IEC 62443 standardını tanıtan bu serine tekrar hoş geldiniz. İlk makale IEC 62443’e genel bir girişti, bu ve sonraki 3, IEC 62443 standardını oluşturan bazı belgelere odaklanacak. Bu makale aşağıdaki tablodaki belgelere bakacaktır:
|
62443-1-1 Kavramlar ve Modeller 62443-1-2 Şartlar ve kısaltmalar 62443-1-3 Sistem güvenliği uygunluk metrikleri 62443-1-4 IACS Güvenlik yaşam döngüsü ve kullanma durumları |
Diziyi oluşturan belgeler IEC 62443-1 şemsiyesi altında doğada daha kavramsalama yine de önemli, özellikle de yeniyseniz endüstriyel sistemlerin bir parçası olan isimlendirmeye. Bu makalenin sonundaki açıklamalar içeren en yaygın isim ve terimlere sahip bir dosya ekledim. IEC 62443-1 serisindeki belgeler kadar eksiksiz değil, ancak Bazı açıklamalarla. IEC 62443 standardındaki belgeler sahip olmak bir maliyet, bu yüzden olmadan başlayacak Gitmekten ödemek zorunda. Bu serinin bazı ayrıntılarına bakalım.
Size bu belgelerin size sağlayabileceği herhangi bir değeri ayırt etmek için yeterli bilgi vermem için, bir sonraki bölümlerde her bir belgenin içeriğinin bir kısmını ayrı ayrı açıklayacağım. Bu makalenin makul bir uzunlukta olması için bu bölümler doğası gereği oldukça özlü olacaktır!
IEC 62443-1-1
IEC 62443-1-1, tüm IEC 62443 serisinin temel kavramlarını ve modellerini hazırlar. Varlık sahipleri, entegratörler ve ürün tedarikçileri gibi IACS siber güvenliğinde yer alan paydaşlar için ortak bir dil ve çerçeve sağlar.
Bu belge bazıları için gereksiz görünebilir, ancak unutmayın, IEC 62443 mühendisler tarafından mühendisler için yazılmıştır. Bazı tanımlar, sonraki belgelerde önerilen bazı kontrol ve önlemlerin bağlamı için önemlidir.
Kilit İçerik Alanları
- Terminoloji ve tanımlar
- Dizi için standart bir kelime dağarcığı oluşturur.Gibi terimler için tanımlar alan– boru– tehdit– güvenlik açığı– riskVe karşı önlem.
- Endüstriyel Otomasyon ve Kontrol Sistemlerine Genel Bakış (IACS)
- Tanımlar yapı ve işlev şu bileşenler dahil tipik IAC’lerin:
- Denetleyici Kontrol ve Veri Toplama (SCADA) Sistemleri
- Dağıtılmış Kontrol Sistemleri (DCS)
- Programlanabilir Mantık Denetleyicileri (PLC)
- Güvenlik hedefleri
- Ayrıntılar Güvenlik Özellikleri IACS için önemli, örneğin:
- Kullanılabilirlik
- Bütünlük
- Gizlilik
- Yerlere vurgu yapmak kullanılabilirlik birçok endüstriyel sistem için en kritik olmak.
- Ayrıntılar Güvenlik Özellikleri IACS için önemli, örneğin:
- Tehdit manzarası
- Tartışır tehdit türleriiçermek:
- Kasıtlı saldırılar (örneğin, hackleme, kötü amaçlı yazılım)
- Kazara olaylar (örn. Yapılandırma hataları)
- Çevresel Olaylar (örneğin, doğal afetler)
- Tartışır tehdit türleriiçermek:
- Güvenlik Yaşam Döngüsü Modeli
- Tanıtıyor Güvenlik Yaşam Döngüsü– benzer IEC 61508 gibi fonksiyonel güvenlik standartlarında güvenlik yaşam döngüsü.
