IEC 62443 & RTLS — OT cyberbezpieczeństwo.
RTLS to technologia operacyjna. Działa równolegle z twoimi PLC, SCADA, MES i historykiem, a jego kompromis może przełożyć się na produkcję.
IEC 62443 to ramy, których większość zespołów OT w przedsiębiorstwach używa do jego zakresu i zabezpieczenia. To jest podsumowanie na poziomie operatora.
Model Purdue i miejsce, gdzie mieszka RTLS
IEC 62443 dziedziczy architekturę referencyjną Purdue Enterprise: model warstwowy, gdzie poziom 0 to czujniki/siłowniki, poziom 1 to podstawowa kontrola, poziom 2 to nadzorczy (HMI), poziom 3 to operacje produkcyjne (MES), a poziom 4–5 to IT dla przedsiębiorstwa.
Komponenty RTLS działają na wielu warstwach: kotwicy i bramy na L1-L2, platforma lokalizacji na L3, analityka i raportowanie na L4. Architektura musi szanować przewody między tymi strefami.
Poziomy bezpieczeństwa — SL 1 do SL 4
IEC 62443 definiuje cztery poziomy bezpieczeństwa według zdolności atakującego: SL 1 przeciwko przypadkowemu nadużyciu, SL 2 przeciwko celowym, niezaawansowanym atakom, SL 3 wobec zaawansowanych ataków specjalnych, SL 4 przeciwko zaawansowanym atakom o rozległych zasobach.
Większość przemysłowych wdrożeń RTLS celuje w SL 2 na całej platformie, z SL 3 dla warstw zarządzania i integracji. Osiągnięcie tych wymagań wymaga zarówno możliwości producenta, jak i decyzji dotyczących projektowania wdrożenia.
Strefy, przewody i to, co je przekracza
Każda architektura IEC 62443 definiuje strefy (logiczne grupy urządzeń o wspólnych wymaganiach bezpieczeństwa) oraz przewody (kontrolowane ścieżki komunikacyjne między nimi).
Dla RTLS zazwyczaj oznacza to: dedykowaną strefę kotwiczącą RTLS na L1-L2, strefę analityczną na L3 oraz jawne, monitorowane przewody prowadzące do MES, WMS i historyka.
Ruch międzystrefowy wykorzystuje uwierzytelnione, szyfrowane protokoły z rygorystyczną listą dozwolonych — a nie sieci płaskie.
Zarządzanie łatkami, bezpieczne wdrożenie i cykl życia
IEC 62443 wymaga ciągłego zabezpieczenia przez cały cykl wdrożenia, nie tylko przy przekazaniu.
Oznacza to udokumentowane procesy zarządzania łatkami, domyślne ustawienia bezpieczne dla dostawców, okresową ocenę podatności oraz podręczniki reagowania na incydenty specyficzne dla OT (gdzie "wyłączenie wtyczki" rzadko jest akceptowalną reakcją).
Są one zaprojektowane jako część etapów 1 i 3 Metoda programu TRACIO.
Najczęściej zadawane pytania
Czy potrzebujemy certyfikacji IEC 62443, czy tylko wyrównania?
Większość przedsiębiorstw celuje w zgodność IEC 62443 z udokumentowanymi praktykami projektowymi i operacyjnymi — a nie formalną certyfikacją.
Formalna certyfikacja (zazwyczaj do 62443-4-1 dla produktów lub 62443-2-1 dla procesów) jest wymagana tylko w określonych kontekstach regulowanych (niektóre infrastruktury krytyczne, niektóre obronne).
Wyrównanie jest wystarczające dla zdecydowanej większości zastosowań przemysłowych.
Na jaki poziom bezpieczeństwa powinniśmy się skupić?
SL 2 dla większości przemysłowych RTLS, SL 3 dla warstw zarządzania i integracji oraz dla wdrożeń w infrastrukturze krytycznej lub z podwyższonymi profilami zagrożeń. Pomagamy Ci określić odpowiedni poziom dla każdej strefy przy bramce 1, wspólnie z Twoim CISO.
Jak to wpływa na wybór dostawców?
Znacząco. Dostawcy, którzy nie potrafią jasno określić swojego cyklu życia rozwoju bezpieczeństwa (zazwyczaj zdolnego do 62443-4-1), rezygnują z krótkiej listy.
Większość dostawców RTLS dla przedsiębiorstw jest już dostępna, ale weryfikacja nie jest trywialna — przeprowadzamy ją podczas oceny dostawców.
Czy możemy dostosować wyrównanie IEC 62443 do istniejącego wdrożenia?
Tak, ale drożej niż zaprojektowanie tego w środku. Modernizacja zazwyczaj oznacza ponowne segmentowanie sieci, ponowne kluczowanie certyfikatów urządzeń, umacnianie konfiguracji platform oraz przebudowę procedur reagowania na incydenty.
Wykonujemy tę pracę w ramach Ratowanie programu zaręczyny.
Ostatnia aktualizacja: