Säkerhet för industriella styrsystem: ISA 62443-2-1:2009

ISA-62443-serien av standarder, utvecklad av International Society of Automation (ISA), är en omfattande uppsättning riktlinjer för att säkerställa säkerheten för industriella automations- och styrsystem (IACS).

ISA 62443-2-1:2009 är en specifik standard i denna serie som fokuserar på att upprätta ett säkerhetssystem för industriella automations- och kontrollsystem. Eftersom många av dessa system tillhandahåller kritisk infrastruktur är det viktigt att skydda dem mot alla säkerhetsincidenter som kan störa verksamheten. I den här bloggen beskrivs de bedömningar som beskrivs i ISA 62443-2-1:2009 och varför IACS bör prioritera dem.

Automatisera dina frågeformulär för säkerhetsbedömning med UpGuard >

ISA-62443-serien av standarder

ISA-62443-standarden beskriver IACS-bedömningar som säkerställer att organisationer fullt ut skyddar sina kritiska system mot betydande fysiska och digitala hot. Ett IACS, eller Industrial Automation and Control System, avser en samling nätverkssystem som används för att driva och automatisera industriella processer.

Exempel på detta är programmerbara logiska styrenheter (PLC), distribuerade styrsystem (DCS), SCADA-system (Supervisory Control and Data Acquisition), gränssnitt mellan människa och maskin (HMI) samt sensornätverk och ställdon.

ISA-62443-standarderna, som tidigare var kända som ISA99-standarder, är viktiga för att upprätthålla säkerheten i olika branscher. Standarderna ger ett strukturerat och systematiskt tillvägagångssätt för att säkerställa industriella styrsystem som är kritiska inom olika sektorer som tillverkning, energi, vattenrening etc. I serien ingår:

  • Allmänna begrepp och modeller (ISA-62443-1): Det här avsnittet utgör grunden för serien och beskriver definitioner, begrepp och modeller som används inom IACS-säkerhet.
  • Etablera ett säkerhetssystem för industriella automations- och kontrollsystem (ISA-62443-2): Det här avsnittet fokuserar på att skapa och underhålla ett IACS-säkerhetsprogram, inklusive riskbedömning, hantering av sårbarheter och skyddsåtgärder.
  • Systemsäkerhetskrav och säkerhetsnivåer (ISA 62443-3): I det här avsnittet anges specifika krav för IACS-säkerhet, säkerhetsnivåer definieras och krav för att uppnå dessa nivåer.
  • Tekniska krav för IACS-komponenter (ISA 62443-4): I det här avsnittet beskrivs tekniska krav för IACS-komponenter, t.ex. krav på säkra livscykler för produktutveckling och systemintegreringar.

Kärnkomponenter i ISA 62443-2-1:2009

Den andra standarden i ISA 62443-serien är inriktad på att etablera ett säkerhetssystem för industriella automations- och styrsystem. I synnerhet beskriver denna standard de delar av cybersäkerhet som behövs för att hantera ett IACS-system och vägleder användarna att uppfylla kraven för varje element.

Denna standard beskriver fyra huvudområden som IACS måste prioritera, med specifika element inom varje för att identifiera och utvärdera.

  • Utvärdering av program för säkerhet och sekretess
  • Utvärdering av infrastruktursäkerhet
  • Bedömning av fysisk säkerhet och datacenter
  • Utvärdering av programsäkerhet

Utvärdering av program för säkerhet och sekretess

Ett program för informationssäkerhet och sekretess är en omfattande uppsättning policyer, riktlinjer och processer för att identifiera och hantera hot och risker mot företagets information och system. För IACS är utvärderingar av säkerhets- och sekretessprogram viktiga. Det här avsnittet av ISA 62443-2-1:2009 fokuserar på om en organisation har ett etablerat säkerhetsprogram och, om så inte är fallet, beskriver viktiga områden att tänka på när man skapar ett.

Ett etablerat säkerhets- och sekretessprogram hjälper till att säkerställa att kundinformation hålls säker. Denna standard bedömer nyckelområden, inklusive:

  • Säkerhet och integritet: Etablerade säkerhetsprogram och säkerhetskontroller
  • Personalsäkerhet: Åtkomstkontroll, lösenordsprotokoll, sekretessavtal, informationssäkerhet och integritetsutbildning för anställda m.m.
  • Efterlevnad av lagar och förordningar: Process för att identifiera, dokumentera och behålla relevanta lagstiftnings-, reglerings- och avtalskrav

Utvärdering av infrastruktursäkerhet

En infrastruktursäkerhetsbedömning är en omfattande utvärdering av den fysiska och digitala infrastrukturen i ett IACS. Dess syfte är att identifiera eventuella sårbarheter eller potentiella felpunkter som kan riskera att utsättas för cyberhot.

