امنیت سیستم های کنترل صنعتی: ISA 62443-2-1:2009

سری استانداردهای ISA-62443 که توسط انجمن بین المللی اتوماسیون (ISA) توسعه یافته است، مجموعه ای جامع از دستورالعمل ها برای اطمینان از امنیت سیستم های اتوماسیون و کنترل صنعتی (IACS) است.

ISA 62443-2-1:2009 یک استاندارد خاص در این سری است که بر ایجاد یک سیستم امنیتی اتوماسیون و کنترل صنعتی تمرکز دارد. از آنجایی که بسیاری از این سیستم ها زیرساخت های حیاتی را فراهم می کنند، محافظت از آنها در برابر هر گونه حادثه امنیتی که ممکن است عملیات را مختل کند، ضروری است. این وبلاگ ارزیابی های مشخص شده در ISA 62443-2-1:2009 و اینکه چرا IACS باید آنها را در اولویت قرار دهد، شرح می دهد.

پرسشنامه های ارزیابی امنیتی خود را با UpGuard > خودکار کنید

سری استانداردهای ISA-62443

استانداردهای ISA-62443 ارزیابی های IACS را شرح می دهد که تضمین می کند سازمان ها به طور کامل از سیستم های حیاتی خود در برابر تهدیدات فیزیکی و دیجیتالی قابل توجه محافظت می کنند. IACS یا سیستم اتوماسیون و کنترل صنعتی، به مجموعه ای از سیستم های شبکه ای اطلاق می شود که برای راه اندازی و خودکارسازی فرآیندهای صنعتی استفاده می شود.

به عنوان مثال می توان به کنترل کننده های منطقی قابل برنامه ریزی (PLC)، سیستم های کنترل توزیع شده (DCS)، سیستم های کنترل نظارتی و جمع آوری داده ها (SCADA)، رابط های انسان و ماشین (HMIs) و شبکه ها و محرک های حسگر اشاره کرد.

استانداردهای ISA-62443 که قبلا به عنوان استانداردهای ISA99 شناخته می شد، برای حفظ امنیت در صنایع مختلف ضروری است. این استانداردها رویکردی ساختاریافته و سیستماتیک برای ایمن سازی سیستم های کنترل صنعتی حیاتی در بخش های مختلف مانند تولید، انرژی، تصفیه آب و غیره ارائه می دهند. این سریال شامل:

• مفاهیم و مدل های کلی (ISA-62443-1): این بخش پایه ای برای مجموعه ها فراهم می کند و تعاریف، مفاهیم و مدل های مورد استفاده در امنیت IACS را تشریح می کند.
• ایجاد سیستم امنیتی اتوماسیون صنعتی و سیستم های کنترل (ISA-62443-2): این بخش بر ایجاد و حفظ یک برنامه امنیتی IACS، از جمله ارزیابی ریسک، رسیدگی به آسیب پذیری ها و اقدامات حفاظتی تمرکز دارد.
• الزامات امنیتی سیستم و سطوح امنیتی (ISA 62443-3): این بخش الزامات خاص برای امنیت IACS را فهرست می کند، سطوح امنیتی را تعریف می کند و الزامات رسیدن به آن سطوح را مشخص می کند.
• الزامات فنی برای اجزای IACS (ISA 62443-4): این بخش الزامات فنی برای اجزای IACS، مانند الزامات چرخه عمر توسعه محصول ایمن و یکپارچه سازی سیستم را توضیح می دهد.

اجزای اصلی ISA 62443-2-1:2009

استاندارد دوم در سری ISA 62443 بر ایجاد سیستم های امنیتی اتوماسیون و کنترل صنعتی متمرکز شده است. به طور خاص، این استاندارد عناصر امنیت سایبری مورد نیاز برای مدیریت IACS را تشریح می کند و کاربران را برای برآورده کردن الزامات هر عنصر راهنمایی می کند.

این استاندارد چهار حوزه اصلی را که IACS باید اولویت بندی کند، با عناصر خاصی در هر یک برای شناسایی و ارزیابی مشخص می کند.

