IEC/ISA 62443-3-3: 2013 چیست؟ امنیت سایبری و انطباق

انجمن بین المللی اتوماسیون (ISA) و کمیسیون بین المللی الکتروتکنیک (IEC) در سال 2002 شروع به ایجاد سری استانداردهای 62443 کردند. این سری که شامل IEC/ISA 62443-3-3 است، در ابتدا به عنوان سری ISA99 شناخته می شد و شامل استانداردهای امنیت سیستم های اتوماسیون و کنترل صنعتی (IACS) بود که به دنبال راهنمایی موسسه استاندارد ملی آمریکا (ANSI) ایجاد شده بود

IEC/ISA 62443-3-3: 2013 الزامات سیستم (SRs) و بهبود الزامات (REs) مورد نیاز برای انطباق با الزامات اساسی (FRs) و اصول ذکر شده در قسمت 1: 1 از سری استانداردهای 62443 را تعریف می کند.

برای کسب اطلاعات بیشتر در مورد IEC 62443-3-3 و اینکه چگونه سازمان شما می تواند استانداردهای امنیتی مختلف را برای مطابقت با FR های سری 62443 ادغام کند، به خواندن ادامه دهید.

کشف کنید که چگونه UpGuard به سازمان ها کمک می کند تا از خود در برابر تهدیدات سایبری دفاع کنند>

الزامات امنیتی سیستم ISA/IEC و سیاست های امنیتی

استانداردهای ISA/IEC 62443 سازمان ها را ملزم می کند تا چندین اصل امنیت سایبری را برای مطابقت با FR های سری پیاده سازی کنند. این اصول امنیت سایبری عبارتند از:

• حداقل امتیاز: عمل محدود کردن حقوق دسترسی، دسترسی به حساب و قدرت محاسباتی کاربر بر اساس نقش آنها و دسترسی مورد نیاز برای انجام وظایف تعریف شده توسط نقش خود
• دفاع در عمق: این اصل به سازمان ها اجازه می دهد تا با جدا کردن سیستم ها به "مناطق" که از طریق "مجراها" با یکدیگر ارتباط برقرار می کنند، حملات سایبری را از تأثیر بر زیرساخت های حیاتی به تأخیر بیندازند یا از آن جلوگیری کنند.
• تجزیه و تحلیل ریسک: فرآیند شناسایی و ارزیابی خطرات و ریسک های بالقوه ای که می تواند بر یک سیستم یا سازمان تأثیر منفی بگذارد با استفاده از روش ها، شیوه ها و اقدامات متقابل ارزیابی ریسک
• جبران اقدامات امنیتی: اجزای IACS اغلب الزامات سطوح امنیتی ISA را برآورده نمی کنند و جبران اقدامات امنیتی IACS برای تسهیل راه حل ها و قابلیت های امنیتی بالا ضروری است
• مناطق و مجراها: سری 62443 معماری سیستمی را توصیه می کند که به ISA95 ارجاع می دهد و از چندین منطقه و کانال استفاده می کند

انتشارات کلیدی در سری 62443

سری 62443 خود را به چهار بخش تقسیم می کند: ماژول هایی در مورد موضوعات کلی، سیاست ها و رویه ها، سیستم ها و اجزا و الزامات.

• IEC 62443-1-1 (مفاهیم و ماژول ها): قسمت 1:1 از 62443 مفاهیم فرآیند صنعتی (از جمله FRs) مورد استفاده در سراسر سری و ماژول های این سری را تشریح می کند.
• IEC 62443-2-1 (الزامات برنامه امنیتی برای صاحبان دارایی های IACS): ISA-62443-2-1 به تامین کنندگان محصول و اپراتورهای راه حل اتوماسیون کمک می کند و رویه های امنیتی را تعریف می کند که صاحبان باید هنگام کار با سیستم مدیریت امنیت شبکه IACS دنبال کنند.
• IEC 62443-2-4 (الزامات ارائه دهندگان خدمات IACS): قسمت 2:4 شامل 12 بخش است که الزامات یکپارچه سازان IACS را تعریف می کند.
• IEC 62443-3-2 (ارزیابی ریسک امنیتی و طراحی سیستم): قسمت 3:2 سطوح امنیتی هدف (SL-T) را برای مناطق و مجاری توصیه شده تعیین می کند و الزامات امنیتی را برای طراحی سیستم مستند می کند.
• IEC 62443-4-1 (الزامات چرخه عمر توسعه محصول ایمن): قسمت 4:1 به هشت روش چرخه عمر توسعه ایمن تقسیم می شود و شامل الزاماتی برای آزمایش ویژگی های امنیتی، مدیریت وصله، مدیریت آسیب پذیری ها و غیره است.
• ISA/IEC 62443-4-2 (الزامات امنیتی فنی برای اجزای IACS): قسمت 4:2 شامل الزامات فنی برای اجزای سیستم و دستگاه های تعبیه شده است و محدودیت های امنیتی اجزای معمولی (CCSC) را تعریف می کند.

