IEC 62443-3-3: Anforderungen an Steuerungssysteme
Sytance · Aktualisiert
IEC 62443-3-3:2013 ist der Teil mit Anforderungen an Steuerungssysteme. Er kommt zum Einsatz, nachdem das betrachtete System, seine Zonen und Conduits sowie die angestrebten Sicherheitsstufen definiert wurden.
Anforderungen an Steuerungssysteme
IEC beschreibt IEC 62443-3-3 als detaillierte technische Anforderungen an Steuerungssysteme, die den sieben grundlegenden Anforderungen zugeordnet sind. Diese Anforderungen gelten für das Steuerungssystem und seine Fähigkeitssicherheitsstufen. Die Bewertung einer einzelnen Komponente oder eines Lieferantenprozesses ist eine separate Aufgabe.
IEC 62443-3-3 verwendet Anforderungen an Steuerungssysteme und SL-C (Steuerungssystem). Ein Produkt- oder Komponentenzertifikat kann die Systemakte unterstützen, ersetzt aber weder Systemarchitektur und Konfiguration noch Betriebskontrollen.
IEC 62443-2-1 betrifft das Sicherheitsprogramm des Asset-Eigentümers für ein betriebenes IACS. IEC 62443-3-3 betrifft detaillierte technische Anforderungen und Sicherheitsstufen für Steuerungssysteme.
IEC 62443-2-4 behandelt Prozesse von Dienstleistern für Integration und Wartung. Diese Prozesse können die Umsetzung von 3-3 unterstützen, belegen für sich genommen aber nicht die technischen Anforderungen an das Steuerungssystem.
Verbindung zu IEC 62443-3-2
IEC 62443-3-3 baut auf dem Systemmodell auf, das nach IEC 62443-3-2 erstellt wird. Die Arbeiten nach 3-2 definieren das betrachtete System, gliedern es in Zonen und Conduits, bewerten Risiken, legen SL-T fest und dokumentieren Sicherheitsanforderungen. IEC 62443-3-3 stellt anschließend die Struktur der Systemanforderungen bereit, mit der die erforderlichen Fähigkeiten ausgedrückt und bewertet werden.
Definieren
Legen Sie das betrachtete System sowie die darin und darum befindlichen Zonen und Conduits fest.
Bewerten
Bewerten Sie Risiken für jede Zone und jeden Conduit und legen Sie SL-T für die relevante Systemgrenze fest.
Spezifizieren
Verwenden Sie IEC 62443-3-3, um Anforderungen an das Steuerungssystem und SL-C (Steuerungssystem) auszudrücken.
Diese Reihenfolge verhindert einen häufigen Fehler: Anforderungen aus 3-3 auszuwählen, ohne zu wissen, welche Zone, welcher Conduit, welches Asset, welche Bedrohungslage oder welche angestrebte Sicherheitsstufe damit unterstützt werden soll.
Nachweise aus Entwurf und Bereitstellung
Systemnachweise erfordern üblicherweise mehr als Produktdokumente. Sie sollten die bereitgestellte oder entworfene Architektur und die Aufteilung der Zuständigkeiten zwischen Asset-Eigentümer, Integrator, Wartungsdienstleister und Produktlieferant erläutern.
- Systemgrenze und Asset-Liste;
- Zonen- und Conduit-Modell;
- Kommunikationspfade und Fernzugriffspfade;
- Risikobegründung und SL-T für jede relevante Zone oder jeden relevanten Conduit;
- ausgewählte Anforderungen nach IEC 62443-3-3 und SL-C-Aussage (Steuerungssystem);
- umgesetzte technische und organisatorische Kontrollen;
- vom Entwurf verwendete Nachweise zu Produkt- und Komponentenfähigkeiten;
- betriebliche Verfahren, Überwachung und Wartungszuständigkeiten;
- Validierungsnachweise für den bereitgestellten Entwurf.
Nachweise zum bereitgestellten Zustand
Konfiguration, Netzwerkpfade, Fernzugriff, Konten, Überwachung, Backups und Wartungsverfahren müssen dem tatsächlich erstellten oder freigegebenen System entsprechen.
Zertifizierungsumfang
Bei einer Systembewertung sollte angegeben werden, ob das Zertifikat oder der Bericht Fähigkeiten, die Anwendung von Fähigkeiten oder einen festgelegten Lösungsumfang abdeckt.