IEC 62443: Hoe IACS (Industrial Automation and Control Systems) te beveiligen

De behoefte aan normen

In de Iraanse kerncentrale Natanz werden industriële besturingssystemen die centrifuges aansturen, aangevallen door aanvallers die infiltreerden via geïnfecteerde USB-sticks, waarschijnlijk geïntroduceerd door een insider. Een ander geval was in 2017, toen het Safety Instrumented System van een petrochemische fabriek in Saoedi-Arabië fysiek geïsoleerd was, maar aanvallers infiltreerden via een extern technisch werkstation dat verbonden was met het SIS (Safety Instrumented System). Wereldwijd ondervonden meerdere organisaties problemen bij het beveiligen van deze systemen, en ongeveer 40% van de wereldwijde IACS-systemen werd in de tweede helft van 2022 geconfronteerd met kwaadaardige activiteiten; hierdoor ontstond de behoefte aan standaarden.

Internationale Elektrotechnische Commissie (IEC) 

De Internationale Elektrotechnische Commissie (IEC), ongeveer een eeuw geleden opgericht, richt zich op de behoefte aan gestandaardiseerde elektrische metingen en technologie. In de loop der jaren heeft de IEC haar werkterrein uitgebreid en alle producten en diensten op het gebied van technologieën, zoals elektronica, telecommunicatie, energieopwekking en geavanceerde digitale systemen, opgenomen. In de 21e eeuw is de IEC uitgegroeid tot dé wereldwijde autoriteit op het gebied van elektrotechniek en elektronica. De organisatie heeft meer dan 10,000 standaarddocumenten gepubliceerd met specificaties, best practices en testprotocollen die compatibiliteit, betrouwbaarheid en duurzaamheid garanderen en tegelijkertijd innovatie bevorderen.

IEC 62443 is in overeenstemming met de missie van de Internationale Elektrotechnische Commissie (IEC) om een ​​normatief kader voor cyberbeveiliging te creëren voor opkomende industriële automatiserings- en kritieke infrastructuursectoren. IEC streeft naar veiligheid, betrouwbaarheid en wereldwijde compatibiliteit in elektrische en elektronische systemen, en IEC 62443 sluit hier direct op aan door cyberdreigingen aan te pakken, met name in industriële automatiseringssystemen (IACS). Als horizontale norm reikt het verder dan de industriële sector en is het relevant voor de gezondheidszorg, de automobielindustrie en andere kritieke sectoren, waar veilige interoperabiliteit en wereldwijde best practices voor cyberbeveiliging worden bevorderd. Omdat het consistente beveiligingsbepalingen voor elke sector biedt, verbetert IEC 62443 de veerkracht, het risicomanagement en de naleving als onderdeel van IEC's wereldwijde inzet op het gebied van veiligheid en beveiliging.

De structuur van IEC 62443

De IEC 62443-norm is onderverdeeld in vier categorieën, aangegeven met behulp van achtervoegsels: -1, -2, -3, -4. Elk van deze categorieën richt zich op verschillende aspecten van cyberbeveiliging voor industriële automatiserings- en besturingssystemen.

IEC 62443-1 (Algemeen)

IEC 62443-1 biedt een basis voor IACS-beveiliging, te beginnen met het definiëren van belangrijke termen, concepten en modellen die belanghebbenden zullen gebruiken om een ​​gemeenschappelijk begrip te creëren (62443-1-1). Het bevat ook een complete verklarende woordenlijst met de termen en afkortingen die in de reeks worden gebruikt om ervoor te zorgen dat alle documenten consistent en duidelijk zijn (62443-1-2). Daarnaast introduceert het conformiteitsmetrieken voor systeembeveiliging die beschrijven hoe de beveiligingsstatus van IACS effectief kan worden beoordeeld (62443-1-3). Het schetst de beveiligingslevenscyclus van IACS en praktische use cases om belanghebbenden te begeleiden bij het implementeren van beveiligingsmaatregelen gedurende de hele levenscyclus van het systeem (62443-1-4).