ISA/IEC 62443-3-3

قسمت 3:3 از سری استانداردهای ISA/IEC 62443 SR هایی را که سازمان ها برای رسیدن به FR های ذکر شده در قسمت 1:1 باید پیاده سازی کنند، تعریف می کند. هر FR در پنج سطح امنیتی (SL) اعمال می شود، که کاربران می توانند بسته به نتایج تجزیه و تحلیل ریسک و پروتکل های مدیریت آسیب پذیری خود به آنها پایبند باشند.

پنج SL برای هر FR عبارتند از:

• سطح 0: بدون نیاز به حفاظت خاص
• سطح 1: حفاظت های مورد نیاز برای رویدادهای گاه به گاه یا تصادفی
• سطح 2: محافظت های مورد نیاز برای کاربران عمدی یا مخرب با استفاده از منابع محدود، مهارت های سطح پایین و انگیزه کم
• سطح 3: محافظت های مورد نیاز برای کاربران عمدی یا مخرب با استفاده از منابع متوسط، مهارت های هدفمند و انگیزه متوسط
• سطح 4: محافظت های مورد نیاز برای کاربران عمدی یا مخرب با استفاده از منابع پیشرفته، مهارت های پیچیده و انگیزه بالا

این پنج SL به سازمان ها اجازه می دهد تا حفاظت ها را متناسب با نیازها، الزامات و پیچیدگی درک شده تهدیدات بالقوه خود تنظیم کنند.

الزامات اساسی & 62443-3-3 سیستم مورد نیاز

FR های سری 62443 شامل استانداردهای بین المللی برای اطمینان از امنیت اطلاعات و محافظت از فناوری عملیاتی است. 62443-3-3 به کاربران کمک می کند تا هفت FR زیر را رعایت کنند:

• FR 1: شناسایی، کنترل احراز هویت و کنترل دسترسی (AC)
• FR 2: از کنترل (UC) استفاده کنید
• FR 3: یکپارچگی سیستم (SI)
• FR 4: محرمانه بودن داده ها (DC)
• FR 5: جریان داده محدود (RDF)
• FR 6: پاسخ به موقع به رویدادها (TRE)
• FR 7: در دسترس بودن منابع (RA)

سیستم مورد نیاز FR 1

اولین نیاز اساسی سری 62443 حول شناسایی ، کنترل احراز هویت و کنترل دسترسی (AC) متمرکز است. در اینجا الزامات سیستم مورد نیاز برای انطباق با FR مطابق با قسمت 3:3 آورده شده است.

• 1.1 شناسایی و احراز هویت کاربر انسانی: همه کاربران شبکه انسانی باید به طور منحصر به فرد شناسایی و احراز هویت شوند
• 1.2 فرآیند نرم افزار و شناسایی و احراز هویت دستگاه: همه دستگاه ها باید توسط رابط های سیستم امن شناسایی و احراز هویت شوند
• 1.3: مدیریت حساب: سیستم باید بتواند حداکثر پهنای باند کاربر را مدیریت کند و همه حساب های کاربری را به راحتی مدیریت کند.
• 1.4: مدیریت شناسه: سیستم باید از تمام شناسه های کاربر، گروه، نقش و رابط پشتیبانی کند
• 1.5: مدیریت احراز هویت: کاربران باید رویه ها و یک سیستم مدیریت احراز هویت را برای اطمینان از منحصر به فرد بودن رمزهای عبور داشته باشند
• 1.6: مدیریت دسترسی بی سیم: سیستم باید بتواند همه کاربران بی سیم را شناسایی و احراز هویت کند
• 1.7: قدرت احراز هویت مبتنی بر رمز عبور: سیستم باید بتواند حداقل رمز عبور مورد نیاز را اجرا کند
• 1.8: گواهینامه های زیرساخت کلید عمومی (PKI): گواهینامه ها باید دارندگان کلید را تأیید کنند و از قانونی بودن آنها اطمینان حاصل کنند
• 1.9: قدرت احراز هویت کلید عمومی: سیستم باید بتواند حداقل الزامات PKI را اجرا کند
• 1.10: بازخورد احراز هویت: سیستم نباید کاراکترهای رمز عبور را هنگام تایپ توسط کاربر نمایش دهد
• 1.11: تلاش های ناموفق: IACS فقط باید تعداد مشخصی از تلاش های ناموفق برای ورود به سیستم را مجاز کند و زمان های قفل را برای شکست احراز هویت تعیین کند
• 1.12: اعلان استفاده از سیستم: سیستم باید پیام های استفاده ای را نمایش دهد که در مورد استفاده غیرمجاز هشدار می دهد و استفاده ضبط شده را ممنوع می کند.
• 1.13: دسترسی از طریق شبکه های غیرقابل اعتماد: IACS های سازگار باید توانایی کنترل دسترسی از شبکه های غیرقابل اعتماد را داشته باشند