- Kapaklar:
- Risk değerlendirmesi
- Tasarım
- Uygulama
- Ameliyat
- Bakım
- Hizmetten çıkarma
- Bölge ve kanallar kavramı
- Sistemi bölmek için bir model tanımlar güvenlik bölgeleri Ve kanallar:
- Bölgeler: Benzer güvenlik gereksinimlerine sahip varlıkların mantıklı veya fiziksel grupları.
- Kanallar: Bölgeler arasındaki güvenli iletişim yolları.
- Bu model oluşturur Erişim kontrolü ve risk azaltma temeli.
- Sistemi bölmek için bir model tanımlar güvenlik bölgeleri Ve kanallar:
- Roller ve sorumluluklar
- IACS siber güvenliğindeki temel rolleri tanımlar:
- Varlık sahibi
- Sistem entegranı
- Ürün tedarikçisi
- Servis sağlayıcıları
- IACS siber güvenliğindeki temel rolleri tanımlar:
- Güvenlik seviyeleri (SLS)
- Kavramını tanıtıyor Güvenlik seviyeleri (SL 1 ila SL 4):
- SL 1: Sıradan veya tesadüfi ihlallere karşı koruma.
- SL 4: Genişletilmiş kaynaklara sahip sofistike saldırganlara karşı koruma.
- Kavramını tanıtıyor Güvenlik seviyeleri (SL 1 ila SL 4):
Bu sadece bir yüksek seviyeli Tanım İçeriğin IEC 62443-1-1 belgesi, gördüğünüz gibi, geniş bir konu alanı hakkında biraz bilgi varsadece bir belgede!
IEC 62443-1-2
Endüstriyel İletişim Ağları-Ağ ve Sistem Güvenliği-Bölüm 1-2: Master şartlar ve kısaltmalar sözlüğü.
IEC 62443-1-2, tüm IEC 62443 serisinde kullanılan terminoloji ve kısaltmaların kapsamlı bir referansı olarak işlev görür. Siber güvenlik ile ilgili terimlerin standartlar boyunca nasıl tanımlandığı ve yorumlandığı konusunda tutarlılık sağlar.
Bu belge, endüstriyel otomasyon ve kontrol sistemlerinin (IACS) güvence altına alınan tüm paydaşlar arasındaki açık iletişimi desteklemektedir.
Kilit İçerik Alanları
- Terimler sözlüğü
- Alfabetik olarak organize edilmiş bir temel siber güvenlik terimleri listesi.
- Her terim bir tanım ve bazen bağlamsal notlar veya kaynak referansları içerir.
- Örnekler:
- Varlık – IACS işlevlerini destekleyen herhangi bir veri, cihaz veya diğer bileşen.
- Derinlemesine Savunma – Siber Güvenliğe Katmanlı Bir Yaklaşım.
- Risk – bir olayın olasılığının ve sonuçlarının bir kombinasyonu.
- Güvenlik Seviyesi (SL) – Tanımlanmış bir tehdit setine karşı bir direnç ölçüsü.
- Kısaltmalar ve kısaltmalar
- IEC 62443 genelinde yaygın olarak kullanılan kısaltmaların genişlemelerini ve açıklamalarını sağlar.
- Örnekler:
- IACS – Endüstriyel otomasyon ve kontrol sistemleri
- Pl – Programlanabilir mantık
- Kimlikler – İzinsiz giriş tespit sistemi
- SL – Güvenlik seviyesi
- Çapraz referanslar
- Birçok terim, tanımlandıkları IEC 62443 bölümüne geri döner.
- Kullanıcıların orijinal kullanımları bağlamında ayrıntılı açıklamaları bulmalarına yardımcı olur.
