IEC 62443: Hoe IACS (Industrial Automation and Control Systems) te beveiligen

IEC 62443 is een reeks internationale normen die een risicogebaseerd raamwerk definieert voor de beveiliging van industriële automatiserings- en besturingssystemen (IACS), waarbij de mensen, processen en technologie binnen operationele technologieomgevingen (OT) worden bestreken. 

Key Takeaways 

• IEC 62443 is de toonaangevende wereldwijde standaard voor OT- en IACS-cyberbeveiliging, gezamenlijk ontwikkeld door het ISA99-comité en de IEC. 
• Het maakt gebruik van een model met zones en leidingen en vier beveiligingsniveaus (SL 1 tot SL 4) die zijn vastgesteld op basis van risicobeoordeling, niet op basis van giswerk. 
• Zeven fundamentele vereisten (FR 1 tot en met FR 7) definiëren welke bescherming elke zone moet bieden. 
• De editie 2024 van IEC 62443-2-1 herstructureert de eisen van de eigenaar van de activa tot elementen van het beveiligingsprogramma en voegt een volwassenheidsmodel toe. 
• PKI en digitale certificaten vormen de basis voor apparaat- en gebruikersauthenticatie (FR 1) en gegevens beschermen integriteit en vertrouwelijkheid (FR 3 en FR 4). 

Wat is IEC 62443 en wie onderhoudt deze norm? 

IEC 62443 is een reeks normen voor de beveiliging van industriële automatiserings- en besturingssystemen gedurende hun volledige levenscyclus. De normen zijn ontwikkeld door het ISA99-comité van de International Society of Automation (ISA) en worden gezamenlijk gepubliceerd met de International Electrotechnical Commission (IEC), vandaar dat ze vaak worden afgekort als ISA/IEC 62443. De reeks is van toepassing op sectoren die operationele technologie gebruiken, waaronder de productie, energie, water, olie en gas, transport en gebouwautomatisering. 

In tegenstelling tot IT-gerichte standaarden is IEC 62443 ontwikkeld voor omgevingen waar beschikbaarheid en veiligheid voorop staan ​​en waar apparatuur tientallen jaren in gebruik kan blijven. Beveiliging wordt beschouwd als een gedeelde verantwoordelijkheid van iedereen die het systeem bouwt, integreert en beheert. 

Structuur van IEC 62443: de onderdelen 

IEC 62443 is onderverdeeld in vier groepen die overeenkomen met algemene concepten, beleid en procedures, systeemontwerp en componentvereisten. De onderstaande tabel geeft een overzicht van de onderdelen waarnaar de meeste teams verwijzen. 

De reeks wordt steeds verder uitgebreid. IEC PAS 62443-1-6:2025 voegt richtlijnen toe voor het industriële internet der dingen (IIoT). Controleer de actuele editie van elk onderdeel in de IEC-webshop voordat u een versie in officiële documentatie citeert.

Groep	Kernonderdeel	Wat het omvat
Algemeen	62443-1-1	Terminologie, concepten en modellen voor de gehele reeks.
Beleid en procedures	62443-2-1 (editie 2024)	De eisen voor het IACS-beveiligingsprogramma van een asseteigenaar zijn nu georganiseerd in beveiligingsprogramma-elementen met een volwassenheidsmodel.
Beleid en procedures	62443-2-4	Beveiligingsvereisten voor IACS-serviceproviders en -integratoren.
Systeem	62443-3-2	Risicobeoordeling wordt gebruikt om een ​​systeem in zones en leidingen te verdelen en streefbeveiligingsniveaus vast te stellen.
Systeem	62443-3-3	De technische beveiligingsvereisten op systeemniveau zijn gekoppeld aan de zeven fundamentele vereisten.
Bestanddeel	62443-4-1	Zorg voor een veilige productontwikkelingslevenscyclus voor leveranciers.
Bestanddeel	62443-4-2	Technische beveiligingsvereisten voor afzonderlijke componenten zoals controllers, sensoren en applicaties.

