IEC 62443

aus Wikipedia, der freien Enzyklopädie
Zur Navigation springen Zur Suche springen

IEC 62443 ist eine internationale Normenreihe über "Industrielle Kommunikationsnetze - IT-Sicherheit für Netze und Systeme". Die Norm ist in verschiedene Abschnitte unterteilt und beschreibt sowohl technische als auch prozessorale Aspekte der Industriellen Cybersecurity. Sie unterteilt die Industrie in verschiedene Rollen: den Betreiber, die Integratoren (Dienstleister für Integration und Wartung) sowie die Hersteller. Die verschiedenen Rollen verfolgen jeweils einen risikobasierten Ansatz zur Vermeidung und Behandlung von Sicherheitsrisiken bei ihren Tätigkeiten.

IEC 62443 Übersicht[Bearbeiten | Quelltext bearbeiten]

Die Normenreihe IEC 62443 Industrial communication networks – Network and system security besteht aus folgenden Teilen:

  • Teil 1-1: Terminology, concepts and models (Technical Specification, Edition 1.0, Juli 2009)[1]
  • Teil 2-1: Establishing an industrial automation and control system security program (International Standard, Edition 1.0, November 2010)[2] Dieser Abschnitt des Standards richtet sich an Betreiber von Automatisierungslösungen und definiert Anforderungen, wie Security während des Betriebs von Anlagen zu berücksichtigen ist (vgl. ISO/IEC 27001).
  • Teil 2-3: Patch management in the IACS environment (Technical Report, Edition 1.0, Juni 2015)[3]
  • Teil 2-4: Security program requirements for IACS service providers (Technical Report, Edition 1.1, August 2017)[4] Dieser Teil legt Anforderungen ("Capabilities") für Integratoren fest. Diese Anforderungen sind in 12 Themengebiete unterteilt: Assurance, Architektur, Wireless, Sicherheitstechnische Systeme, Konfigurationsmanagement, Fernzugriff, Ereignisverwaltung und -protokollierung, Benutzerverwaltung, Malware-Schutz, Patch-Management, Backups & Wiederherstellung sowie Besetzung von Projekten.
  • Teil 3: Security for industrial process measurement and control - Network and system security (Publicly Available Specification, Edition 1.0, August 2008)[5]
  • Teil 3-1: Security technologies for industrial automation and control systems (Technical Report, Edition 1.0, Juli 2009)[6]
  • Teil 3-2: Security for industrial automation and control systems - Part 3-2: Security risk assessment for system design (International Standard, Edition 1.0, Juni 2020)[7]
  • Teil 3-3: System security requirements and security levels (International Standard, Edition 1.0, August 2013)[8] Technische Anforderungen an Systeme sowie Security Level werden in diesem Teil beschrieben.
  • Teil 4-1: Secure product development lifecycle requirements (International Standard, Edition 1.0, Januar 2018)[9] Der Abschnitt -4-1 der IEC 62443 legt fest, wie ein sicherer Entwicklungsprozess für Produkte auszusehen hat. Er ist unterteilt in acht Bereiche ("Practices"): dem Management der Entwicklung, der Definition von Security-Anforderungen, dem Design von Security-Lösungen, der sicheren Entwicklung, dem Testen von Sicherheitseigenschaften, dem Umgang mit Sicherheitslücken, dem Erstellen und Veröffentlichen von Updates sowie der Dokumentation der Security-Eigenschaften.
  • Teil 4-2: Technical security requirements for IACS components (International Standard, Edition 1.0, Februar 2019)[10] In diesem Abschnitt werden technische Anforderungen an Produkte bzw. Komponenten festgelegt. Die Anforderungen sind wie die Anforderungen an Systeme (Abschnitt -3-3) in 12 Themengebiete unterteilt und beziehen sich auf diese. Zusätzlich zu den technischen Anforderungen werden allgemeine Sicherheitsanforderungen ("Common component security constraints", CCSC) definiert, die von Komponenten eingehalten werden müssen um mit der IEC 62443-4-2 konform zu sein:
    • CCSC 1 beschreibt, dass Komponenten die allgemeinen Sicherheitseigenschaften des Systems, in dem sie eingesetzt werden, berücksichtigen müssen.
    • CCSC 2 legt fest, dass die technischen Anforderungen, die die Komponente nicht selbst erfüllen kann, durch kompensierende Gegenmaßnahmen ("Compensating countermeasures") auf Systemebene (vgl. IEC 62443-3-3) erfüllt werden können. Hierfür müssen die Gegenmaßnahmen in der Dokumentation der Komponente beschrieben werden.
    • CCSC 3 verlangt, dass in der Komponente das "Least Privilege"-Prinzip angewendet wird.
    • CCSC 4 verlangt, dass die Komponente durch IEC 62443-4-1 konforme Entwicklungsprozesse entwickelt und supportet wird.