IEC 62443-1-2, kullanıcıların kullanılan dili yorumlamalarına yardımcı olan ek bir referans olarak görülmelidir:
- Gereksinim Belgeleri (örn. IEC 62443-3-3) Bu serinin sonraki makalesine bakın
- Teknik Raporlar
- Risk Değerlendirme Metodolojileri (örn. IEC 62443-3-2) Bu serinin sonraki makalesine bakın
IEC 62443-1-3
Endüstriyel İletişim Ağları-Ağ ve Sistem Güvenliği-Bölüm 1-3: Sistem Güvenliği Uyum Metrikleri.
IEC 62443-1-3, IEC 62443 serisinde tanımlanan siber güvenlik gereksinimlerine uygunluğu ölçmek için bir çerçeve sağlar. Kuruluşların Endüstriyel Otomasyon ve Kontrol Sistemleri (IACS) için güvenlik uygulamalarının etkinliğini değerlendirmelerine ve göstermelerine yardımcı olan metrikler sunar.
Kilit İçerik Alanları
- Güvenlik metriklerine giriş
- Güvenlik metriklerinin ne olduğunu ve bunların önemini tanımlar.
- Önde gelen (proaktif) ve gecikme (reaktif) göstergeler arasındaki farkı açıklar.
- Ölçülebilir, tekrarlanabilir ve eyleme geçirilebilir metriklere olan ihtiyacı vurgular.
- Metrik türleri
Belge, güvenlik metriklerini kategoriler halinde sınıflandırır:
|
Bir kuruluşun tanımlanmış siber güvenlik gereksinimlerini ne kadar iyi karşıladığını ölçün |
|
|
Risk seviyelerini tehdit, güvenlik açığı ve varlık değerine göre değerlendirin |
|
|
Güvenlik süreçlerinin etkinliğini takip edin (örneğin, olaylara yanıt süresi) |
|
|
Siber güvenlik süreçlerinin ve kontrollerinin olgunluğunu değerlendirin |
3. Uygunluk Metrik Modeli
-
- Aşağıdakilere dayanan uygunluk için çok seviyeli bir model sunar:
- Varlık sahibi uygulamaları
- Sistem Entegratörü Uygulamaları
- Ürün Tedarikçisi Özellikleri
- Gözlenen performansa göre bu alanlara puanların veya seviyelerin nasıl atanacağını açıklar.
- Aşağıdakilere dayanan uygunluk için çok seviyeli bir model sunar:
4 Metrikleri Güvenlik Düzeylerine Haritalama (SLS)
-
- Metrikleri, standardın diğer bölümlerinde (IEC 62443-3-3 gibi) tanımlandığı gibi güvenlik seviyelerine (SL 1 ila SL 4) bağlar.
- Bir kuruluşun veya sistemin belirli bir SL’ye ulaşıp ulaşmadığını belirlemeye yardımcı olur.
5. Uygulama rehberliği
-
- Hakkında rehberlik sunar:
- Sistem bağlamına göre uygun metrikleri seçmek
- Veriler nasıl toplanır ve analiz edilir
- Sonuçları nasıl bildirir ve yorumlanır
- Hakkında rehberlik sunar:
6. Kullanım durumlarını ve örneklerini kullanın
-
- Gerçek dünya IACS ortamlarında uygunluk metriklerinin nasıl uygulanabileceğini gösterir.
- Varsayımsal sistemleri veya organizasyon senaryolarını içerebilir.
Güvenlik metrikleri, endüstriyel sistemlere siber güvenlik yaklaşımının yönetimi için son derece önemlidir. Bir şeyi ölçemiyorsanız, yönetemezsiniz!
IEC 62443-1-4
Endüstriyel İletişim Ağları-Ağ ve Sistem Güvenliği-Bölüm 1-4: IACS güvenlik yaşam döngüsü ve kullanım durumları.
IEC 62443-1-4, Endüstriyel Otomasyon ve Kontrol Sistemleri (IACS) için güvenlik yaşam döngüsünü tanımlar ve IEC 62443 kavramlarının ve süreçlerinin sistem yaşam döngüsünün farklı fazlarında nasıl uygulanabileceğini göstermek için gerçek dünya kullanım durumları sağlar.