De reeks wordt steeds verder uitgebreid. IEC PAS 62443-1-6:2025 voegt richtlijnen toe voor het industriële internet der dingen (IIoT). Controleer de actuele editie van elk onderdeel in de IEC-webshop voordat u een versie in officiële documentatie citeert.

Beveiligingsniveaus (SL 1 tot en met SL 4) 

Een beveiligingsniveau is een maatstaf voor de mate van vertrouwen dat een zone of verbinding bestand is tegen een bepaald type aanvaller. IEC 62443 definieert vier niveaus, die worden toegewezen op basis van het risico in plaats van overal het hoogste niveau toe te passen. 

FR	Funderingsvereisten	Wat het afdwingt
FR NIETS	Identificatie- en authenticatiecontrole (IAC)	Verifieer de identiteit van elke gebruiker, elk proces en elk apparaat voordat u toegang verleent.
FR NIETS	Gebruik controle (UC)	Handhaaf privileges na authenticatie, beperk draagbare media en registreer acties.
FR NIETS	Gegevensvertrouwelijkheid (DC)	Bescherm gevoelige informatie, zowel in rust als tijdens transport, tegen openbaarmaking.
FR NIETS	Beperkte gegevensstroom (RDF)	Segmenteer het netwerk met behulp van zones en kanalen om de gegevensstroom te beperken.
FR NIETS	Tijdige reactie op gebeurtenissen (TRE)	Beveiligingsincidenten detecteren, rapporteren en erop reageren met behulp van controleerbare gegevens.
FR NIETS	Beschikbaarheid van hulpbronnen (RA)	Zorg ervoor dat besturingssystemen beschikbaar en bestand zijn tegen aanvallen waarbij de dienstverlening wordt geweigerd.

Voldoen aan IEC 62443

Een organisatie die wil voldoen aan IEC 62443 moet een volledige risicoanalyse uitvoeren . Deze analyse omvat het identificeren van belangrijke risico's, kwetsbaarheden en kritieke activa met betrekking tot de gehele industriële automatiserings- en besturingssystemen (IACS). Op basis van deze analyse wordt het beveiligingsbeheersysteem (SMS) ontwikkeld. Dit systeem bevat het beleid, de processen en de verantwoordelijkheden voor de beveiliging van de IACS, gericht op zowel technische als organisatorische cybersecurity. Netwerksegmentatie kan worden gerealiseerd door beveiligde zones te creëren, elk met een gecontroleerde verbinding voor gegevensverkeer ertussen. Sterke toegangscontrolemechanismen , waaronder multifactorauthenticatie en op rollen gebaseerde toegang, moeten worden geïmplementeerd om ongeautoriseerde toegang te voorkomen.

Continue monitoring moet worden ingesteld om bedreigingen effectief te detecteren en erop te reageren zodra ze zich voordoen. Er zal ook een incidentresponsplan worden opgesteld met maatregelen om cyberbeveiligingsincidenten in te dammen, te herstellen en met alle betrokkenen te communiceren. Medewerkers moeten worden getraind in wat ze moeten doen bij beveiligingsbedreigingen waarmee de organisatie te maken krijgt. Bovendien moeten alle externe leveranciers en partners waarmee de organisatie samenwerkt, voldoen aan de beveiligingsvereisten. Dit vermindert de blootstelling aan IACS van buitenaf. Ten slotte moeten regelmatige compliance-audits en certificering door derden worden aangevraagd om de naleving van IEC 62443 te waarborgen.

Wat vereist IEC 62443-4-2?

Een van de belangrijkste vereisten is de invoering van een Secure Development Lifecycle (SDL) , die beveiliging vanaf het begin van de productontwikkeling integreert en ervoor zorgt dat beveiligingstests en -validatie in elke fase plaatsvinden om de productintegriteit te waarborgen. De standaard schrijft ook patchbeheerprocessen voor om tijdige updates van kwetsbaarheden met betrekking tot operationele beveiliging te garanderen. IEC 62443-4-2 benadrukt het belang van sterke toegangscontrole- en authenticatiemechanismen , die ervoor zorgen dat alleen geautoriseerde gebruikers toegang hebben tot IACS-componenten, wat aansluit bij het zero-trust-beveiligingsprincipe.

Het omvat ook fysieke beveiligingsmaatregelen om ongeautoriseerde fysieke toegang te voorkomen en systemen die niet met het internet verbonden zijn te beschermen. Gegevensbescherming is een belangrijk aandachtspunt, met eisen voor encryptie om gevoelige gegevens te beveiligen, naast controles om de systeemintegriteit te waarborgen en malware of ongeautoriseerde wijzigingen te detecteren. De standaard benadrukt tevens de veerkracht van systemen tegen cyberaanvallen , waarbij componenten moeten blijven functioneren onder bedreigingen, en schrijft incidentdetectie- en responsmechanismen voor om beveiligingsinbreuken snel aan te pakken.

Het voldoen aan IEC 62443-4-2 is niet eenvoudig vanwege de hoge technische complexiteit, de grote vraag naar middelen en expertise, en de noodzaak tot continue monitoring en onderhoud van beveiligingsmaatregelen gedurende de gehele levenscyclus van IACS-componenten . De implementatie van de norm vereist een diepgaand begrip van zowel cybersecurityprincipes als de specifieke operationele eisen van industriële besturingssystemen. Daarnaast brengt het uitdagingen met zich mee zoals verouderde systemen, beperkte middelen voor kleinere organisaties en de steeds veranderende aard van cyberdreigingen, die voortdurende updates en aanpassingen van beveiligingspraktijken noodzakelijk maken.

Waar cryptografie en PKI passen binnen IEC 62443? 

Cryptografie is de manier waarop in de praktijk aan verschillende fundamentele vereisten wordt voldaan. Apparaat- en gebruikersauthenticatie onder FR 1 is steeds vaker gebaseerd op digitale certificaten die worden uitgegeven door een public key infrastructure (PKI), zodat elke controller, sensor of operatorstation zijn identiteit kan bewijzen in plaats van een statisch wachtwoord te delen. Certificaatgebaseerde authenticatie is een veelgebruikte methode om SL 2 en hoger te bereiken voor FR 1.

Systeemintegriteit (FR 3) maakt gebruik van ondertekende firmware en codeondertekening om te bevestigen dat de software niet is gewijzigd, en gegevensvertrouwelijkheid (FR 4) maakt gebruik van TLS en andere versleutelde kanalen over de verbindingen. Het uitvoeren hiervan op industriële schaal betekent het betrouwbaar uitgeven, vernieuwen en intrekken van grote aantallen certificaten. Dit is waar een beheerde PKI en certificaatlevenscyclusbeheer onderdeel worden van het OT-beveiligingsprogramma. Zie ook hoe PKI het IoT-ecosysteem beveiligt.

Rollen en certificering 

IEC 62443 wijst taken toe aan drie rollen, en voor elk daarvan bestaat een certificering. De eigenaar van de installatie beheert het IACS en is verantwoordelijk voor het algehele beveiligingsprogramma. De systeemintegrator ontwerpt en implementeert de oplossing. De productleverancier bouwt de componenten en volgt de veilige ontwikkelingslevenscyclus zoals beschreven in 62443-4-1. 

Onafhankelijke conformiteit is beschikbaar via het ISASecure-programma, dat componenten (CSA), systemen (SSA) en ontwikkelingsprocessen (SDLA) certificeert op basis van de relevante onderdelen van de standaard. Het behalen van een certificering is een bewijs dat u kunt tonen aan klanten, toezichthouders en verzekeraars. 

Hoe start je een IEC 62443-programma? 

De meeste teams volgen deze stappen om van geen formeel programma naar een verdedigbaar programma te komen: 

1. Identificeer het betreffende systeem en inventariseer alle onderdelen, inclusief oudere apparaten. 

2. Voer een eerste, globale risicobeoordeling uit om de ergste mogelijke gevolgen te achterhalen. 

3. Deel het systeem in zones en kanalen in en wijs aan elk een beoogd beveiligingsniveau toe (62443-3-2). 

4. Voer een gedetailleerd uit risico-evaluatie per zone en documenteer de vereiste beheersmaatregelen in een specificatie van cyberbeveiligingsvereisten. 

