Skydd som behövs för tillfälliga eller tillfälliga händelser
Nivå 2: Skydd som krävs för avsiktliga eller illvilliga användare som använder begränsade resurser, kunskaper på låg nivå och låg motivation
Nivå 3: Skydd som krävs för avsiktliga eller skadliga användare som använder måttliga resurser, riktade färdigheter och måttlig motivation
Nivå 4: Skydd som behövs för avsiktliga eller illvilliga användare som använder avancerade resurser, avancerade färdigheter och hög motivation

Dessa fem SL:er gör det möjligt för organisationer att skräddarsy skydd efter sina specifika behov, krav och upplevda komplexitet hos potentiella hot.

Visuell representation av de fem säkerhetsnivåerna (SL) i 62443-serien.

Grundläggande krav och systemkrav för 62443-3-3

FR:erna i 62443-serien inkluderar internationella standarder för att säkerställa informationssäkerhet och skydda driftteknik. 62443-3-3 hjälper användare att uppfylla följande sju FR:er:

FR 1: Identifiering, autentiseringskontroll och åtkomstkontroll (AC)
FR 2: Använd kontroll (UC)
FR 3: Systemintegritet (SI)
FR 4: Sekretess för uppgifter (DC)
FR 5: Begränsat dataflöde (RDF)
FR 6: Snabba reaktioner på händelser (TRE)
FR 7: Tillgängliga resurser (RA)

Systemkrav i FR 1

Det första grundläggande kravet i 62443-serien handlar om identifiering, autentiseringskontroll och åtkomstkontroll (AC). Här är de systemkrav som behövs för att uppfylla FR enligt del 3:3.

1.1 Identifiering och autentisering av mänskliga användare: Alla användare av mänskliga nätverk bör vara unikt identifierade och autentiserade
1.2 Identifiering och autentisering av programvaruprocesser och enheter: Alla enheter ska identifieras och autentiseras av säkra systemgränssnitt
1.3: Kontohantering: Systemet ska kunna hantera maximal användarbandbredd och hantera alla användarkonton bekvämt
1.4: Hantering av identifierare: Systemet måste ha stöd för alla användar-, grupp-, roll- och gränssnittsidentifierare
1.5: Autentiseringshantering: Användare måste ha procedurer och ett autentiseringshanteringssystem på plats för att säkerställa att lösenord är unika
1.6: Hantering av trådlös åtkomst: Systemet måste kunna identifiera och autentisera alla trådlösa användare
1.7: Styrkan hos lösenordsbaserad autentisering: Systemet måste kunna genomdriva minimikrav för lösenord
1.8: PKI-certifikat (Public Key Infrastructure): Certifikat bör validera nyckelinnehavare och säkerställa att de är legitima
1.9: Styrka för autentisering med offentlig nyckel: Systemet måste kunna genomdriva minimikrav för PKI
1.10: Autentiseringsfeedback: Systemet bör inte visa tecknen i ett lösenord när det skrivs av en användare
1.11: Misslyckade inloggningsförsök: IACS-systemet bör endast tillåta ett visst antal misslyckade inloggningsförsök och ställa in utelåsningstider för autentiseringsfel
1.12: Meddelande om systemanvändning: Systemet bör visa användningsmeddelanden som varnar för obehörig användning och förbjuder registrerad användning
1.13: Åtkomst via ej betrodda nätverk: Kompatibla IAC:er bör ha möjlighet att kontrollera åtkomst från ej betrodda nätverk

Systemkrav i FR 2

Den andra FR i 62443-serien gäller användningskontroll (UC). Här är systemkraven som anges i ISA 62443-3-3:

