Che cos'è IEC/ISA 62443-3-3:2013? Sicurezza informatica e conformità

L'International Society of Automation (ISA) e l'International Electrotechnical Commission (IEC) hanno iniziato a creare la serie di standard 62443 nel 2002. La serie, che include IEC/ISA 62443-3-3, è stata inizialmente denominata serie ISA99 e conteneva standard di sicurezza dei sistemi di automazione e controllo industriale (IACS) creati seguendo la guida dell'American National Standards Institute (ANSI)

IEC/ISA 62443-3-3: 2013 definisce i requisiti di sistema (SR) e i miglioramenti dei requisiti (RE) necessari per conformarsi ai requisiti fondamentali (FR) e ai principi elencati nella parte 1:1 della serie di standard 62443.

Continua a leggere per saperne di più su IEC 62443-3-3 e su come la tua organizzazione può integrare vari standard di sicurezza per conformarsi agli FR della serie 62443.

Scopri come UpGuard aiuta le organizzazioni a difendersi dalle minacce informatiche>

Requisiti di sicurezza del sistema ISA/IEC e politiche di sicurezza

Gli standard ISA/IEC 62443 richiedono alle organizzazioni di implementare diversi principi di sicurezza informatica per conformarsi agli FR della serie. Questi principi di sicurezza informatica includono:

Privilegio minimo: la pratica di limitare i diritti di accesso, l'accesso all'account e la potenza di calcolo di un utente in base al suo ruolo e all'accesso necessario per completare i compiti definiti dal ruolo
Difesa in profondità: questo principio consente alle organizzazioni di ritardare o impedire che gli attacchi informatici colpiscano le infrastrutture critiche separando i sistemi in "zone" che comunicano tra loro attraverso "condotti"
Analisi del rischio: il processo di identificazione e valutazione di potenziali pericoli e rischi che potrebbero influire negativamente su un sistema o un'organizzazione utilizzando metodologie, pratiche e contromisure di valutazione del rischio
Misure di sicurezza compensative: i componenti IACS spesso non soddisfano i requisiti dei livelli di sicurezza ISA e le misure di sicurezza IACS di compensazione sono necessarie per facilitare le soluzioni e le capacità di sicurezza elevate
Zone e condotti: la serie 62443 consiglia un'architettura di sistema che fa riferimento a ISA95 e utilizza diverse zone e condotti

Pubblicazioni chiave della serie 62443

La serie 62443 si divide in quattro parti: moduli su argomenti generali, politiche e procedure, sistemi, componenti e requisiti.

IEC 62443-1-1 (Concetti e moduli): la parte 1:1 di 62443 delinea i concetti di processo industriale (inclusi gli FR) utilizzati in tutta la serie e i moduli che la serie include.
IEC 62443-2-1 (Requisiti del programma di sicurezza per i proprietari di asset IACS): ISA-62443-2-1 aiuta i fornitori di prodotti e gli operatori di soluzioni di automazione e definisce le procedure di sicurezza che i proprietari devono seguire durante l'utilizzo del sistema di gestione della sicurezza della rete IACS.
IEC 62443-2-4 (Requisiti per i fornitori di servizi IACS): la parte 2:4 comprende 12 sezioni che definiscono i requisiti per gli integratori IACS.
IEC 62443-3-2 (Valutazione dei rischi per la sicurezza e progettazione del sistema): la parte 3:2 stabilisce i livelli di sicurezza target (SL-T) per le zone e i condotti raccomandati e documenta i requisiti di sicurezza per la progettazione del sistema.
IEC 62443-4-1 (Secure Product Development Lifecycle Requirements): la Parte 4:1 è suddivisa in otto pratiche del ciclo di vita dello sviluppo sicuro e include requisiti per il test delle funzionalità di sicurezza, la gestione delle patch, la gestione delle vulnerabilità, ecc.
ISA/IEC 62443-4-2 (Requisiti tecnici di sicurezza per i componenti IACS): la Parte 4:2 include i requisiti tecnici per i componenti di sistema e i dispositivi integrati e definisce i vincoli di sicurezza dei componenti tipici (CCSC).

ISA/IEC 62443-3-3

La parte 3:3 della serie di standard ISA/IEC 62443 definisce le SR che le organizzazioni devono implementare per raggiungere le FR elencate nella parte 1:1. Ogni FR si applica a cinque livelli di sicurezza (SL), a cui gli utenti possono aderire in base ai risultati dell'analisi dei rischi e dei protocolli di gestione delle vulnerabilità.

