IEC 62443-normen voor industriële cyberbeveiliging
Sytance · Bijgewerkt
IEC 62443 is een reeks cyberbeveiligingsnormen voor industriële automatiserings- en controlesystemen (IACS). De verschillende delen behandelen de exploiterende organisatie, dienstverleners, systeemontwerp, veilige productontwikkeling en de mogelijkheden van componenten.
Normen voor industriële controlesystemen
De reeks behandelt industriële automatiserings- en controlesystemen gedurende hun levenscyclus. Het is niet alleen een apparaatnorm en ook niet uitsluitend een basisnorm voor netwerkbeveiliging. Op dezelfde locatie kunnen registraties nodig zijn van het beveiligingsprogramma van de asset owner, de geleverde diensten, het systeemontwerp en de geleverde producten.
Rollen en werkingssfeer
Een veelgemaakte fout is om te zeggen dat een product, dienst of fabriek simpelweg IEC 62443-conform is. Een conformiteitsverklaring moet de rol, het normdeel, de editie en de beoordelingsscope vermelden.
Asset owner
Beheert de operationele omgeving, het beleid, risicobesluiten en veel locatiegebonden maatregelen.
Systeemontwerper
Bepaalt de systeemgrens, zones, conduits, vereisten en beoogde beveiligingsniveaus.
Productleverancier
Levert bewijs voor veilige ontwikkeling en voor de mogelijkheden van geleverde componenten.
Dienstverlener
Toont binnen een vastgesteld profiel capaciteiten aan voor integratie, onderhoud en aanverwante diensten.
Belangrijkste delen in de praktijk
De zes onderstaande delen zijn gebruikelijke startpunten. De vereisten ervan gelden voor verschillende verantwoordelijkheden en fasen van de IACS-levenscyclus.
IEC 62443-2-1
Beveiligingsprogramma van de asset owner voor een operationeel IACS.
IEC 62443-2-4
Capaciteiten van dienstverleners voor integratie en onderhoud.
IEC 62443-3-2
Systeemrisicobeoordeling, zones, conduits en beoogde beveiligingsniveaus.
IEC 62443-3-3
Systeembeveiligingsvereisten en beveiligingsniveaus.
IEC 62443-4-1
Levenscyclus voor veilige productontwikkeling door productleveranciers.
IEC 62443-4-2
Technische beveiligingscapaciteitseisen voor IACS-componenten.
Zones, conduits en beveiligingsniveaus
Systeemanalyse begint meestal met het bepalen van het systeem in kwestie en de zones en conduits ervan, gevolgd door risicobeoordeling. Beveiligingsniveaus geven vervolgens de beoogde of bereikte capaciteit binnen een vastgestelde scope weer; gebruik ze niet als los marketinglabel voor producten.
Certificering en productwetgeving
Certificeringsregelingen en productwetgeving gebruiken IEC 62443 op verschillende manieren. Een certificaat kan binnen de vermelde scope capaciteiten van een proces, component, systeem of dienst aantonen. Naleving van productwetgeving blijft afhangen van de wet, het product, de eis, de editie en de erkende normroute.