سیستم مورد نیاز FR 2

دومین FR از سری 62443 مربوط به کنترل استفاده (UC) است. در اینجا سیستم مورد نیاز ذکر شده در ISA 62443-3-3 آمده است:

• 2.1: اجرای مجوز: سیستم باید بتواند مجوز را برای همه کاربران، نقش ها و پارامترها اعمال کند
• 2.2: کنترل استفاده بی سیم: شبکه های بی سیم سیستم باید با استفاده از شیوه های امنیتی صنعت، محدودیت های رویدادهای دسترسی از راه دور را نظارت و اعمال کنند.
• 2.3: از کنترل برای دستگاه های قابل حمل و تلفن همراه استفاده کنید: کنترل کننده ها باید IACS را طوری طراحی کنند که امکان نظارت و کنترل استفاده از دستگاه های قابل حمل و تلفن همراه را فراهم کند
• 2.4: کد موبایل: هر کدی که از خارج از سیستم بازیابی می شود باید تأیید شود تا از دستکاری و فعالیت های مخرب جلوگیری شود.
• 2.5: قفل جلسه: IACS نباید از قفل های جلسه برای کنترل عملکردهای حیاتی استفاده کند
• 2.6: خاتمه جلسه از راه دور: سیستم باید بتواند جلسات راه دور را پس از عدم فعالیت یا پس از شروع چنین اقدامی توسط کاربر خاتمه دهد
• 2.7: کنترل جلسه همزمان: جلسات همزمان باید بر اساس استانداردهای مجوز کاربر مدیریت و کنترل شوند
• 2.8: رویدادهای قابل حسابرسی: سیستم های کنترل باید بتوانند رویدادهای قابل حسابرسی را در گزارش سیستم ثبت کنند
• 2.9: ظرفیت ذخیره سازی حسابرسی: ظرفیت ذخیره سازی سیستم باید به اندازه کافی بزرگ باشد تا گزارش های حسابرسی مورد نیاز را ذخیره کند
• 2.10: پاسخ به شکست های پردازش حسابرسی: سیستم باید به اپراتورها هشدار دهد و در طول شکست های پردازش حسابرسی به عملکردهای ضروری ادامه دهد
• 2.11: مهرهای زمانی: تمام سوابق حسابرسی باید از مهرهای زمانی استفاده کنند

سیستم مورد نیاز FR 3

سومین FR 62443-3-3 به کنترل های یکپارچگی سیستم می پردازد. در اینجا سیستم مورد نیاز برای FR 3 آمده است:

• 3.1: یکپارچگی ارتباطات: اطلاعات منتقل شده در داخل و خارج از سیستم باید با استفاده از راه حل های داخلی و خارجی محافظت شود
• 3.2: محافظت از کد مخرب: IACS باید از راه حل های آنتی ویروس برای محافظت از خود در برابر کدهای مخرب استفاده کند
• 3.3: تأیید عملکرد امنیتی: در طول مراحل آزمایش و مراحل تعمیر و نگهداری، IACS باید تمام عملکردهای امنیتی را تأیید کند و تمام انحرافات را گزارش دهد
• 3.4: یکپارچگی نرم افزار و اطلاعات: یک راه حل SIEM باید اطلاعات را در حالت سکون شناسایی، ثبت، گزارش و محافظت کند
• 3.5: اعتبارسنجی ورودی: IACS باید تمام ورودی هایی را که مستقیما بر سیستم کنترل و تمام ورودی های فرآیند تأثیر می گذارند، تأیید کند
• 3.6: خروجی قطعی: زمانی که IACS نمی تواند به عملکرد منظم دست یابد، خروجی ها باید به حالت از پیش تعریف شده بازگردند
• 3.7: مدیریت خطا: IACS باید به سرعت پاسخ دهد و از شرایط خطا بازیابی شود
• 3.8: یکپارچگی جلسه: سیستم باید توانایی رد شناسه های جلسه نامعتبر و نصب پروتکل های مبتنی بر جلسه را داشته باشد
• 3.9: حفاظت از اطلاعات حسابرسی: اطلاعات حسابرسی باید رمزگذاری شود تا از آن در هنگام انتقال و استراحت محافظت شود