Reifegrade[Bearbeiten | Quelltext bearbeiten]

Die IEC 62443 beschreibt verschiedene Reifegrade für Prozesse und technische Anforderungen. Die Reifegrade für Prozesse orientieren sich dabei an den Reifegraden aus dem CMMI-Framework.

Maturity Level[Bearbeiten | Quelltext bearbeiten]

Angelehnt an CMMI beschreibt die IEC 62443 verschiedene Reifegrade für Prozesse durch sogenannte "Maturity Level". Für die Erfüllung einer bestimmten Stufe eines Reifegrades müssen immer alle prozessualen Anforderungen bei der Produktentwicklung bzw. Integration praktiziert werden, d. h. die Auswahl von nur einzelnen Kriterien ("Cherry Picking") ist nicht standardkonform.

Die Reifegrade sind dabei wie folgt beschrieben:

  • Maturity Level 1 - Initial: Produktlieferanten führen die Produktentwicklung in der Regel ad hoc und oft undokumentiert (oder nicht vollständig dokumentiert) durch.
  • Maturity Level 2 - Managed: Der Produktlieferant ist in der Lage, die Entwicklung eines Produkts gemäß schriftlicher Richtlinien zu verwalten. Es muss nachgewiesen werden, dass das Personal, das den Prozess durchführt, über das entsprechende Fachwissen verfügt, geschult ist und/oder schriftliche Verfahren befolgt. Die Prozesse sind wiederholbar.
  • Maturity Level 3 - Defined (practiced): Der Prozess ist in der gesamten Organisation des Lieferanten wiederholbar. Die Prozesse sind praktiziert worden, und es gibt Belege dafür, dass dies geschehen ist.
  • Maturity Level 4 - Improving: Anhand geeigneter Prozessmetriken kontrollieren die Produktlieferanten die Wirksamkeit und Leistung des Prozesses und weisen eine kontinuierliche Verbesserung in diesen Bereichen nach.

Security Level[Bearbeiten | Quelltext bearbeiten]

Technische Anforderungen an Systeme (IEC 62443-3-3) und Produkte (IEC 62443-4-2) werden in der Norm durch vier sogenannte Security Level (SL) bewertet. Die verschiedenen Level geben dabei die Widerstandsfähigkeit gegenüber verschiedener Angreiferklassen an. Der Standard betont, dass dabei die Level pro technischer Anforderung gewertet werden sollen (vgl. IEC 62443-1-1) und nicht für die allgemeine Klassifizierung von Produkten geeignet sind.

Die Level sind:

  • Security Level 0: Keine besondere Anforderung oder Schutz erforderlich.
  • Security Level 1: Schutz vor unbeabsichtigtem oder zufälligem Missbrauch.
  • Security Level 2: Schutz vor vorsätzlichem Missbrauch mit einfachen Mitteln mit geringen Ressourcen, allgemeinen Fähigkeiten und geringer Motivation.
  • Security Level 3: Schutz vor vorsätzlichem Missbrauch mit anspruchsvollen Mitteln mit moderaten Ressourcen, IACS-spezifischen Kenntnissen und moderater Motivation.
  • Security Level 4: Schutz vor vorsätzlichem Missbrauch unter Einsatz anspruchsvoller Mittel mit umfangreichen Ressourcen, IACS-spezifischen Kenntnissen und hoher Motivation.

