IEC 62443
IEC 62443是針對「工業通信網路-網路和系統的IT安全性」(Industrial communication networks - IT security for networks and systems)的一系列的國際標準。其中有許多有關控制系統安全性的技術及流程相關議題。其中會將工業應用分為三種不同的角色:操作者、整合者(整合服務及維護服務的提供者)及製造商。每個角色都有其以風險為基礎的研究方式,可以在其活動中管理通訊安全相關的風險。
這些標準會由許多不同產業的從業人員使用,以此來設計和評估自動化系統,以提高網絡安全性。許多標準已用在個人、工程流程、產生以及系統網路安全驗證計劃(cybersecurity certification programs,也稱為合格評定計劃,conformity assessment program)中。
歷史
编辑IEC 62443標準的產生是依IEC標準創建過程,所有參與國家組織都同意的共同標準。在創立的過程中,委員會提供資料到IEC工作組,也有益於IEC 62443的形成。
自2002年開始,國際自動化學會中的工業自動化及控制系統安全委員會(Industrial Automation and Control System Security Committee,簡稱ISA99)發展了一系列的標準及技術報告,內容都和工業自動化及控制系統(IACS)安全性有關。這些工作文件提交給ISA核可,以美國國家標準協會(ANSI)文件的型式發布。文件一開始的名稱是ANSI/ISA-99或ISA99標準,後來在2010年重新編號為ANSI/ISA-62443系列。其中的內容也提交給IEC工作組,也有用在IEC 62443標準裡。
德國的工程組織德國工程師協會(VDI)及德國電氣工程師協會(VDE)在2011年發佈了VDI/VDE 2182指引。指引中有敘述如何在工業自動化環境處理資訊安全相關議題,其中的內容也提交給IEC工作組,也有用在IEC 62443標準裡。
結構
编辑IEC 62443標準分為許多部份:
- Part 1-1是說明名詞及相關概念[1]
- Part 2在說明架構工業自動化及控制系統(industrial automation and control system)的安全計劃[2]、其運作方式、補丁管理[3]及安全計劃需求[4]
- Part 3在說明資訊安全相關技術[5]、系統設計的資安風險評估[6]、系統資安需求以及資安等級[7]。
- Part 4在說明安全產品開發生命週期的需求[8]、組件的技術資訊安全需求[9]。其中除了技術需求外,也定義了共用零件的資訊安全限制(common component security constraints,CCSC),若要和IEC 62443-4-2相容的,需符合以下限制:
- CCSC 1是指零件需考慮其安裝系統的通用資訊安全特性。
- CCSC 2指出若零件本身無法符合技術需求,需要在系統層級加入相當的補償對策(列在IEC 62443-3-3)。因此,此對策需要列在零件的說明文件上。
- CCSC 3要求此零件需應用「最小特權」原則。
- CCSC 4要求此零件需要由和IEC 62443-4-1相容的開發程序所開發及支持。
成熟度及安全等級
编辑IEC 62443敘述了相關流程及技術需要的成熟度。流程的成熟度是以CMMI的成熟度為基礎。
成熟度
编辑以CMMI為基礎,IEC 62443也列出了不同的流程成熟度(maturity levels)。若要達到成熟度中的特定程度,在產品開發及整合時需要進行所有和流程相關的要求,若只選擇特定的準則,不符合標準的要求。
成熟度敘述如下:
- 成熟度1 - Initial(初始級):產品供應商可以提供產品,不過沒有依照流程,沒有文件或是只有部份文件。
- 成熟度2 - Managed(已管理): 產品供應商可以依照文件化的準則來管控產品的開發。準則的敘述方式需要讓進行該程序的人有適當的專業知識,訓練人員依照文件中的程序作業,程序需要是可重覆的。
- 成熟度3 - Defined(已定義):程序在供應商的組織內是可以複製重現的。程序已實做過,而且有已實做過的證據。
- 成熟度4 - Improving:供應商用適合的程序評量方式來監控程序的有效性及效果,並且進行持續改善。
安全等級
编辑系統(IEC 62443-3-3)及產品(IEC 62443-4-2)的技術要求會以四個安全等級(Security Level,簡稱SL)來區分,也會稱為網路安全等級。四個等級是指可以抵抗不同層級攻擊者的能力。此標準強調等級需要以每一個技術需求來評估(參考IEC 62443-1-1),不適用於產品的通用分類。
- 安全等級0:不需要任何安全需求及保護。
- 安全等級1:需可以防護無意或是意外的異常使用。