Le cinque SL per ogni FR sono:

Livello 0: non sono necessarie protezioni specifiche
Livello 1: protezioni necessarie per eventi casuali o casuali
Livello 2: protezioni necessarie per utenti intenzionali o malintenzionati che utilizzano risorse limitate, competenze di basso livello e bassa motivazione
Livello 3: protezioni necessarie per utenti intenzionali o malintenzionati che utilizzano risorse moderate, competenze mirate e motivazione moderata
Livello 4: Protezioni necessarie per utenti intenzionali o malintenzionati che utilizzano risorse avanzate, competenze sofisticate e alta motivazione

Queste cinque SL consentono alle organizzazioni di personalizzare le protezioni in base alle loro esigenze specifiche, ai requisiti e alla complessità percepita delle potenziali minacce.

Rappresentazione visiva dei cinque livelli di sicurezza (SL) della serie 62443.

Requisiti fondamentali & 62443-3-3 Requisiti di sistema

Gli FR della serie 62443 includono standard internazionali per garantire la sicurezza delle informazioni e proteggere la tecnologia operativa. 62443-3-3 aiuta gli utenti a rispettare i seguenti sette FR:

FR 1: Identificazione, controllo dell'autenticazione e controllo degli accessi (AC)
FR 2: Usa il controllo (UC)
FR 3: Integrità del sistema (SI)
FR 4: Riservatezza dei dati (DC)
FR 5: Flusso di dati limitato (RDF)
FR 6: Risposta tempestiva agli eventi (TRE)
FR 7: Disponibilità delle risorse (RA)

Requisiti di sistema di FR 1

Il primo requisito fondamentale della serie 62443 è incentrato sull'identificazione, il controllo dell'autenticazione e il controllo degli accessi (AC). Di seguito sono riportati i requisiti di sistema necessari per conformarsi all'FR secondo la parte 3:3.

1.1 Identificazione e autenticazione dell'utente umano: tutti gli utenti della rete umana devono essere identificati e autenticati in modo univoco
1.2 Identificazione e autenticazione del processo software e del dispositivo: tutti i dispositivi devono essere identificati e autenticati da interfacce di sistema sicure
1.3: Gestione dell'account: il sistema dovrebbe essere in grado di gestire la massima larghezza di banda dell'utente e gestire comodamente tutti gli account utente
1.4: Gestione degli identificatori: il sistema deve supportare tutti gli identificatori di utenti, gruppi, ruoli e interfacce
1.5: Gestione degli autenticatori: gli utenti devono disporre di procedure e di un sistema di gestione degli autenticatori per garantire che le password siano univoche
1.6: Gestione dell'accesso wireless: il sistema deve essere in grado di identificare e autenticare tutti gli utenti wireless
1.7: Forza dell'autenticazione basata su password: il sistema deve essere in grado di applicare i requisiti minimi della password
1.8: Certificati PKI (Public Key Infrastructure): i certificati devono convalidare i titolari delle chiavi e garantire che siano legittimi
1.9: Forza dell'autenticazione a chiave pubblica: il sistema deve essere in grado di applicare i requisiti minimi PKI
1.10: Feedback dell'autenticatore: il sistema non dovrebbe visualizzare i caratteri di una password quando viene digitata da un utente
1.11: Tentativi di accesso non riusciti: il SIACC deve consentire solo un numero specifico di tentativi di accesso non riusciti e impostare tempi di blocco per gli errori di autenticazione
1.12: Notifica di utilizzo del sistema: il sistema dovrebbe visualizzare messaggi di utilizzo che avvertono contro l'uso non autorizzato e vietano l'uso registrato
1.13: Accesso tramite reti non attendibili: gli IACS conformi dovrebbero essere in grado di controllare l'accesso da reti non attendibili

Requisiti di sistema di FR 2

Il secondo FR della serie 62443 riguarda il controllo dell'uso (UC). Di seguito sono riportati i requisiti di sistema elencati in ISA 62443-3-3:

2.1: Applicazione dell'autorizzazione: il sistema dovrebbe essere in grado di applicare l'autorizzazione a tutti gli utenti, ruoli e parametri
2.2: Controllo dell'uso wireless: le reti wireless del sistema dovrebbero monitorare e applicare restrizioni sugli eventi di accesso remoto utilizzando le pratiche di sicurezza del settore
2.3: Utilizzo del controllo per dispositivi portatili e mobili: i controllori devono progettare l'IACS in modo da consentire il monitoraggio e il controllo dell'utilizzo di dispositivi portatili e mobili
2.4: Codice mobile: qualsiasi codice recuperato dall'esterno del sistema deve essere verificato per evitare manomissioni e attività dannose
2.5: Blocco di sessione: il SIACS non deve utilizzare blocchi di sessione per governare le funzioni critiche
2.6: Terminazione della sessione remota: il sistema dovrebbe essere in grado di terminare le sessioni remote dopo l'inattività o dopo che l'utente ha avviato tale azione
2.7: Controllo delle sessioni simultanee: le sessioni simultanee devono essere gestite e controllate in base agli standard di autorizzazione dell'utente
2.8: Eventi verificabili: i sistemi di controllo dovrebbero essere in grado di registrare gli eventi verificabili nel registro di sistema
2.9: Capacità di archiviazione di controllo: La capacità di archiviazione del sistema deve essere sufficientemente grande da memorizzare i registri di controllo richiesti
2.10: Risposta agli errori di elaborazione dell'audit: il sistema dovrebbe avvisare gli operatori e continuare l'accesso alle funzioni essenziali durante gli errori di elaborazione dell'audit
2.11: Timestamp: tutti i record di audit dovrebbero utilizzare timestamp