IEC 62443-2 (Beleid en procedures)

De IEC 62443-2-serie richt zich op organisatiebeleid en -procedures ter verbetering van de IACS-beveiliging. De serie is gericht op het adviseren over het opzetten en onderhouden van een cybersecurityprogramma voor industriële systemen (62443-2-1) en introduceert kaders zoals NIST CSF, ISO 27001, enz., voor het evalueren van de volwassenheid van dergelijke programma's (62443-2-2). Andere onderwerpen die in deze reeks aan bod komen, zijn patchmanagementprocessen om kwetsbaarheden binnen de IACS-omgeving te verminderen (62443-2-3) en beveiligingsprogrammavereisten voor serviceproviders met betrekking tot IACS-activiteiten, aangezien zij bevoorrechte toegang hebben tot industriële systemen die hen tot mogelijke aanvalsvectoren maken (62443-2-4).

IEC 62443-3 (Systeem)

De IEC 62443-3-serie richt zich op beveiliging op systeemniveau voor IACS. De norm introduceert ook maatregelen zoals endpoint protection en zonering om industriële systemen te beveiligen (62443-3-1). De norm biedt richtlijnen voor het uitvoeren van risicobeoordelingen om potentiële bedreigingen te identificeren en te beperken tijdens de systeembouw (62443-3-2). De norm bevat ook initiële systeembeveiligingsvereisten en definieert de beveiligingsniveaus (SL 1-4) die organisaties helpen het gewenste beveiligingsniveau te bereiken (62443-3-3).

IEC 62443-4 (Onderdeel)

De IEC 62443-4-serie richt zich op de vereisten voor de beveiliging van individuele componenten van IACS. Dit omvat een veilige productontwikkelingscyclus, zodat componenten worden ontwikkeld volgens strenge beveiligingspraktijken (62443-4-1), evenals het specificeren van technische beveiligingsvereisten voor individuele IACS-componenten zoals controllers, sensoren en HMI's, en de vereisten voor veilige werking binnen het systeem (62443-4-2). We hebben IEC 62443-4-2 verderop in deze blog besproken.

Beveiligingsniveaus van IEC 62443

IEC 62443 omvat vier beveiligingsniveaus die gericht zijn op de bescherming van industriële systemen tegen diverse cybersecuritybedreigingen. Elk niveau is gedefinieerd met een specifiek dreigingsniveau in gedachten, van de meest triviale gebeurtenissen tot geavanceerde processen.

Organisaties bepalen het vereiste IEC 62443-beveiligingsniveau (SL1-SL4) na het uitvoeren van risicobeoordelingen, bedreigingsmodellering en analyse van de criticaliteit van activa, evenals het in acht nemen van eventuele nalevingsvereisten binnen de sector. Frameworks zoals NIST RMF, ISO 31000 en IEC 62443-3-2 helpen bij het beoordelen van de waarschijnlijkheid dat bedreigingen of kwetsbaarheden zich voordoen en de uiteindelijke operationele impact ervan. Over het algemeen hebben de meeste risicovolle sectoren (bijvoorbeeld energie en gezondheidszorg) SL3 of SL4 nodig, terwijl sectoren met minder impact SL1 of SL2 kunnen gebruiken.  

SL1 Bescherming tegen onbedoelde inbreuken  

Alleen het verhelpen van onopzettelijke inbreuken is in deze categorie effectief. De nadruk ligt op maatregelen om menselijke fouten tegen te gaan., zoals onjuiste configuratie van informatie en onbedoelde verwijdering. Deze maatregelen omvatten basisoplossingen zoals gebruikersauthenticatie om ervoor te zorgen dat alleen geautoriseerde personen toegang hebben tot systemen. Daarnaast zijn er toegangscontroles ingesteld om ongeautoriseerde gebruikers te beperken.

SL2 Bescherming tegen opzettelijke aanvallen

Niveau 2 richt zich op aanvallen die eenvoudig maar opzettelijk zijn. Dit soort aanvallen maakt meestal gebruik van eenvoudige malware of maakt gebruik van ongepatchte of zwakke kwetsbaarheden in het systeem. Bescherming tegen malware wordt geboden door antivirus- en antimalwaresoftware, en sterkere authenticatiemechanismen voor gebruikers, zoals vereisten voor wachtwoordcomplexiteit en multifactorauthenticatie, worden gebruikt om de systemen te beschermen.     