سیستم مورد نیاز FR 4

الزام اساسی 4 تضمین می کند که سیستم های تنظیم شده از بهترین شیوه ها برای محرمانه بودن داده ها پیروی می کنند. در اینجا سیستم مورد نیاز برای FR 4 آمده است:

• 4.1: محرمانه بودن اطلاعات: اطلاعات محرمانه باید در حالت استراحت و انتقال محافظت شود
• 4.2: ماندگاری اطلاعات: سیستم باید بتواند اطلاعات و داده های گذشته را در جلسات بعدی بازیابی کند
• 4.3: استفاده از رمزنگاری: هر الگوریتم رمزنگاری مورد استفاده توسط سیستم باید از بهترین شیوه های صنعت (از جمله الگوریتم های مورد استفاده برای پشتیبان گیری) پیروی کند

سیستم مورد نیاز FR 5

FR 5 نحوه وقوع جریان داده در IACS سازمان را محدود می کند. در اینجا سیستم مورد نیاز FR 5 آمده است:

• 5.1: تقسیم بندی شبکه: پرسنل باید در صورت امکان بخش های شبکه را جدا کنند و ارزیابی ریسک را برای کاهش خطر یک حادثه سایبری به کار گیرند
• 5.2: حفاظت از مرز منطقه: پروتکل های دسترسی به شبکه باید برای نصب حفاظت در مرزهای منطقه اجرا شوند
• 5.3: محدودیت های ارتباط فرد به فرد همه منظوره: IACS باید توانایی جلوگیری از پیام رسانی در صورت حمله مخرب را داشته باشد
• 5.4: پارتیشن بندی برنامه: برنامه ها باید بر اساس بحرانی بودن و به گونه ای پارتیشن بندی شوند که یک مدل منطقه بندی پذیرفته شده توسط صنعت را پیاده سازی کند

سیستم مورد نیاز FR 6

ششمین نیاز اساسی سری 62443 تضمین می کند که اپراتورهای IACS استانداردهایی را برای پاسخگویی به موقع به رویدادها در طول فرآیند توسعه نصب می کنند. در اینجا SR برای FR 6 آمده است:

• 6.1: دسترسی به گزارش حسابرسی: سیستم فقط باید به کاربران مجاز اجازه دسترسی فقط خواندنی به گزارش های حسابرسی را بدهد و نتواند گزارش ها را تغییر دهد
• 6.2: نظارت مداوم: پرسنل باید پروتکل های نظارت مداوم را برای اطمینان از آگاهی مداوم و پشتیبانی از تصمیمات ریسک نصب کنند

سیستم مورد نیاز FR 7

آخرین نیاز اساسی سری 62443 شامل پروتکل هایی برای مدیریت در دسترس بودن منابع است. در اینجا SR های ذکر شده در IEC 62443-3-3 برای FR 7 آمده است:

• 7.1: حفاظت از DoS: IACS باید در یک حالت تخریب شده از پیش تعیین شده در صورت وقوع حمله انکار سرویس عمل کند
• 7.2: مدیریت منابع: استانداردهای سیستم باید تخصیص منابع را مدیریت کرده و از فرسودگی منابع جلوگیری کنند
• 7.3: پشتیبان گیری از سیستم کنترل: پشتیبان گیری های به روز باید همیشه در دسترس باشند تا در صورت خرابی سیستم، بازیابی کامل سیستم را پیاده سازی کنند
• 7.4: بازیابی و بازسازی سیستم کنترل: گردش کار سیستم باید اطمینان حاصل کند که سیستم می تواند به سرعت و کارآمد به حالت امن بازگردد
• 7.5: قدرت اضطراری: حالت های امنیتی و حالت های تخریب شده نباید تحت تأثیر قرار گیرند که IACS از برق استاندارد به برق اضطراری تغییر می کند
• ۷.۶: تنظیمات پیکربندی شبکه و امنیتی: IACS باید بهترین شیوه های صنعت را برای امنیت شبکه رعایت کند
• 7.7: کمترین عملکرد: عملکردهای غیر ضروری باید محدود و مدیریت شوند تا از منابع در طول حوادث امنیتی محافظت کنند
• 7.8: موجودی اجزای سیستم کنترل: IACS باید موجودی به روز شده تمام اجزای سیستم کنترل را حفظ و مدیریت کند