• ارزیابی برنامه های امنیتی و حریم خصوصی
• ارزیابی امنیت زیرساخت ها
• ارزیابی امنیت فیزیکی و مرکز داده
• ارزیابی امنیت برنامه

ارزیابی برنامه های امنیتی و حریم خصوصی

برنامه امنیت و حریم خصوصی اطلاعات مجموعه ای جامع از سیاست ها، دستورالعمل ها و فرآیندها برای شناسایی و رسیدگی به تهدیدات و خطرات اطلاعات و سیستم های شرکت است. برای IACS، ارزیابی برنامه های امنیتی و حریم خصوصی ضروری است. این بخش از ISA 62443-2-1:2009 بر این موضوع تمرکز دارد که آیا یک سازمان دارای یک برنامه امنیتی ثابت است یا خیر و در غیر این صورت، زمینه های کلیدی را که باید هنگام ایجاد آن در نظر گرفته شود، مشخص می کند.

یک برنامه امنیتی و حریم خصوصی ایجاد شده به اطمینان از ایمن نگه داشتن اطلاعات مشتری کمک می کند. این استاندارد حوزه های کلیدی را ارزیابی می کند، از جمله:

• امنیت و حریم خصوصی: برنامه های امنیتی و کنترل های امنیتی ایجاد شده
• امنیت پرسنل: کنترل دسترسی، پروتکل های رمز عبور، توافق نامه های محرمانه، امنیت اطلاعات و آموزش حفظ حریم خصوصی برای کارمندان و غیره.
• انطباق با قوانین و مقررات: فرآیند شناسایی، مستندسازی و حفظ الزامات قانونی، نظارتی و قراردادی مربوطه

ارزیابی امنیت زیرساخت ها

ارزیابی امنیت زیرساخت، ارزیابی جامعی از زیرساخت های فیزیکی و دیجیتالی یک IACS است. هدف آن شناسایی هرگونه آسیب پذیری یا نقاط شکست بالقوه است که می تواند در معرض خطر تهدیدات سایبری باشد.

IACS اغلب از سیستم های حیاتی برای فرآیندهای مختلف صنعتی استفاده می کند، بنابراین هر نوع نقض یا خرابی می تواند عواقب مخربی (اختلالات عملیاتی، خطرات ایمنی و غیره) داشته باشد. بنابراین، این نوع ارزیابی به درک وضعیت امنیتی و کفایت اقدامات امنیتی موجود کمک می کند. مناطق موجود در این بخش از ISA-62443-2-1:2009 عبارتند از:

• شبکه: ابزارهای مدیریت پیکربندی سیستم، فایروال ها، رمزگذاری داده ها، سیستم های تفکیک شده، نظارت مستمر و غیره.
• سرورها: فرآیندهای به روز رسانی و وصله های سیستم عامل، اقدامات حفاظت از بدافزار و غیره.
• کلاینت ها (ایستگاه کاری، لپ تاپ ها و غیره): استانداردهای سیستم های مشتری، محافظت از بدافزار در دستگاه های مشتری، کنترل دسترسی شخصی و غیره.
• توافق نامه های پشتیبانی زیرساخت: توافق نامه های پشتیبانی برای نسخه های سیستم عامل پشتیبانی نشده
• مدیریت داده: محیط های جداگانه برای توسعه، تست و تولید
• تست امنیت فنی: تست نفوذ، اسکن آسیب پذیری، تست امنیتی و غیره.
• لاگ کردن: لاگ کردن رویداد مرتبط با امنیت
• مدیریت دارایی: موجودی های به روز، ردیابی دارایی های کارمند/پیمانکار/شخص ثالث و غیره

ارزیابی امنیت فیزیکی و مرکز داده

حوزه بعدی ISA-62443-2-1:2009 بر امنیت فیزیکی و مرکز داده تمرکز دارد. این ارزیابی اقدامات امنیتی فیزیکی را ارزیابی می کند که از دسترسی غیرمجاز به تجهیزات حساس و مراکز داده که در آن یک نهاد اجزا و داده های IACS خود را ذخیره می کند، جلوگیری می کند.