SL3 Bescherming tegen geavanceerde aanvallen

Beveiligingsniveau 3 behandelt voornamelijk aanvallen van aanvallers die beter georganiseerd en vaardiger zijn. Deze aanvallers zijn in staat complexe kwetsbaarheden uit te buiten en kunnen geavanceerde tools en methoden gebruiken om systemen te hacken. Dit niveau omvat een breed scala aan zeer strenge beveiligingsmaatregelen. Er zijn vereisten voor biometrische toegang, de installatie van geavanceerde alarmsystemen en strikte gebruikersprotocollen. Er is sprake van continue monitoring en meerdere beveiligingslagen worden toegepast om een ​​algehele bescherming te garanderen.

SL4 Bescherming tegen externe aanvallen met geavanceerde tools

Niveau 4 is de hoogste beveiligingsniveaus en voorkomt de meest geavanceerde cyberaanvallen met risicovolle scenario's die verwoestende verliezen kunnen veroorzaken. Niveau 4 vereist geavanceerde dreigingsinformatie, realtime anomaliedetectie, AI-gestuurde monitoring en netwerksegmentatie. Het omvat ook geautomatiseerde incidentrespons, zero-trustarchitectuur, geharde encryptie en strikte toegangscontroles.

Het concept van zones en leidingen   

De toepassing van zones en conduits is fundamenteel voor het organiseren en beheren van de beveiliging van industriële netwerken en daarom is het belangrijk om de IEC 62443-normen te begrijpen. Dit concept stelt dat het systeem moet worden opgedeeld in verschillende logische onderdelen en dat het dataverkeer tussen deze onderdelen moet worden beheerd. Dit is een basisbenadering voor risicobeheersing in complexe systemen. In IACS worden zones gekarakteriseerd als specifieke gebieden met individuele beveiligingsbehoeften met betrekking tot de specifieke activiteiten en risico's die ermee gepaard gaan. Deze zones zijn met elkaar verbonden via conduits, communicatiekanalen tussen de zones.

Zones

Het is slechts een logische en fysieke groepering van entiteiten of systemen met gemeenschappelijke beveiligings- of operationele kenmerken. Het doel hiervan is om verschillende componenten van een systeem te scheiden die verschillende vereisten hebben, afhankelijk van functionaliteit of gevoeligheid. Een voorbeeld hiervan is een fabriek waar de productie zich in de ene zone bevindt, terwijl de IT-systemen die verantwoordelijk zijn voor communicatie en beheer zich in een andere zone bevinden.

leidingen

Conduits zijn communicatiepaden die datastromen mogelijk maken en een manier vormen om de interactie tussen zones te controleren en te beveiligen. Ze zorgen ervoor dat alleen geautoriseerde en veilige gegevensuitwisseling plaatsvindt. Ze fungeren als controlepunten tussen de zones; ze handhaven in principe beveiligingsmaatregelen voor de communicatie tussen de zones. Deze maatregelen kunnen bestaan ​​uit toegangscontrolelijsten, firewalls, inbraakdetectiesystemen, enzovoort. Een voorbeeld hiervan is dat in een vergelijkbare fabriek een conduit de datastroom tussen de veldzone en de beheerzone kan regelen. Een firewall kan tussen deze zones functioneren en het type gegevens beperken dat tussen deze zones mag worden uitgewisseld.

Het zone- en geleidingsmodel in IEC 62443 belooft diverse voordelen voor de beveiliging en beheerbaarheid van industriële automatiserings- en controlesystemen (IACS). Een belangrijk voordeel is risico-isolatie; het groeperen van activa in afzonderlijke zones beperkt het impactgebied van een inbreuk. Door middel van geleidingssystemen wordt de beveiliging verbeterd en worden de communicatie tussen zones strikt gecontroleerd om ongeautoriseerde toegang en manipulatie van uitgewisseld informatie te voorkomen. Bovendien vereenvoudigt het de beveiligingsadministratie, omdat beveiligingsbeleid wordt gedefinieerd en strikt wordt toegepast in alle goed gedefinieerde zones. Het model is ook schaalbaar, waardoor meer zones en geleidingssystemen kunnen worden toegevoegd naarmate een systeem verandert en groeit, waardoor permanente bescherming wordt gegarandeerd naarmate de omgeving groeit.

