IEC 62443-3-3: eisen voor besturingssystemen
Sytance · Bijgewerkt
IEC 62443-3-3:2013 is het deel met vereisten voor controlesystemen. Dit deel komt aan bod nadat het systeem in kwestie, de zones en conduits en de beoogde beveiligingsniveaus zijn vastgesteld.
Vereisten voor controlesystemen
IEC beschrijft IEC 62443-3-3 als gedetailleerde technische vereisten voor controlesystemen die samenhangen met de zeven fundamentele vereisten. Deze vereisten gelden voor het controlesysteem en de beveiligingscapaciteitsniveaus ervan. De beoordeling van een afzonderlijke component of een leveranciersproces is een afzonderlijke taak.
IEC 62443-3-3 gebruikt vereisten voor controlesystemen en SL-C(controlesysteem). Een product- of componentcertificaat kan het systeemdossier ondersteunen, maar vervangt niet de systeemarchitectuur, configuratie en operationele maatregelen.
IEC 62443-2-1 gaat over het beveiligingsprogramma van de asset owner voor een operationeel IACS. IEC 62443-3-3 gaat over gedetailleerde technische vereisten en beveiligingsniveaus voor controlesystemen.
IEC 62443-2-4 behandelt processen van dienstverleners voor integratie en onderhoud. Deze processen kunnen de implementatie van 3-3 helpen, maar bewijzen op zichzelf niet dat aan de technische vereisten voor controlesystemen is voldaan.
Verband met IEC 62443-3-2
IEC 62443-3-3 bouwt voort op het systeemmodel dat via IEC 62443-3-2 is opgesteld. Het werk volgens 3-2 definieert het systeem in kwestie, verdeelt het in zones en conduits, beoordeelt risico’s, stelt SL-T vast en documenteert beveiligingsvereisten. IEC 62443-3-3 biedt vervolgens de structuur van systeemvereisten om de vereiste capaciteit uit te drukken en te beoordelen.
Definiëren
Definieer het systeem in kwestie en de zones en conduits binnen of rondom dat systeem.
Beoordelen
Beoordeel de risico’s voor elke zone en conduit en stel SL-T vast voor de relevante systeemgrens.
Specificeren
Gebruik IEC 62443-3-3 om vereisten voor het controlesysteem en SL-C(controlesysteem) uit te drukken.
Deze volgorde voorkomt een veelgemaakte fout: vereisten van 3-3 selecteren zonder te weten welke zone, conduit, asset, dreigingsomgeving of beoogd niveau ermee moet worden ondersteund.
Bewijs uit ontwerp en implementatie
Systeembewijs vereist meestal meer dan productdocumenten. Het moet de geïmplementeerde of ontworpen architectuur en de verdeling van verantwoordelijkheden tussen de asset owner, integrator, onderhoudsprovider en productleverancier toelichten.
- systeemgrens en assetlijst;
- zonemodel en conduitmodel;
- communicatiepaden en paden voor externe toegang;
- risicomotivering en SL-T voor elke relevante zone of conduit;
- geselecteerde vereisten van IEC 62443-3-3 en de claim SL-C(controlesysteem);
- geïmplementeerde technische en organisatorische maatregelen;
- bewijs van product- en componentcapaciteiten dat in het ontwerp is gebruikt;
- operationele procedures, monitoring en onderhoudsverantwoordelijkheden;
- validatiebewijs voor het geïmplementeerde ontwerp.
Bewijs van de geïmplementeerde staat
Configuratie, netwerkpaden, externe toegang, accounts, monitoring, back-ups en onderhoudsprocedures moeten overeenkomen met het systeem zoals het is gebouwd of goedgekeurd.
Certificeringsscope
Een systeemevaluatie moet aangeven of het certificaat of rapport betrekking heeft op capaciteit, de toepassing van capaciteiten of een vastgestelde oplossingsscope.