Zonen, Conduits und Sicherheitslevel nach IEC 62443
Sytance · Aktualisiert
Zonen fassen Assets mit ähnlichen Sicherheitsanforderungen zusammen; Conduits definieren die Kommunikation zwischen diesen Zonen. Sicherheitsstufen beschreiben das Ziel, die integrierte Fähigkeit oder den erreichten Schutz für ein festgelegtes System, eine Zone, einen Conduit oder eine Komponente.
Betrachtetes System
IEC 62443-3-2:2020 legt Anforderungen für die Definition eines betrachteten Systems in einem IACS fest. Die Systemgrenze entscheidet, welche Assets, Schnittstellen, Nutzer, Kommunikationswege, Betriebsmodi und Annahmen in die Risikobewertung einbezogen werden.
Die Systembeschreibung sollte die bewerteten Funktionen sowie die sie unterstützenden Assets und Schnittstellen benennen. Bei einer Produktionslinie sollte sie beispielsweise erklären, welche Steuerungen, Bedienerstationen und externen Verbindungen einbezogen sind.
Zonen und Conduits
IEC 62443-3-2 unterteilt das betrachtete System anschließend in Zonen und Conduits. Die Gruppierung sollte Sicherheitsanforderungen und die zu schützende Kommunikation widerspiegeln.
Zone
Eine Gruppierung von Assets innerhalb der Systemgrenze, für die in der Analyse ähnliche Sicherheitsanforderungen gelten sollten.
Conduit
Ein Kommunikationspfad zwischen Zonen, für den eine eigene Risikobehandlung und Sicherheitsanforderungen erforderlich sind.
Diese Struktur hält die Bewertung praktikabel. Eine Sicherheits-SPS, ein Engineering-Arbeitsplatz, ein Historian, ein Fernzugriffsdienst, ein Feldbus, ein Steuerungsnetz und ein Unternehmensnetz sollten nicht als einheitlicher Vertrauensbereich behandelt werden, wenn sich ihre Exposition, Folgen oder Sicherheitsanforderungen unterscheiden.
Sicherheitsstufen
Öffentliche IEC-Materialien beschreiben IEC 62443-3-2 als Norm zur Festlegung angestrebter Sicherheitsstufen für jede Zone und jeden Conduit. IEC 62443-3-3 legt anschließend detaillierte Anforderungen an Steuerungssysteme und Fähigkeitssicherheitsstufen fest. Eine Sicherheitsstufe ist keine allgemeine Qualitätsbewertung. Sie bezieht sich auf ein bestimmtes System, eine Zone, einen Conduit, eine Bedrohungslage und einen Anforderungssatz.
- das betrachtete System festlegen, bevor Sicherheitsstufen zugewiesen werden;
- das System in Zonen und Conduits aufteilen;
- Risiken für jede Zone und jeden Conduit bewerten;
- SL-T für jede Zone und jeden Conduit festlegen;
- die Sicherheitsanforderungen dokumentieren, die sich aus dem Ziel ergeben.
SL-T ist die nach der Risikobewertung für eine Zone, einen Conduit oder ein Steuerungssystem festgelegte angestrebte Sicherheitsstufe. Sie ist ein an das konkrete Asset und die Bedrohungslage geknüpftes Entwurfsziel.
SL-C beschreibt die Sicherheitsfähigkeit eines Steuerungssystems oder einer Komponente. Sie ist als Lieferanten- oder Systemnachweis nützlich, legt aber nicht automatisch die Zielstufe einer Bereitstellung fest.
SL-A ist die im implementierten System tatsächlich erreichte Stufe. Sie hängt von Architektur, Konfiguration, Verfahren, Verifizierung und Betrieb ab und nicht nur von den gekauften Produkten.
Grenzen von Produkten
Ein Produktlieferant kann Nachweise zu Komponentenfähigkeiten, sicherer Entwicklung und Produktdokumentation bereitstellen. Diese Nachweise müssen weiterhin in die bereitgestellte Architektur eingeordnet werden. Dieselbe Komponente kann sich in verschiedenen Installationen in unterschiedlichen Zonen befinden, über verschiedene Conduits verbunden sein und unterschiedlichen Risiken ausgesetzt sein.
Daher wirken Systemintegratoren und Asset-Eigentümer an der Bewertung mit. Der Asset-Eigentümer verantwortet üblicherweise die Risikoentscheidung für das betriebene IACS. Der Integrationsdienstleister kann die Unterteilung, die detaillierte Risikobewertung und technische Maßnahmen entwerfen oder unterstützen. Der Produktlieferant steuert üblicherweise Informationen zu Fähigkeiten und Produktunterstützung bei, nicht aber die abschließende Schlussfolgerung zum Systemrisiko.