یک ارزیابی جامع، کنترل های دسترسی فیزیکی، سیستم های نظارتی و کنترل های محیطی را شناسایی می کند. این ارزیابی وضعیت امنیتی در برابر تهدیدات سایبری مانند هک، بدافزار و نقض داده ها برای دارایی های دیجیتال را ارزیابی می کند. این رویکرد دوگانه امنیت فیزیکی و مرکز داده قوی و عملیات مداوم را برای IACS تضمین می کند. حوزه های این بخش عبارتند از:

• امنیت در دفتر: اقدامات فیزیکی مانند نگهبان، آشکارسازهای حرکت، دوربین مدار بسته، کنترل دسترسی الکترونیکی، امنیت محیطی، قفل خودکار تجهیزات بدون مراقبت و غیره.
• امنیت مرکز داده: نقاط دسترسی کنترل شده، پروتکل های قطعی، ارزیابی ریسک و غیره.

ارزیابی امنیت برنامه

برنامه ها نقش حیاتی در کنترل، نظارت و مدیریت فرآیندهای صنعتی در IACS دارند. هر گونه آسیب پذیری در این برنامه ها می تواند منجر به خطرات قابل توجهی مانند اختلالات عملیاتی، نقض داده ها و خطرات ایمنی شود.

انجام یک ارزیابی امنیتی جامع از این برنامه ها می تواند به شناسایی و کاهش آسیب پذیری ها، از جمله نقص های کدنویسی، رمزگذاری ناکافی یا API های ناامن که مهاجمان سایبری می توانند از آنها سوء استفاده کنند، کمک کند. همچنین اثربخشی پروتکل های امنیتی موجود، مانند مکانیسم های احراز هویت و مجوز، را ارزیابی می کند و انطباق با استانداردهای صنعت و بهترین شیوه ها را تضمین می کند. حوزه های این بخش عبارتند از:

• گزارش و مدیریت آسیب پذیری: فرآیندهایی برای گزارش آسیب پذیری ها، اطلاع رسانی به مشتری و غیره.
• احراز هویت و مجوز: خدمات احراز هویت، الزامات رمز عبور، مکانیسم های SSO و غیره.
• چرخه عمر توسعه نرم افزار: الزامات مربوط به امنیت برای برنامه ها، یکپارچگی و محرمانه بودن اطلاعات پردازش شده، فرآیندهای کدنویسی ایمن و غیره.
• وابستگی های شخص ثالث: بررسی های امنیتی ارائه دهندگان برون سپاری

UpGuard BreachSight و VendorRisk فرآیند ارزیابی شما را با استفاده از پرسشنامه های امنیتی داخلی قدرتمند ما خودکار می کنند. قالب های استاندارد یا پرسشنامه های سفارشی را برای فروشندگان خود ارسال کنید، تاریخ های سررسید پرسشنامه را پیکربندی کنید و یادآوری های منظم تنظیم کنید تا اطمینان حاصل شود که فروشندگان درخواست ها را به طور موثر تکمیل می کنند.

خطرات به طور خودکار در پاسخ های فروشنده شناسایی می شوند، بنابراین می توانید درخواست اصلاح کنید یا از آنها چشم پوشی کنید. با فروشندگان در کاهش خطرات با استفاده از گردش کار ارزیابی ریسک همکاری کنید، با استفاده از پیام های قابل حسابرسی و داخلی برای پاسخ های فروشنده خاص مطابقت داشته باشید یا یادداشت های داخلی را اضافه کنید.

کتابخانه پرسشنامه ما به مقررات و بهترین شیوه های صنعت امنیت سایبری اشاره می کند، از جمله:

• پرسشنامه SIG Lite
• پرسشنامه ISO 227001
• پرسشنامه ابزار ارزیابی فروشنده جامعه آموزش عالی (HECVAT)
• پرسشنامه قانون حمل و پاسخگویی بیمه سلامت (HIPAA)
• پرسشنامه چارچوب امنیت سایبری NIST
• پرسشنامه استاندارد امنیتی COBIT 5
• پرسشنامه قانون حفظ حریم خصوصی مصرف کننده کالیفرنیا (CCPA).
• کنترل های CIS 7.1 پرسشنامه استاندارد امنیتی
• پرسشنامه PCI DSS
• Apache Log4J - پرسشنامه آسیب پذیری بحرانی