IACS 安全原則
IEC 62443-3-3 定義了從基礎要求到衍生的基本安全要求,包括:
1. 最低權限:該原則僅授予用戶執行工作所需的權限,以防止對數據或程序進行不必要的使用,並在帳戶遭到入侵時阻止或減緩攻擊。
2. 縱深防禦:IEC 62443 標準強調深度防禦理念,通過多層防禦利用安全實踐的多方面進行保護,採用安全設計方法。該技術允許採用多層防禦技術,延遲或防止工業網絡中的網絡攻擊。該標準還要求將系統分成稱為區域(Zone)的組,這些組將能夠通過稱為管道(Conduit)的通信渠道相互通信,無論它們是物理的、電子的,還是基於過程所發生的。
3. 風險分析:基於關鍵性、可能性和影響的風險分析概念並不新鮮。它已被用於解決與生產基礎設施、生產能力、對人的影響(傷害、死亡)和環境(污染)相關的風險。然而這種技術必須擴展到網絡安全,以解決工業信息系統中固有的風險。IEC 62443-3-2 描述了 IACS 的安全風險評估方法。
4. 補償性安全措施:在許多情況下,IACS 的組件不提供滿足給定安全級別所需的功能。在這種情況下,使用補償性安全措施、技術或程序可以幫助促進所需的能力。結合安全解決方案中的多種技術,旨在發揮這樣的作用。
5. 區域(Zone)和管道(Conduits):IEC 62443 提出了一種工業控制系統架構,將這些功能級別劃分為區域和管道,區域是具有共同安全要求的物理和/或功能聯合資產的集合。這些區域是根據工業系統控制架構的物理和功能模型定義的。IACS 中的所有資產都必須位於一個區域中。管道支持區域之間的通信。管道是兩個或多個區域之間的通信通道的邏輯分組。
6. 利用安全組件:IEC 62443-3-3 側重於安全 IACS 的原則,但利用了標準系列的其他部分。例如,它假定已根據 IEC 62443-2-1:IACS 資產所有者的安全計劃要求,建立並運行安全計劃。
IEC 62443-3-3 還假設將部署安全組件,或者將採取額外措施來滿足其要求,並解決當前和未來的漏洞和威脅形勢。組件和開發要求在第 4-2 和 4-1 部分中定義,這對於實現合規性至關重要。
風險評估
IEC 62443-3-2 包括區域、管道和風險評估的要求內容,幫助組織系統地進行風險評估。這些要求,稱為區域和管道要求(Zones & Conduits Requirement, ZCR)。ZCR 包括:決定被考慮的系統(System under Consideration, SuC),與利用現有文件所進行初始風險評估。SuC 可分成相關的區域和管道,根據每個區域/管道定義的目標安全級別,必須確定區域/管道是否應進行詳細風險評估,區域和管道不需要有相同的目標安全能力等級(Security Level - Target, SL-T)。詳細的風險評估由幾個步驟組成,從識別威脅、漏洞與其後果與影響開始,進一步詳細風險評估,依序確定三類風險:未減輕的風險、可容忍的風險和剩餘風險。
安全開發生命週期(Secure Development Lifecycle, SDL)
IEC 62443-4-1 規定了工業自動化和控制系統中使用產品的安全開發過程要求。它定義了安全開發生命週期,用於開發和維護產品安全。此生命週期包括安全需求定義、安全設計、安全實施(包括編碼指南)、驗證和確認、缺陷管理、修補程式管理和產品生命週期結束。產品供應商必須針對安全需求採取行動,實施下列開發階段:
1. 訓練-提供產品相關安全的訓練:對每一角色提供需要的訓練。
2. 要求-產品相關安全的要求:依據法規提出的安全要求。
3. 設計-產品安全設計的檢視:依據威脅模式與系統架構所展開的設計。
4. 開發-安全編碼(Code)實踐:確認產品相關的編碼。
5. 驗證-安全測試:白盒測試(內部結構或運作測試)和黑盒測試(功能測試)。
6. 發布-安全編碼發布的管理:文件與程序化到細部的安全部署。
7. 回應-事件的回應:回應事件與漏洞的報告。
IACS/OT 設備或應用程序中,大多數的漏洞是設計不佳、缺乏全面測試以及組件維護不周的結果。IEC 62443 提供了安全設計和開發產品的流程和要求,定義基本的安全要求規格,詳細說明了更好的編碼實踐,描述了風險感知部署。
▲ 資料來源:《Microsoft Security Development Lifecycle》, 03 / 09 / 2023
ISO 27000 和 IEC 62443 之間的差異
IT 人員通常強調 ISO 27001 系列標準,另方面 OT 人員則傾向 IEC 62443 系列標準,兩者間差異簡述如下:
● ISO 27000 系列:描述了 IT 安全管理系統(ISMS)的建立和運作。這些包括網路伺服器、辦公區域的電腦、ERP 系統…...等資訊安全,一般而言,資訊技術不包括嵌入式技術。跟其他 ISO 管理系統基本要求類似,強調流程管理,它提供一個可遵循的概念,以確保信息的機密性、可用性和完整性。該系列標準的一個重點是監測和評估 ISMS,雖然可同時應用於 IT 以及 OT,但是該標準沒有具體提及 OT 的要求。值得注意的是,ISO 27000 系列的 IT 安全是公司範圍的資安,同時也具有風險考量的思維。
● IEC 62443 系列:強調工業自動化系統的保護,因此屬於營運技術(OT)領域,例如工業機器人、觸控螢幕、生產控制伺服器、遠端 IO 系統、可程式設計邏輯控制 …...等,所以生產領域 IT 安全的具體技術方面,最好參照 IEC 62443 系列進行開發。它對系統的結構和分區進行了規範,安全風險評估和系統設計,因此 IEC 62443 適用於於實施電子安全的 IACS 的標準規範,而非資訊安全管理系統的標準規範,故搭配 ISO 27000 系列應用,可確保開發過程可以有效地實現 IEC 62443 定義的安全規範。
參考來源:
● https://www.cc.ntu.edu.tw/chinese/epaper/0054/20200920_5408.html
● https://eucyberact.org/wp-content/uploads/2022/05/T21c-TolvanenA-UPDATED-1.pdf
● https://www.secura.com/uploads/whitepapers/Risk-Assessment-Standards-for-ICS-Environments.pdf
● https://learn.microsoft.com/en-us/windows/security/threat-protection/msft-security-dev-lifecycle
延伸閱讀:
HOT 熱門文章
【財稅專欄】2022-07-28
【專欄文章】2024-12-25
【國際標準新知】2024-12-05
【國際標準新知】2024-12-05
【國際標準新知】2024-12-17