Grundprinzipien[Bearbeiten | Quelltext bearbeiten]

Die Norm erläutert verschiedene Grundprinzipien, die für alle Rollen bei allen Tätigkeiten berücksichtigt werden sollen.

Defense in Depth[Bearbeiten | Quelltext bearbeiten]

Defense in Depth ("Verteidigung in der Tiefe") ist ein Konzept, bei dem mehrere Ebenen von Sicherheitsvorkehrungen (Verteidigung) über das gesamte System verteilt sind. Das Ziel ist hierbei, Redundanz für den Fall zu schaffen, dass eine Sicherheitsmaßnahme ausfällt oder eine Schwachstelle ausgenutzt wird.

Zones & Conduits[Bearbeiten | Quelltext bearbeiten]

Zones unterteilen ein System in homogene Zonen durch Gruppierung der (logischen oder physischen) Anlagen mit gemeinsamen Sicherheitsanforderungen. Die Sicherheitsanforderungen werden über Security Level (SL) definiert. Das für eine Zone erforderliche Niveau wird durch die Risikoanalyse ermittelt.

Zonen haben Grenzen, die die Elemente innerhalb der Zone von denen außerhalb trennen. Informationen bewegen sich innerhalb und zwischen den Zonen. Zonen können in Unterzonen unterteilt werden, die unterschiedliche Sicherheitsebenen (Security Level) definieren und damit Defense-in-Depth ermöglichen.

Conduits gruppieren die Elemente, die die Kommunikation zwischen zwei Zonen erlauben. Sie stellen Sicherheitsfunktionen bereit, die eine sichere Kommunikation ermöglichen und die Koexistenz von Zonen unterschiedlicher Sicherheitsstufen erlauben.

Siehe auch[Bearbeiten | Quelltext bearbeiten]

Literatur[Bearbeiten | Quelltext bearbeiten]

  • P. Kobes: Leitfaden Industrial Security: IEC 62443 einfach erklärt. VDE VERLAG GmbH, Berlin 2016, ISBN 978-3-8007-4165-6.
  • S. Rohr: Industrial IT Security: Effizienter Schutz vernetzter Produktionslinien. Vogel Communications Group GmbH & Co. KG, 2019, ISBN 978-3-8343-3382-7

Einzelnachweise[Bearbeiten | Quelltext bearbeiten]

  1. IEC62443-1-1, Industrial communication networks – Network and system security – Part 1-1: Terminology, concepts and models Seite 1-10 (PDF 263KB) auf webstore.iec.ch
  2. IEC62443-2-1, Industrial communication networks – Network and system security – Part 2-1: Establishing an industrial automation and control system security program 17 Seiten Auszug (PDF 382KB) auf webstore.iec.ch
  3. IEC62443-2-3, Security for industrial automation and control systems - Part 2-3: Patch management in the IACS environment Seite 1-8(PDF) auf webstore.iec.ch
  4. IEC62443-2-4, Security for industrial automation and control systems - Part 2-4: Security program requirements for IACS service providers Seite 1-7 (PDF) auf webstore.iec.ch
  5. IEC62443-3, Security for industrial process measurement and control - Network and system security Seite 1-6 (PDF) auf webstore.iec.ch
  6. IEC62443-3-1, Industrial communication networks – Network and system security – Part 3-1: Security technologies for industrial automation and control systems Seite 1-13 (PDF 273KB) auf webstore.iec.ch
  7. Security for industrial automation and control systems - Part 3-2: Security risk assessment for system design Seite 1-13 (PDF 330KB) auf webstore.iec.ch
  8. IEC62443-3-3 Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels Seite 1-14 (PDF) auf webstore.iec.ch
  9. IEC62443-41 Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements. In: Seite 1-11 Auszug. Abgerufen am 9. August 2018 (englisch).
  10. IEC 62443-4-2:2019 Security for industrial automation and control systems - Part 4-2: Technical security requirements for IACS components. Abgerufen am 7. September 2020.