2.1: Upprätthållande av auktorisering: Systemet bör kunna framtvinga auktorisering för alla användare, roller och parametrar
2.2: Trådlös användningskontroll: Systemets trådlösa nätverk bör övervaka och tillämpa begränsningar för fjärråtkomsthändelser med hjälp av branschens säkerhetsrutiner
2.3: Använd kontroll för bärbara och mobila enheter: Styrenheter måste utforma IACS så att användningen av bärbara och mobila enheter kan övervakas och kontrolleras
2.4: Mobilkod: All kod som hämtas utanför systemet bör verifieras för att förhindra manipulering och skadliga aktiviteter
2.5: Sessionlås: IACS-systemet bör inte använda sessionslås för att styra kritiska funktioner
2.6: Avslutning av fjärrsession: Systemet bör kunna avsluta fjärrsessioner efter inaktivitet eller efter att användaren initierar en sådan åtgärd
2.7: Kontroll av samtidiga sessioner: Samtidiga sessioner bör hanteras och kontrolleras baserat på standarder för användarauktorisering
2.8: Granskningsbara händelser: Kontrollsystem bör kunna registrera granskningsbara händelser i systemloggen
2.9: Lagringskapacitet för granskning: Systemets lagringskapacitet bör vara tillräckligt stor för att lagra de granskningsloggar som krävs
2.10: Svar på fel i revisionsbearbetning: Systemet bör varna operatörer och fortsätta åtkomsten till viktiga funktioner under fel i revisionsbearbetningen
2.11: Tidsstämplar: Alla revisionsposter bör använda tidsstämplar

Systemkrav i FR 3

Den tredje FR av 62443-3-3 handlar om systemintegritetskontroller. Här är systemkraven för FR 3:

3.1: Kommunikationsintegritet: Information som överförs in i och ut ur systemet bör skyddas med hjälp av interna och externa lösningar
3.2: Skydd mot skadlig kod: IACS-systemet bör använda antiviruslösningar för att skydda sig mot skadlig kod
3.3: Verifiering av säkerhetsfunktioner: Under testfaser och underhållsprocedurer bör IACS-systemet verifiera alla säkerhetsfunktioner och rapportera alla avvikelser
3.4: Programvaru- och informationsintegritet: En SIEM-lösning bör identifiera, registrera, rapportera och skydda vilande information
3.5: Validering av indata: IACS-systemet bör validera alla indata som direkt påverkar styrsystemet och alla processindata
3.6: Deterministisk utdata: Utdata måste återgå till ett fördefinierat tillstånd när IACS-systemet inte kan uppnå normal drift
3.7: Felhantering: IACS-systemet bör reagera och snabbt återhämta sig från feltillstånd
3.8: Sessionsintegritet: Systemet måste ha möjlighet att avvisa ogiltiga sessions-ID:n och installera sessionsbaserade protokoll
3.9: Skydd av revisionsinformation: Revisionsinformation bör krypteras för att skydda den under överföring och vila

Systemkrav i FR 4

Grundläggande krav 4 säkerställer att reglerade system följer bästa praxis för datakonfidentialitet. Här är systemkraven för FR 4:

4.1: Informationskonfidentialitet: Konfidentiell information bör skyddas i vila och vid överföring
4.2: Informationspersistens: Systemet bör kunna hämta tidigare information och data i efterföljande sessioner
4.3: Användning av kryptografi: Alla kryptografialgoritmer som används av systemet bör följa branschens bästa praxis (inklusive algoritmer som används för säkerhetskopiering)

Systemkrav i FR 5

FR 5 begränsar hur dataflödet kan ske i en organisations IACS. Här är systemkraven för FR 5:

5.1: Nätverkssegmentering: Personalen bör isolera nätverkssegment när det är möjligt och genomföra riskbedömningar för att minska risken för en cyberincident
5.2: Zongränsskydd: Nätverksåtkomstprotokoll bör tillämpas för att installera skydd vid zongränser
5.3: Allmänna begränsningar för kommunikation mellan människor: IAKS bör ha möjlighet att förhindra meddelanden i händelse av en skadlig attack
5.4: Programpartitionering: Program bör partitioneras baserat på allvarlighetsgrad och på ett sätt som implementerar en branschaccepterad zonindelningsmodell

Systemkrav i FR 6

Det sjätte grundläggande kravet i 62443-serien säkerställer att IACS-operatörer installerar standarder för snabb respons på händelser under utvecklingsprocessen. Här är SR för FR 6:

6.1: Tillgänglighet för granskningsloggar: Systemet bör endast ge behöriga användare skrivskyddad åtkomst till granskningsloggar och inte kunna ändra loggarna
6.2: Kontinuerlig övervakning: Personalen bör installera löpande övervakningsprotokoll för att säkerställa ständig medvetenhet och stödja riskbeslut

Systemkrav i FR 7

Det sista grundläggande kravet i 62443-serien inkluderar protokoll för att hantera resurstillgänglighet. Här är SR:erna som listas i IEC 62443-3-3 för FR 7:

7.1: DoS-skydd: IACS-systemet bör fungera i ett förutbestämt försämrat läge när en överbelastningsattack inträffar
7.2: Resurshantering: Systemstandarder bör hantera fördelningen av resurser och förhindra resursutmattning
7.3: Säkerhetskopiering av kontrollsystem: Uppdaterade säkerhetskopior bör alltid finnas tillgängliga för att implementera en fullständig systemåterställning i händelse av ett systemfel
7.4: Återställning och rekonstituering av kontrollsystemet: Systemets arbetsflöden bör säkerställa att systemet snabbt och effektivt kan återgå till ett säkert tillstånd
7.5: Nödström: Säkerhetstillstånd och försämrade lägen bör inte påverkas när IACS-systemet växlar från standardström till nödström.
7.6: Inställningar för nätverks- och säkerhetskonfiguration: IACS-systemet bör uppfylla branschens bästa praxis för nätverkssäkerhet
7.7: Minsta funktionalitet: Onödiga funktioner bör begränsas och hanteras för att skydda resurser under säkerhetsincidenter
7.8: Inventering av styrsystemets komponenter: IAKS bör upprätthålla och hantera en uppdaterad inventering av alla komponenter i styrsystemet

Hur man följer ISA:s säkerhetsstandarder

Alla organisationer som är intresserade av att följa ISA:s säkerhetsstandarder i 62443-serien måste dela ansvaret mellan avdelningarna. 62443-serien kräver att viktiga cybersäkerhetsintressenter samarbetar och ser till att alla komponenter i deras IACS skyddar mot cyberrisker och sårbarheter.

En organisations medarbetare, standarder, cybersäkerhetsmått och kultur kommer alla att spela en avgörande roll för att följa de grundläggande kraven och systemkraven som finns i hela 62443-serien. Serien utnyttjar också de grundläggande pelarna i NIST Cybersecurity Framework (NIST CSF), som IT- och cybersäkerhetsproffs vanligtvis är mer bekanta med.

De viktigaste principerna för NIST CSF inkluderar:

Upptäck: Personalen bör övervaka och utvärdera alla systemkomponenter regelbundet för att förutse, identifiera och förhindra systemrisker och skadlig aktivitet
Segment: System bör segmenteras där det är möjligt för att mildra den inverkan som cyberattacker och säkerhetsincidenter kan ha på ett system
Identifiera: Personalen bör installera procedurer och protokoll för att kontinuerligt upptäcka nya sårbarheter och risker i hela systemet
Svara: Organisationer bör utnyttja incidenthantering och kontinuitetsplaner för att påskynda incidenthantering och systemreparation

UpGuards cybersäkerhetslösningar kan hjälpa organisationer att uppfylla många av ISA:s 62443-3-3 systemkrav. Samtidigt kan UpGuard BreachSight och Vendor Risk hjälpa användare med kritiska cybersäkerhetskoncept, inklusive hantering av attackytor, leverantörsriskhantering, incidenthantering, nätverkssäkerhet, etc.

De kompletta funktionerna i BreachSight och Vendor Risk inkluderar:

Detektering av dataläckor: Skydda ditt varumärkes rykte, immateriella rättigheter och kunddata genom att upptäcka dataläckor i rätt tid.
Kontinuerlig övervakning: Få uppdateringar i realtid och hantera exponeringar över hela attackytan, inklusive domäner, IP-adresser, appar, slutpunkter, plugin-program och brandväggar
Minskning av attackytan: Minska attackytan genom att identifiera exploaterbara sårbarheter och domäner som riskerar att drabbas av fulregistreringar
Delad säkerhetsprofil: Skapa en delad UpGuard-profil för att eliminera besväret med att svara på säkerhetsenkäter
Arbetsflöden och undantag: Effektivisera arbetsflöden för reparation, avstå snabbt från risker och svara på säkerhetsfrågor
Rapportering och insikter: Få tillgång till skräddarsydda rapporter för olika intressenter och visa information om din externa attackyta
Frågeformulär om leverantörssäkerhet: Automatisera säkerhetsfrågeformulär för att få djupare insikt i dina leverantörsrelationer och säkerhetsstatus för tredje part
Säkerhetsklassificeringar: Bedöm enskilda leverantörers säkerhetsstatus med hjälp av våra datadrivna, objektiva och dynamiska säkerhetsklassificeringar
Riskbedömningar: Effektivisera arbetsflödena för riskbedömning, samla in bevis och begär snabbt åtgärder