Voldoen aan IEC 62443

Een organisatie die wil voldoen aan IEC 62443 moet een volledige risico-evaluatie, die onder meer de identificatie van belangrijke risico's, kwetsbaarheden en kritieke activa met betrekking tot het gehele industriële automatiserings- en controlesysteem (IACS) omvat. Op basis van deze beoordeling zal de Beveiligingsmanagementsysteem Er is een SMS ontwikkeld, dat het beleid, de processen en de verantwoordelijkheden voor de beveiliging van het IACS bevat, gericht op zowel technische als organisatorische cyberbeveiliging. Netwerksegmentatie kan worden bereikt door het creëren van beveiligde zones, elk met een gecontroleerde verbinding voor gegevensoverdracht tussen de zones. Sterk toegangscontrole Er moeten mechanismen worden opgelegd, waaronder multi-factor-authenticatie en rolgebaseerde toegang, om ongeautoriseerde toegang te voorkomen.

Continue bewaking moet worden opgezet om bedreigingen effectief te detecteren en erop te reageren zodra ze zich voordoen. Er zal ook een incident response plan het beschrijven van maatregelen om cyberbeveiligingsincidenten in te dammen, te herstellen en met alle belanghebbenden te communiceren. Werknemerstraining Er moet een systeem worden opgezet om personeel te informeren over wat te doen bij beveiligingsrisico's waarmee een organisatie wordt geconfronteerd. Daarnaast moeten externe leveranciers waarmee de organisatie samenwerkt, voldoen aan de beveiligingseisen. Dit vermindert de blootstelling aan IACS van buitenaf. Tot slot, regelmatige nalevingsaudits en certificering door derden Er moet worden gezocht naar bewijs voor de naleving van IEC 62443.

Hoe helpt het?

IEC 62443 is een norm die een gestructureerd raamwerk biedt om risico's gedurende de levenscyclus van IACS te beperken en beveiligingskwetsbaarheden vanaf het begin aan te pakken. De norm benadrukt een gelaagde beveiligingsaanpak: het beschermen van kritieke en gevoelige activa en het minimaliseren van de mogelijke impact van cyberdreigingen door middel van netwerksegmentatie. Het stimuleert het proactieve gebruik van technologieën zoals firewalls, SIEM-oplossingen, enz. voor bedreigingsdetectie, waardoor de identificatie en beperking van bedreigingen binnen deze lagen mogelijk wordt. Regelmatige evaluatie, continue monitoring en het uitvoeren van compliance-audits zorgen ervoor dat de organisatie gelijke tred kan houden met evoluerende bedreigingen en tegelijkertijd een sterke verdediging kan behouden.

Deze norm helpt organisaties op verschillende manieren te profiteren van verbeterde beveiliging, operationele veerkracht en compliance, waardoor systemen beter bestand zijn tegen zowel onbedoeld niet-gebruik als opzettelijke aanvallen, downtime wordt verminderd en de operationele efficiëntie wordt verbeterd. Deze toewijding creëert niet alleen vertrouwen onder stakeholders, maar stelt organisaties ook in staat om internationaal erkende best practices te benutten en te voldoen aan wereldwijde cybersecuritynormen om kritieke infrastructuur te beschermen.

IEC 62443-4-2

IEC 62443-4-2 is een norm binnen de IEC 62443-serie die zich richt op de technische beveiligingsvereisten voor individuele IACS-componenten, waaronder embedded apparaten, netwerkcomponenten, softwareapplicaties en hostapparaten. De norm benadrukt het onderhoud van IACS-componenten gedurende hun gehele levenscyclus door beveiligingsaspecten aan te pakken, van ontwerp en ontwikkeling tot gebruik en buitengebruikstelling. De norm specificeert gedetailleerde beveiligingsvereisten ter bescherming tegen diverse cyberdreigingen en waarborgt de integriteit, vertrouwelijkheid en beschikbaarheid van IACS-componenten op zowel de korte als de lange termijn. De norm sluit aan bij het bredere IEC 62443-kader en ondersteunt de veilige implementatie van industriële besturingssystemen door beveiligingsmaatregelen op componentniveau te definiëren die nodig zijn voor de bescherming van kritieke infrastructuur.