5. Koppel elke controle aan een fundamentele vereiste en selecteer systemen en componenten die voldoen aan de capaciteitsniveaus (62443-3-3 en 62443-4-2). 

6. Bouw het ondersteunende programma op: beleid, certificaat- en sleutelbeheer, monitoring en incidentrespons (62443-2-1). 

7. Valideer de behaalde beveiligingsniveaus en onderhoud en herzie deze vervolgens naarmate de installatie en het dreigingslandschap veranderen. 

Hoe encryptieconsultancy kan helpen 

De compliance-adviesdiensten van Encryption Consulting helpen eigenaren van systemen en integrators bij het opzetten van een IEC 62443-programma, het uitvoeren van de 62443-3-2 zone- en conduit-risicobeoordeling en het implementeren van het certificaat- en sleutelbeheer waarop FR 1, FR 3 en FR 4 gebaseerd zijn. Ons werk wordt ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.

Voor de cryptografische laag verstrekken en beheren CertSecure Manager en onze PKI-services apparaat- en gebruikerscertificaten op grote schaal binnen de OT-omgeving.

Veelgestelde Vragen / FAQ 

Is IEC 62443 verplicht? 

IEC 62443 is een vrijwillige norm, geen wet. Regelgevers en klanten eisen deze norm echter steeds vaker. Kaderwerken zoals de EU NIS2-richtlijn en sectorale regelgeving wijzen naar IEC 62443 als de erkende manier om industriële systemen te beveiligen, en veel aanbestedingscontracten vereisen nu ISASecure-certificering of conformiteit met 62443, waardoor het in veel toeleveringsketens feitelijk verplicht is. 

Wat is het verschil tussen IEC 62443 en NIST CSF? 

Het NIST Cybersecurity Framework is een brede, sectoronafhankelijke reeks resultaten voor het beheren van cyberrisico's binnen IT en OT. IEC 62443 is specifiek ontwikkeld voor industriële automatiserings- en besturingssystemen en gaat dieper in op de materie, met specifieke technische eisen voor zones, leidingen, beveiligingsniveaus en componenten. Veel organisaties gebruiken het NIST CSF voor governance en IEC 62443 voor de gedetailleerde OT-controles. 

Wat zijn de IEC 62443-beveiligingsniveaus? 

IEC 62443 definieert vier beveiligingsniveaus. SL 1 beschermt tegen onbedoeld of onopzettelijk misbruik, SL 2 tegen eenvoudige, opzettelijke aanvallen, SL 3 tegen geavanceerde aanvallen met behulp van IACS-specifieke vaardigheden en SL 4 tegen geavanceerde aanvallen met uitgebreide middelen, zoals die van statelijke actoren. U wijst aan elke zone een doelniveau toe op basis van een risicoanalyse. 

Vereist IEC 62443 encryptie? 

IEC 62443 schrijft geen specifiek algoritme voor, maar de fundamentele vereisten ervan bepalen wel de cryptografie in de praktijk. Identificatie- en authenticatiecontrole (FR 1) maakt doorgaans gebruik van certificaatgebaseerde apparaatauthenticatie, systeemintegriteit (FR 3) gebruikt ondertekende firmware en code, en gegevensvertrouwelijkheid (FR 4) gebruikt versleutelde kanalen zoals TLS. Hoe hoger het beoogde beveiligingsniveau, hoe meer cryptografische controles een zone doorgaans nodig heeft. 

Hoe verhoudt IEC 62443 zich tot NIS2? 

NIS2 is een EU-richtlijn die wettelijke cybersecurityverplichtingen vaststelt voor essentiële en belangrijke entiteiten, waaronder veel industriële bedrijven. NIS2 beschrijft de verplichtingen, maar niet de technische details. IEC 62443 levert die details voor OT, waardoor de implementatie van IEC 62443 een praktische manier is om het risicomanagement en de beveiliging van de toeleveringsketen aan te tonen die NIS2 vereist. 

Stel uw IEC 62443-programma samen. 

Bent u klaar om uw zones in kaart te brengen en uw beveiligingslekken te dichten? Neem contact op met een compliance-adviseur van Encryption Consulting of leg de cryptografische basis met CertSecure Manager.