IEC 62443: standard za sigurnost industrijskih sustava

IEC 62443 je vodeći međunarodni okvir za kibernetičku sigurnost industrijskih automatizacijskih i upravljačkih sustava, dakle ICS i SCADA okruženja. Dok ISO 27001 pokriva informacijsku sigurnost općenito, IEC 62443 govori jezikom industrije i uzima u obzir njezine posebnosti: fizičke procese, dugovječnu opremu i neprihvatljivost zastoja. Ovaj tekst objašnjava kako je okvir strukturiran, što su sigurnosne razine i kome je namijenjen.

Ovo je dio našeg pregleda industrijske sigurnosti. Pomažemo primijeniti okvir kroz ofenzivnu sigurnost.

Zašto poseban standard za industriju

Opći standardi informacijske sigurnosti polaze od pretpostavki koje u industriji ne vrijede: da se sustavi mogu redovito ažurirati, povremeno ugasiti i da je glavni cilj zaštita podataka. U OT okruženju prioritet je dostupnost i sigurnost ljudi, oprema traje desetljećima, a zastoj je vrlo skup. IEC 62443 nastao je upravo zato da se sigurnost prilagodi tim uvjetima.

Kako je okvir strukturiran

IEC 62443 nije jedan dokument, nego niz normi organiziranih prema tome kome su namijenjene.¹

Sigurnosne razine, zone i kanali

Dva su koncepta posebno važna. Prvi su zone i kanali: mreža se dijeli na zone sličnih sigurnosnih potreba, a komunikacija među njima ide kontroliranim kanalima. To je industrijski oblik segmentacije. Drugi su sigurnosne razine (Security Level, SL), koje izražavaju koliko je snažna zaštita potrebna, od osnovne otpornosti do otpornosti na napredne, ciljane napade. Razina se bira razmjerno riziku zone.

Kome je namijenjen

Snaga okvira je što obuhvaća cijeli lanac. Vlasnik postrojenja koristi ga za program sigurnosti, integrator za siguran dizajn sustava, a proizvođač opreme za ugradnju sigurnosti u same uređaje. Time se sigurnost ne svodi na jednu stranu, nego se dijeli kroz cijeli životni ciklus industrijskog sustava.

1. 01
   Odredite zone i kanale

   Podijelite OT mrežu prema sigurnosnim potrebama i kontrolirajte komunikaciju.
2. 02
   Procijenite rizik po zoni

   Za svaku zonu utvrdite prijetnje i potrebnu sigurnosnu razinu.
3. 03
   Postavite ciljne razine (SL)

   Odredite koliko snažnu zaštitu svaka zona traži.
4. 04
   Provedite i održavajte

   Uvedite kontrole i tretirajte sigurnost kao stalan program, ne projekt.

Odnos s drugim okvirima

IEC 62443 ne isključuje ISO 27001 ni NIS2; nadopunjuje ih za industrijski dio. Tvrtka može imati ISMS prema ISO 27001 za informacijsku sigurnost i primjenjivati IEC 62443 za svoja OT okruženja. Za obveznike NIS2 u industriji okvir je praktičan način da se zahtjevi prevedu u konkretne mjere.

Kako Raptoric pomaže

Pomažemo primijeniti IEC 62443 na vaše okruženje, od podjele na zone do procjene rizika i mjera, prilagođeno proizvodnji, kroz ofenzivnu sigurnost. Dogovorite uvodni razgovor.