Beveiligingsprogramma voor asset owners volgens IEC 62443-2-1
Sytance · Bijgewerkt
IEC 62443-2-1:2024 is het deel over het beveiligingsprogramma van de asset owner voor een operationeel IACS. Het is een norm voor beleid en procedures van de asset owner, met inbegrip van de operator in deze context. De norm gaat over de manier waarop de organisatie beveiliging beheert, waaronder risico’s van verouderde systemen met beperkte technische mogelijkheden.
Verantwoordelijkheden van de asset owner
IEC 62443-2-1:2024 behandelt beleid en procedures voor het beheer van een operationeel IACS. In ouder materiaal wordt dit vaak een cyberbeveiligingsbeheersysteem genoemd. In beide gevallen gaat het om het doorlopende beheer van de beveiliging van het systeem door de asset owner.
Asset owner en operator
De scope van 2-1 is de organisatie die verantwoordelijk is voor het operationele IACS. De openbare IEC-beschrijving uit 2024 omvat de operator.
Beveiligingsprogramma
Het programma stelt beleid en procedures vast voor veilige bedrijfsvoering, risicobehandeling, verantwoordelijkheden, monitoring en blijvende beheersing.
Operationeel IACS
Het onderwerp is een industrieel automatiserings- en controlesysteem in de operationele context, met inbegrip van mensen en werkprocessen.
Beleid rond technische capaciteit
IEC 62443-2-1:2024 maakt bewust onderscheid tussen programmaverantwoordelijkheid en ingebouwde technische capaciteit. De asset owner heeft beleid en procedures nodig voor de relevante beveiligingsonderwerpen. De norm verandert een oude controller, een niet-ondersteund engineeringwerkstation of een langlevend SCADA-systeem niet in een product met alle moderne beveiligingsfuncties.
- de assetinventaris en de IACS-grens waarop het programma van toepassing is;
- rollen en verantwoordelijkheden voor de bedrijfsvoering, het onderhoud en de wijziging van het IACS;
- risicobehandelingsbesluiten voor IACS-specifieke beperkingen zoals beschikbaarheid, veiligheid en patchvensters;
- beleid voor afhandeling van kwetsbaarheden, toegang, back-ups, externe toegang, bescherming tegen malware en wijzigingsbeheer;
- verantwoordelijkheden van leveranciers en dienstverleners die moeten aansluiten op het programma van de asset owner.
Verouderde systemen en compenserende maatregelen
IEC erkent dat een IACS een levensduur van meer dan twintig jaar kan hebben en dat sommige oudere hardware of software mogelijk niet meer wordt ondersteund. Risicobehandeling en compenserende maatregelen kunnen ontbrekende capaciteiten opvangen. De beoordeling moet die maatregelen onderscheiden van functies die in het product zijn ingebouwd.
Niet-ondersteunde componenten
Niet-ondersteunde software of niet-beschikbare back-upmiddelen veranderen de manier waarop de asset owner risico beheert. Het programma moet de daaruit voortvloeiende beperkingen voor patchen of herstel behandelen.
Compenserende maatregelen
Compenserende maatregelen horen in het programma wanneer ingebouwde technische capaciteit ontbreekt of niet zonder onaanvaardbare operationele gevolgen kan worden gebruikt.
Afbakening ten opzichte van andere IEC 62443-delen
Het programma van de asset owner wordt afgestemd op andere delen van IEC 62443, maar vervangt deze niet. Eén organisatie kan meerdere rollen hebben, maar de claim moet nog steeds het juiste deel en beoordelingsobject noemen.
- IEC 62443-2-4 betreft beveiligingsprocessen van dienstverleners voor integratie- en onderhoudsactiviteiten.
- IEC 62443-3-2 betreft risicobeoordeling voor een vastgesteld systeem in kwestie, zones, conduits, SL-T en gedocumenteerde beveiligingsvereisten.
- IEC 62443-3-3 betreft beveiligingsvereisten voor controlesystemen en systeemcapaciteit.
- IEC 62443-4-1 betreft de levenscyclus voor veilige ontwikkeling door de productleverancier.
- IEC 62443-4-2 betreft technische componentcapaciteit voor IACS-componenten.
Delegatie draagt de scope niet over
De asset owner kan voor bewijs en uitvoering vertrouwen op leveranciers, integrators en onderhoudsproviders, maar de claim volgens 2-1 blijft betrekking hebben op het beveiligingsprogramma van de asset owner voor het IACS.
Toepassing op productwetgeving blijft afzonderlijk
IEC 62443-2-1 kan bewijs voor productwetgeving of klanten ondersteunen wanneer het gaat om operationele maatregelen, verantwoordelijkheden op locatie of risicobeheer van langlevende IACS. De norm creëert op zichzelf geen productcertificaat, componentcapaciteitsniveau of vermoeden van overeenstemming met de CRA. Een juridisch dossier moet nog steeds de toepasselijke wet, de product- of systeemgrens, de ondersteunde eis en de bronstatus van de gebruikte norm vermelden.