Individuele componenten zoals controllers of sensoren kunnen kwetsbaarheden hebben die het gehele IACS doordringen, waardoor componentbeveiliging cruciaal is voor de beveiliging op systeemniveau. Veilige componenten kunnen toegangscontrole, encryptie, patchmanagement of beveiligde communicatie omvatten. Afhankelijkheden ontstaan ​​wanneer een zwakke component een toegangspunt wordt voor aanvallen op onderling verbonden systemen. Daarom streeft IEC 62443-4 ernaar om beveiliging door ontwerp te waarborgen, terwijl IEC 62443-3 een overzicht biedt van het gehele systeem om te garanderen dat geen enkele storing de beveiliging van het gehele systeem in gevaar brengt.

Wat vereist IEC 62443-4-2?

Een van de belangrijkste vereisten is de invoering van een Veilige ontwikkelingslevenscyclus (SDL), die beveiliging vanaf het begin van de productontwikkeling integreert en ervoor zorgt dat beveiligingstests en -validatie in elke fase plaatsvinden om de productintegriteit te waarborgen. De norm schrijft ook patchmanagementprocessen voor om tijdige kwetsbaarheidsupdates met betrekking tot operationele beveiliging te garanderen. IEC 62443-4-2 benadrukt het belang van Sterke toegangscontrole en authenticatiemechanismen, waardoor wordt gewaarborgd dat alleen geautoriseerde gebruikers toegang hebben tot IACS-componenten, wat in lijn is met de zero-trust-beveiliging.

Het bevat ook Fysieke beveiligingsmaatregelen om ongeautoriseerde fysieke toegang te voorkomen en gesloten systemen te beschermen. Gegevensbescherming is een belangrijk aandachtspunt, met vereisten voor encryptie om gevoelige gegevens te beveiligen, naast controles om de systeemintegriteit te behouden en malware of ongeautoriseerde wijzigingen te detecteren. De standaard benadrukt ook Systeembestendigheid tegen cyberaanvallen, waarbij componenten verplicht worden om veilige operaties te handhaven onder bedreiging, en mechanismen voor incidentdetectie en -respons vereist zijn om beveiligingsinbreuken snel aan te pakken. Het handhaven van operationele excellentie vereist ook sterk configuratiebeheer, waarbij ervoor wordt gezorgd dat alle wijzigingen doelbewust en goed gedocumenteerd zijn, en Uitgebreide documentatie en training zodat personeel veilige operaties effectief kan beheren en onderhouden.

Voldoen aan IEC 62443-4-2 is niet eenvoudig te realiseren vanwege de hoge technische complexiteit, de grote vraag naar middelen en expertise, en de noodzaak van continue monitoring en onderhoud van beveiligingsmaatregelen gedurende de levenscyclus van IACS-componenten. Implementatie van de norm vereist een diepgaand begrip van zowel cybersecurityprincipes als de specifieke operationele vereisten van industriële besturingssystemen. Daarnaast omvat het het aanpakken van uitdagingen zoals verouderde systemen, beperkte middelen voor kleinere organisaties en de veranderende aard van cyberdreigingen, die voortdurende updates en aanpassingen van beveiligingspraktijken vereisen. Voldoen aan de norm vereist aanzienlijke investeringen in gekwalificeerd personeel, technologische upgrades en robuuste risicomanagementstrategieën.