- 安全等級2:需可以防護利用較少資源、一般技術、動機不強,利用簡單作法的刻意異常使用。
- 安全等級3:需可以防護利用中等程度資源、有IACS相關技術、動機中等,利用複雜作法的刻意異常使用。
- 安全等級4:需可以防護利用高度資源、有IACS相關技術、動機強烈,利用複雜作法的刻意異常使用。
概念
编辑標準中有說明一些各角色在不同活動,都需要考慮的基本原則。
深度防禦
编辑深度防禦(Defense in Depth)是指在系統中分散配置多個不同安全等級的防護對策,目的是在任一安全對策失效或是有弱點被攻擊者利用時,仍有冗餘的功能。
安全區域及管道
编辑IEC 62443會將系統區分為幾個同質性的區域(Zone),每個區域是用實體及邏輯性資產,配合適當的安全性需求所組成。安全性需求是由安全等級(SL)所定義。每一個區域需要的安全等級可以用風險分析來確認。
區域有其邊界,區分邊界內外的元素。資訊可以流進區域內,也可以從區域流出。區域中也可以再區分子區域,定義不同的安全等級,因此可以達到深度防禦
管道(Conduits)可以將二區域之間允許通訊的元素編成群組。可以提供安全通訊的機能,也可以讓同一區域內數個不同安全等級的元素可以共存。
認證架構
编辑工業自動化環境中的流程、系統及產品可以依IEC 62443進行認證。例如國際IECEE CB架構的一些認證架構完全符合IEC 62443,不過專有的ISCI ISASecure只有部份符合。
核可認證架構
编辑IEC 62443認證架構是由全球許多的驗證單位(Certification Bodies、CB)所建立的。架構是以其參考標準及程序為主,其中會描述其測試方法、監督審核政策、公開文件政策及及其他計劃相關的議題。全球已有數個認證單位可以進行IEC 62443標準的網路安全認證計劃,包括LCIE、Intertek、SGS-TÜV Saar、TÜV Nord、TÜV Rheinland、TÜV SÜD及UL。
針對IEC 62443的評估,為了確保全球的評估是一致的,已有建立全球的相關基礎服務。驗證會由依照ISO/IEC 17065及ISO/IEC 17025合格的驗證單位(Certification Bodies、CB)授予。驗證單位是由認證機構(Accreditation Body、AB)認可,可以進行審核、評估及測試工作。認證機構會依照ISO/IEC 17011的要求運作。此標準中有包括認證機構在認可合格評定單位(conformity assessment bodies),有關的能力、一致性及公正性的要求。認證機構(AB)一般會是有關管理系統,產品,服務和人員認證方面的國際認證論壇(International Accreditation Forum、IAF)的成員,或是認證實驗室的國際實驗室認證合作組織(International Laboratory Accreditation Cooperation、ILAC)的成員。有關各認證機構(AB)之間,有多邊認可安排(Multilateral Recognition Arrangement、MLA),以確保驗證單位的認可可受到其他國家認證機構(AB)的承認。
目前全球通過認證取得 IEC 62443-4-1的CBTL共有13家、取得IEC 62443-4-2的CBTL共有10家。
IECEE CB架構
编辑IEC電工設備及零件認證架構系統(IEC System for Conformity Assessment Schemes for Electrotechnical Equipment and Components,簡稱IECEE)的認證機構方案(CB Scheme)是多文本的協定,讓電子及電機產品的製造商可以將其產品銷往各市場。在CB架構程序下,產品及系統可以依IEC 62443進行認證。
CB架構是起源自CEE(之前歐盟的電氣設備合格性測試委員會),在1985年整合到IEC。目前在IECCC內有54個成員體,88個國家級認證體(NCB)及534 CB測試實驗室(CBTL)。在產品認證領域,CB架構程序是用來協調各標準,簡化製造商測試以及驗證的複雜性。依照協調後標準(例如IEC 62443)經CB測試實驗室認證過的產品,可以用CB報告作為 GS、PSE、CCC、NOM、GOST/R、BSMIA等國家認證的基礎。
ISCI ISASecure
编辑國際資訊安全符合性機構(The International Security Compliance Institute、ISCI)有建立針對ANSI/ISA 62443標準的認證評估架構。此架構可以用在工業自動化控制系統、零件以及程序。ISASecure架構中有一部份是以IEC 62443及ISCI開發程序為基礎,包括維護政策在內,目的是要確保ISASecure和ISASecure在演進的過程中,ISASecure仍然不會和ISASecure差距太大。