نحوه رعایت استانداردهای امنیتی ISA

هر سازمانی که علاقه مند به رعایت استانداردهای امنیتی سری 62443 ISA است، باید مسئولیت را در بین بخش ها به اشتراک بگذارد. سری 62443 به ذینفعان کلیدی امنیت سایبری نیاز دارد تا با یکدیگر همکاری کنند و اطمینان حاصل کنند که تمام اجزای IACS آنها در برابر خطرات و آسیب پذیری های سایبری دفاع می کنند.

افراد، استانداردها، معیارهای امنیت سایبری و فرهنگ یک سازمان همگی نقش مهمی در پایبندی به الزامات اساسی و سیستمی موجود در سری 62443 خواهند داشت. این مجموعه همچنین از ارکان اساسی چارچوب امنیت سایبری NIST (NIST CSF) استفاده می کند که متخصصان فناوری اطلاعات و امنیت سایبری معمولا با آن آشنایی بیشتری دارند.

اصول اصلی NIST CSF عبارتند از:

• کشف: پرسنل باید تمام اجزای سیستم را به طور منظم نظارت و ارزیابی کنند تا خطرات سیستم و فعالیت های مخرب را پیش بینی، شناسایی و از آن جلوگیری کنند.
• بخش: سیستم ها باید در صورت امکان تقسیم بندی شوند تا تأثیر حملات سایبری و حوادث امنیتی بر یک سیستم را کاهش دهند
• تشخیص: پرسنل باید رویه ها و پروتکل هایی را برای شناسایی آسیب پذیری ها و خطرات جدید در سراسر سیستم به طور مداوم نصب کنند
• پاسخ: سازمان ها باید از برنامه های واکنش به حوادث و تداوم کسب و کار برای تسریع مدیریت حوادث و تعمیر سیستم استفاده کنند

راه حل های امنیت سایبری UpGuard می تواند به سازمان ها کمک کند تا بسیاری از نیازهای سیستم ISA 62443-3-3 را برآورده کنند. به طور همزمان، UpGuard BreachSight و Vendor Risk می توانند به کاربران در مفاهیم حیاتی امنیت سایبری، از جمله مدیریت سطح حمله، مدیریت ریسک فروشنده، پاسخ به حوادث، امنیت شبکه و غیره کمک کنند.

ویژگی های کامل BreachSight و Vendor Risk عبارتند از:

• تشخیص نشت داده ها: با تشخیص به موقع نشت داده ها، از شهرت، مالکیت معنوی و داده های مشتری برند خود محافظت کنید
• نظارت مداوم: به روزرسانی های بلادرنگ را دریافت کنید و نوردهی ها را در سطح حمله خود، از جمله دامنه ها، IP ها، برنامه ها، نقاط پایانی، افزونه ها و فایروال ها مدیریت کنید
• کاهش سطح حمله: با کشف آسیب پذیری های قابل بهره برداری و دامنه هایی که در معرض خطر اشتباه تایپی هستند، سطح حمله خود را کاهش دهید
• نمایه امنیتی مشترک: یک نمایه UpGuard Shared ایجاد کنید تا دردسر پاسخ دادن به پرسشنامه های امنیتی را از بین ببرید
• گردش کار و چشم پوشی ها: گردش کار اصلاح را ساده کنید، به سرعت از خطرات چشم پوشی کنید و به پرس و جوهای امنیتی پاسخ دهید
• گزارش و بینش: به گزارش های سفارشی برای ذینفعان مختلف دسترسی داشته باشید و اطلاعات مربوط به سطح حمله خارجی خود را مشاهده کنید
• پرسشنامه های امنیت فروشنده: پرسشنامه های امنیتی را خودکار کنید تا بینش عمیق تری در مورد روابط فروشنده و وضعیت امنیتی شخص ثالث خود به دست آورید
• رتبه بندی های امنیتی: وضعیت امنیتی فروشندگان فردی را با استفاده از رتبه بندی های امنیتی مبتنی بر داده، عینی و پویا ارزیابی کنید
• ارزیابی ریسک: گردش کار ارزیابی ریسک را ساده کنید، شواهد را جمع آوری کنید و به سرعت درخواست اصلاح کنید