PKI en IEC 62443

PKI en IEC 62443 zijn twee volledig verschillende maar overlappende gebieden in cyberbeveiliging. Openbare-sleutelcryptografie, die gebruikmaakt van asymmetrische sleutelparen, certificaten en digitale handtekeningen, biedt enkele van de meest praktische methoden om de cyberbeveiligingsuitdagingen aan te pakken waarmee IACS te maken heeft. Dit mag niet over het hoofd worden gezien om de beveiliging van industriële automatiserings- en controlesystemen (IACS) te waarborgen. Er zijn een aantal kenmerken waaraan IACS moet voldoen om te voldoen aan IEC 62443, die zonder twijfel de specialiteit zijn van openbare-sleutelinfrastructuur. Zoals:

1. Authenticatie van zowel gebruikers als apparaten
2. Access Controle   
3. Validatie van software      
4. Beveiligde communicatie     

Volgens de IEC 62443-norm, Deel 4-2, ligt er een sterke nadruk op het waarborgen van de authenticatie van apparaten en gebruikers en de bescherming van gegevens tegen ongeautoriseerde toegang of wijziging. Dit is de kern van infrastructuur zoals PKI. PKI speelt bovendien in op de behoeften van softwareborging in industriële omgevingen door het voor updateprocessen eenvoudig te maken om codeondertekening te gebruiken om de betrouwbaarheid van de software en het meegeleverde firmwarepakket te garanderen. Het helpt u ook om het systeem schoon te houden door alleen vertrouwde pakketten toe te laten. Kortom, een goede PKI-oplossing verbetert de operationele beveiliging en zorgt ervoor dat uw industriële systemen voldoen aan de moderne bedreigingen in cyberbeveiliging.

IEC 62443 en de evoluerende industrie

De vierde industriële revolutie heeft een nieuw tijdperk in de productie ingeluid dankzij de toepassing van moderne technologieën zoals de internet van dingen en Artificial IntelligenceDeze hebben de bedrijfsvoering aanzienlijk verbeterd door processen slimmer te maken, realtime data-analyses uit te voeren en voorspellend onderhoud uit te voeren. Al deze onderlinge verbondenheid brengt nieuwe uitdagingen op het gebied van cyberbeveiliging met zich mee. Doordat veel apparaten en systemen met elkaar verbonden zijn, wordt het dreigingslandschap steeds groter.

Dit is waar IEC 62443 van belang wordt. Het volgen van de IEC 62443-instructies helpt fabrikanten bij het creëren van een veiligere omgeving waar de kans op een cyberaanval kleiner is. Het raamwerk dat IEC 62443 schetst, omvat vereisten voor het beveiligen van apparaten, netwerken en systemen binnen IACS, en voor het waarborgen van adequate governance, risicomanagement en toegangscontrolemaatregelen. Het benadrukt ook het belang van continue monitoring, kwetsbaarheidsbeheer en incidentrespons, die allemaal cruciaal zijn voor het beperken van de cyberrisico's die worden geïntroduceerd door Industrie 4.0-technologieën. Gezien de toenemende uitdagingen zullen de komende versies van de norm zich ook richten op deze bedreigingen en helpen deze te beperken.

Het is een eeuwige uitdaging om op scherp te staan, maar zolang de IEC 62443-norm van kracht is en fabrikanten alle systemen met beveiliging in gedachten ontwikkelen, zullen hun systemen relevant blijven. post-kwantumcryptografie biedt nieuwe kansen voor iedereen, en er moeten middelen worden vrijgemaakt voor zowel digitale als fysieke beveiliging.

Conclusie

Hoewel het beveiligen van een industrieel automatiserings- en controlesysteem (IACS) een zware opgave lijkt, biedt IEC 62443 duidelijke richtlijnen om de werklast te verlichten. Omdat we in een moderne, onderling verbonden wereld leven waar bedreigingen zich bijna elke minuut ontwikkelen, stelt dit innovatieve raamwerk organisaties in staat om beveiligingsmaatregelen te implementeren tot het einde van de levenscyclus van hun systemen.   

Het mooie van IEC 62443 is dat het niet alleen over technologie gaat. Het benadrukt ook de waarde van samenwerking, leren in de loop van de tijd en flexibiliteit. Met een dergelijk raamwerk kunnen industrieën de uitdagingen op het gebied van cyberbeveiliging, vandaag en in de toekomst, het hoofd bieden.