IACS använder ofta system som är kritiska för olika industriella processer, så alla typer av intrång eller fel kan få förödande konsekvenser (driftstörningar, säkerhetsrisker osv.). Därför hjälper den här typen av utvärdering till att förstå säkerhetsstatusen och tillräckligheten för befintliga säkerhetsåtgärder. Områden i det här avsnittet av ISA-62443-2-1:2009 inkluderar:

  • Nätverk: Verktyg för hantering av systemkonfiguration, brandväggar, datakryptering, segregerade system, kontinuerlig övervakning, etc.
  • Servrar: Processer för OS-uppdateringar och patchar, åtgärder för skydd mot skadlig kod etc.
  • Klienter (arbetsstation, bärbara datorer, etc.): Standarder för klientsystem, skydd mot skadlig kod på klientenheter, personlig åtkomstkontroll etc.
  • Supportavtal för infrastruktur: Supportavtal för operativsystemversioner som inte stöds
  • Datahantering: Separata miljöer för utveckling, testning och produktion
  • Teknisk säkerhetstestning: Penetrationstestning, sårbarhetsskanning, säkerhetstestning etc.
  • Loggning: Säkerhetsrelevant händelseloggning
  • Tillgångsförvaltning: Uppdaterade inventeringar, spårning av anställdas/entreprenörs-/tredjepartstillgångar, etc

Bedömning av fysisk säkerhet och datacenter

Nästa område i ISA-62443-2-1:2009 fokuserar på fysisk säkerhet och datacentersäkerhet. Denna bedömning utvärderar fysiska säkerhetsåtgärder som förhindrar obehörig åtkomst till känslig utrustning och datacenter där en enhet lagrar komponenter och data i sina IACS.

En omfattande bedömning identifierar fysiska åtkomstkontroller, övervakningssystem och miljökontroller. Den här utvärderingen utvärderar säkerhetsställningen mot cyberhot som hackning, skadlig kod och dataintrång för digitala tillgångar. Detta dubbla tillvägagångssätt säkerställer robust fysisk säkerhet och datacentersäkerhet och löpande drift för IACS. Områden i det här avsnittet är:

  • Säkerhet på kontoret: Fysiska åtgärder som vakter, rörelsedetektorer, CCTV, elektronisk åtkomstkontroll, perimetersäkerhet, automatisk låsning av obevakad utrustning, etc.
  • Datacentersäkerhet: Kontrollerade åtkomstpunkter, avbrottsprotokoll, riskbedömningar etc.

Utvärdering av programsäkerhet

Tillämpningar spelar en viktig roll när det gäller att styra, övervaka och hantera industriella processer i ett IACS. Eventuella sårbarheter i dessa program kan leda till betydande risker, t.ex. driftstörningar, dataintrång och säkerhetsrisker.

Att genomföra en omfattande säkerhetsbedömning av dessa applikationer kan hjälpa till att identifiera och mildra sårbarheter, inklusive kodningsfel, otillräcklig kryptering eller osäkra API:er, som cyberangripare kan utnyttja. Den utvärderar också effektiviteten hos befintliga säkerhetsprotokoll, som autentiserings- och auktoriseringsmekanismer, och säkerställer efterlevnad av branschstandarder och bästa praxis. Områden i det här avsnittet är:

  • Sårbarhetsrapportering och hantering: Processer för rapportering av sårbarheter, kundmeddelanden etc.
  • Autentisering och auktorisering: Autentiseringstjänster, lösenordskrav, SSO-mekanismer etc.
  • Livscykel för mjukvaruutveckling: Säkerhetsrelaterade krav på applikationer, integritet och konfidentialitet för bearbetad information, säkra kodningsprocesser etc.
  • 3:e parts beroenden: Säkerhetsgranskningar av outsourcingleverantörer

UpGuard BreachSight och VendorRisk automatiserar din bedömningsprocess med hjälp av våra kraftfulla inbyggda säkerhetsformulär. Skicka standardmallar eller anpassade frågeformulär till dina leverantörer, konfigurera förfallodatum för frågeformulär och ställ in regelbundna påminnelser för att säkerställa att leverantörer slutför förfrågningar effektivt.

Risker identifieras automatiskt i leverantörens svar, så du kan begära åtgärder eller avstå från dem. Samarbeta med leverantörer för att minska riskerna med hjälp av arbetsflödet för riskbedömning, korrespondera in-line för specifika leverantörssvar med hjälp av granskningsbara, inbyggda meddelanden eller lägg till interna anteckningar.

Vårt frågeformulärsbibliotek hänvisar till regler och bästa praxis från cybersäkerhetsbranschen, inklusive:

  • SIG Lite frågeformulär
  • Frågeformulär för ISO 227001
  • Frågeformulär för leverantörsbedömning av leverantörer inom högre utbildning (HECVAT)
  • Frågeformulär enligt HIPAA (Health Insurance Portability and Accountability Act)
  • Frågeformulär för NIST-ramverket för cybersäkerhet
  • Frågeformulär för COBIT 5 säkerhetsstandard
  • Frågeformulär enligt California Consumer Privacy Act (CCPA)
  • CIS-kontroller 7.1 Frågeformulär för säkerhetsstandard
  • PCI DSS-frågeformulär
  • Apache Log4J - Frågeformulär för kritisk sårbarhet