IEC 62443 alapok: zónák és Security Level

Az IEC 62443 az ipari automatizálási és vezérlőrendszerek biztonságának nemzetközi szabványcsaládja. Terjedelmes, több mint tíz részdokumentumból áll, és emiatt sokan meg sem próbálják használni. Pedig a gyakorlati haszna néhány központi fogalomban sűrűsödik, és ezek megértéséhez nem kell végigolvasni az egészet.

Ez a cikk azt a részt magyarázza el, amit egy üzem ténylegesen használ.

Miért kell külön szabvány az OT-nak

Az ISO 27001 az információbiztonsági irányítási rendszerről szól, és jól működik IT-környezetben. Az OT viszont más:

• a rendelkezésre állás és az emberi biztonság az első prioritás, nem a bizalmasság,
• az eszközök élettartama 15-25 év, nem 3-5,
• a patch-elés tervezett leállást igényel, és sokszor lehetetlen,
• a protokollok nem ismerik a hitelesítést.

Az IEC 62443 ezekre a sajátosságokra épül. Emellett közös nyelvet ad az üzemmérnöknek, az IT-nak, az auditornak és a berendezés-szállítónak, ami legalább annyira értékes, mint maga a technikai tartalom.

A szabványcsalád szerkezete

Négy csoportra oszlik, és a legtöbb szervezetnek csak kettő kell belőle.

Ha üzemeltető, a 2-1 (biztonsági program) és a 3-2 (kockázatértékelés és zónatervezés) a két dokumentum, amivel dolgozni fog. A 4-es rész akkor jön elő, amikor berendezést vásárol, és tudni akarja, milyen biztonsági képességet követeljen a szállítótól.

A zóna- és csatorna-modell

Ez a szabvány legfontosabb gyakorlati eszköze.

Zóna: eszközök csoportja, amelyeknek azonos biztonsági követelménye van. Nem fizikai elhelyezkedés szerint csoportosítunk, hanem kockázat és funkció szerint. Egy zónába kerül például egy gyártósor összes vezérlője, mert ugyanaz a folyamat, ugyanaz a kritikusság.

Csatorna (conduit): a zónák közötti kommunikáció. Nem egyszerűen kábel: definiált, korlátozott és ellenőrzött adatút. Minden csatornánál rögzíteni kell, milyen forgalom mehet át rajta, milyen irányban, és milyen kontroll védi.

A modell lényege: ami nincs kifejezetten engedélyezve egy csatornán, az tiltott. Ez ugyanaz az elv, mint a Zero Trust mikroszegmentálása, csak ipari nyelven és két évtizeddel korábbról.

Hogyan alakítson ki zónákat

A Purdue-modell szintjei jó kiindulópontot adnak, de a zónák ennél finomabbak.

1. Kezdje az IT/OT határral. Ez az egyetlen legfontosabb zónahatár. Ide jön az ipari DMZ, ahol a replikált historian, az ugródeszka-szerver és a fájlátadó áll. Közvetlen forgalom az irodai hálózat és az üzem között nincs.
2. Válassza szét a gyártósorokat vagy cellákat. Ha az egyik sor kompromittálódik, ne terjedjen át a másikra.
3. Emelje ki a biztonsági rendszereket (SIS). Ezek mindig külön zónában, a legszigorúbb kontrollal.
4. Kezelje külön a távoli hozzáférést. A szállítói karbantartói csatorna saját, szigorúan ellenőrzött útvonal.

Security Level: mennyire kell erősnek lennie

A szabvány öt szintet definiál aszerint, milyen képességű támadóval szemben kell a zónának ellenállnia.

Három változatot különböztet meg a szabvány: SL-T (cél, amit el akarunk érni), SL-A (amit az eszközök ténylegesen tudnak) és SL-C (amire a termék képes). A gap-analízis az SL-T és az SL-A különbsége.

A gyakorlatban a legtöbb ipari zóna SL 2, a kritikus folyamatvezérlés és a biztonsági rendszerek SL 3. Az SL 4 ritka, jellemzően nemzeti kritikus infrastruktúránál. Nem minden zónának kell magas szintűnek lennie, és éppen ez teszi a programot finanszírozhatóvá: a pénz oda megy, ahol a kockázat van.

Hol kezdje egy üzem

Reális sorrend, ami minden lépésnél mérhető eredményt ad.

1. Eszközleltár és kommunikációs mátrix. Passzív felderítéssel, forgalomtükrözésből. Enélkül minden további lépés találgatás.

2. Kockázatértékelés (62443-3-2 szerint). A folyamatok kritikussága, a lehetséges hatás, a fenyegetési forgatókönyvek. Ez adja meg, melyik zónának mekkora SL-T kell.

3. Zóna- és csatornaterv. Rajzban és táblázatban: mely eszköz melyik zónába tartozik, milyen csatornák vannak, mi mehet át rajtuk.

4. Gap-analízis. Az SL-T és a jelenlegi állapot különbsége zónánként.

5. Intézkedési terv. Ipari DMZ, szegmentálás, távoli hozzáférés csatornásítása, monitorozás, eszközmegerősítés. Priorizálva, mert nem lehet mindent egyszerre.

Kapcsolat a NIS2-vel

Ha a szervezet a NIS2 hatálya alá tartozik és ipari környezetet üzemeltet, a két keret nem versenyzik egymással: az IEC 62443 a NIS2 megvalósításának technikai nyelve az OT-oldalon.

Ez azért hasznos, mert az auditor a NIS2-t kéri számon, az üzemmérnök viszont a 62443 nyelvén gondolkodik. A megfeleltetés mindkét oldalt kiszolgálja.

Ha szeretné felmérni, hol tart, az OT kockázatértékelésünk a 62443-3-2 logikáját követi, a hálózati szeparáció pedig a zónamodell megvalósítását fedi le. Az általános OT biztonsági képet az ICS/SCADA cikkünkben jártuk körül.