在ISASecure下,ISCI有以下的認證:
- SSA(系統安全性確保、System Security Assurance),是依IEC 62443-3-3的系統認證
- CSA(零件安全性確保、SComponent Security Assurance),是依IEC 62443-4-1, 62443-4-2 的自動化零件認證
- SDLA(安全開發生命週期確保、Secure Development Lifecycle Assurance),是依IEC 62443-4-1 的自動化系統開發組織認證
- EDSA(嵌入式裝置安全性確保,Embedded Device Security Assurance)是依IEC 62443-4-2的零件認證。這不完全符合IEC 62443-4-2。IEC 62443-4-2要求零件要依和IEC 62443-4-1相容的開發生命周期來開發,但EDSA沒有這樣的要求。
相關條目
编辑參考資料
编辑- ^ IEC62443-1-1, Industrial communication networks – Network and system security – Part 1-1: Terminology, concepts and models (页面存档备份,存于互联网档案馆) Seite 1-10 (PDF 263KB) auf webstore.iec.ch
- ^ IEC62443-2-1, Industrial communication networks – Network and system security – Part 2-1: Establishing an industrial automation and control system security program (PDF). [2021-01-03]. (原始内容存档 (PDF)于2016-03-07).
- ^ IEC62443-2-3, Security for industrial automation and control systems - Part 2-3: Patch management in the IACS environment (PDF). [2021-01-03]. (原始内容存档 (PDF)于2017-10-02).
- ^ IEC62443-2-4, Security for industrial automation and control systems - Part 2-4: Security program requirements for IACS service providers (PDF). [2021-01-03]. (原始内容存档 (PDF)于2017-10-02).
- ^ IEC62443-3-1, Industrial communication networks – Network and system security – Part 3-1: Security technologies for industrial automation and control systems (PDF). [2021-01-03]. (原始内容存档 (PDF)于2020-12-21).
- ^ Security for industrial automation and control systems - Part 3-2: Security risk assessment for system design Seite 1-13 (PDF 330KB) auf webstore.iec.ch
- ^ IEC62443-3-3 Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels (PDF). [2021-01-03]. (原始内容存档 (PDF)于2017-10-02).
- ^ IEC62443-3-3 IEC62443-41 Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements (PDF). [2021-01-03]. (原始内容存档 (PDF)于2018-08-09).
- ^ IEC 62443-4-2:2019 Security for industrial automation and control systems - Part 4-2: Technical security requirements for IACS components (PDF). [2021-01-03]. (原始内容 (PDF)存档于2021-10-07).
外部連結
编辑- IEC website (页面存档备份,存于互联网档案馆)
- IECEE website (页面存档备份,存于互联网档案馆)