Bu belge, serinin önceki kısımlarından (1-1 gibi) temel kavramları oluşturur ve paydaşların bir endüstriyel sistemin golü boyunca siber güvenlik uygulamalarına yardımcı olmak içindir.
Kilit İçerik Alanları
- IACS Güvenlik Yaşam Döngüsü Modeli
- IEC 61508 gibi standartlar halinde güvenlik yaşam döngüsüne benzer bir IACS’nin siber güvenlik yaşam döngüsünü tanımlar.
- Anahtar aşamalar şunları içerir:
- Başlatma / Kavram
- Tasarım ve Uygulama
- Operasyon ve Bakım
- Hizmetten çıkarma
- Her aşama siber güvenlik hedeflerini, faaliyetlerini ve çıktıları içerir.
- Yaşam döngüsü rolleri ve sorumlulukları
- Aşağıdakilerin rollerini tanımlar:
- Varlık sahibi
- Sistem entegranı
- Ürün tedarikçisi
- Servis sağlayıcıları
- Sorumlulukların yaşam döngüsü aşamalarına nasıl dağıtıldığını açıklar.
- Aşağıdakilerin rollerini tanımlar:
- Risk Yönetimi ile Entegrasyon
- Yaşam döngüsünün riske dayalı yaklaşımlarla nasıl uyumlu olduğunu açıklar:
- Tehdit ve Risk Değerlendirmeleri (TRAS)
- Güvenlik Seviyesi Hedefi (SL-T) Ataması
- Karşı önlemlerin uygulanması
- Riskler zamanla geliştikçe sürekli izlemeyi ve yeniden değerlendirmeyi teşvik eder.
- Yaşam döngüsünün riske dayalı yaklaşımlarla nasıl uyumlu olduğunu açıklar:
- Kullanım Koşulları
- Şunları göstermek için açıklayıcı senaryolar sağlar:
- Yaşam Döngüsünün Gerçek Dünya Bağlamlarında Uygulanması
- Farklı paydaşlar nasıl etkileşime girer?
- Tipik zorlukların ele alınması (örneğin, eski sistemlerin entegre edilmesi, uzaktan erişim, canlı ortamlarda yamalama)
- Bu kullanım durumları, kuruluşların teorinin uygulamayı nasıl karşıladığını görmelerine yardımcı olur.
- Şunları göstermek için açıklayıcı senaryolar sağlar:
- Yaşam döngüsü boyunca güvenlik kontrolleri
- Güvenlik kontrollerinin ve karşı önlemlerin her aşamada nasıl uygulanması ve uyarlanması gerektiğini açıklar.
- Bakımın nasıl olduğunu tartışıyorONSE ve güncellemeler güvenli bir şekilde yönetilir.
Bu belgenin bir parçası olan kullanım durumları özellikle yararlıdır, çünkü bize uygulama konusunda rehberlik sağlarlar!
Diğer
Bu, IEC 62443-1 serisi belgedeki belgelere çok üst düzey bir girişti. Bu belgelerin endüstriyel güvenliğe giriş yapıları nedeniyle sizin için faydası olmadığını ve haklı olabileceğinizi düşünüyor olabilirsiniz. Ancak, belki de diğer ülkelerde bile ve aynı kelime dağarcığını kullanmak ve terimlerin aynı anlayışına sahip olmak bu durumlarda çok önemlidir, bu nedenle IEC 62443-1 serisi belgelerin değerini reddetmeyin!
Bu serinin bir sonraki makalesinde, IEC 62443-2 serisi belgeye bakacağım, endüstriyel sistemlere yönelik riskleri ve risk değerlendirmelerini kapsayacağım, bu yüzden bizi izlemeye devam edin.
Serinin geri kalanına göz atın: Bölüm I | Bölüm II | Kelime bilgisi