Requisiti di sistema di FR 3

Il terzo FR di 62443-3-3 si occupa dei controlli di integrità del sistema. Di seguito sono riportati i requisiti di sistema per FR 3:

3.1: Integrità della comunicazione: le informazioni trasmesse all'interno e all'esterno del sistema devono essere protette utilizzando soluzioni interne ed esterne
3.2: Protezione da codice dannoso: l'IACS dovrebbe utilizzare soluzioni antivirus per proteggersi dal codice dannoso
3.3: Verifica della funzionalità di sicurezza: durante le fasi di test e le procedure di manutenzione, il SIGC deve verificare tutte le funzioni di sicurezza e segnalare tutte le deviazioni
3.4: Software e integrità delle informazioni: una soluzione SIEM deve rilevare, registrare, segnalare e proteggere le informazioni inattive
3.5: Convalida degli input: il SIGC dovrebbe convalidare tutti gli input che hanno un impatto diretto sul sistema di controllo e tutti gli input di processo
3.6: Output deterministico: gli output devono tornare a uno stato predefinito quando il SIACC non è in grado di raggiungere il funzionamento regolare
3.7: Gestione degli errori: il SIGC dovrebbe rispondere e risolvere rapidamente le condizioni di errore
3.8: Integrità della sessione: il sistema deve essere in grado di rifiutare gli ID di sessione non validi e installare protocolli basati sulla sessione
3.9: Protezione delle informazioni di audit: le informazioni di audit devono essere crittografate per proteggerle durante la trasmissione e il resto

Requisiti di sistema di FR 4

Il requisito fondamentale 4 garantisce che i sistemi regolamentati seguano le migliori pratiche in materia di riservatezza dei dati. Di seguito sono riportati i requisiti di sistema per FR 4:

4.1: Riservatezza delle informazioni: le informazioni riservate devono essere protette a riposo e durante la trasmissione
4.2: Persistenza delle informazioni: il sistema dovrebbe essere in grado di recuperare le informazioni e i dati passati nelle sessioni successive
4.3: Uso della crittografia: tutti gli algoritmi di crittografia utilizzati dal sistema devono rispettare le migliori pratiche del settore (inclusi gli algoritmi utilizzati per i backup)

Requisiti di sistema di FR 5

FR 5 limita il modo in cui il flusso di dati può avvenire attraverso l'IACS di un'organizzazione. Di seguito sono riportati i requisiti di sistema per FR 5:

5.1: Segmentazione della rete: il personale deve isolare i segmenti di rete quando possibile e implementare valutazioni del rischio per ridurre il rischio di un incidente informatico
5.2: Protezione dei confini delle zone: i protocolli di accesso alla rete devono essere applicati per installare protezioni ai confini delle zone
5.3: Restrizioni generali per le comunicazioni da persona a persona: il SIGC dovrebbe essere in grado di impedire la messaggistica in caso di attacco doloso
5.4: Partizionamento delle applicazioni: le applicazioni devono essere partizionate in base alla criticità e in modo da implementare un modello di zonizzazione accettato dal settore

Requisiti di sistema di FR 6

Il sesto requisito fondamentale della serie 62443 garantisce che gli operatori IACS installino gli standard per una risposta tempestiva agli eventi durante il processo di sviluppo. Ecco le SR per FR 6:

6.1: Accessibilità del registro di controllo: il sistema deve concedere agli utenti autorizzati solo l'accesso in sola lettura ai registri di controllo e non essere in grado di modificare i registri
6.2: Monitoraggio continuo: il personale deve installare protocolli di monitoraggio continuo per garantire una consapevolezza costante e supportare le decisioni di rischio

Requisiti di sistema di FR 7

L'ultimo requisito fondamentale della serie 62443 include i protocolli per gestire la disponibilità delle risorse. Di seguito sono riportati gli SR elencati in IEC 62443-3-3 per FR 7:

7.1: Protezione DoS: l'IACS deve funzionare in una modalità degradata predeterminata quando si verifica un attacco Denial of Service
7.2: Gestione delle risorse: gli standard di sistema dovrebbero gestire l'allocazione delle risorse e prevenire l'esaurimento delle risorse
7.3: Backup del sistema di controllo: i backup aggiornati dovrebbero essere sempre disponibili per implementare un ripristino completo del sistema in caso di guasto del sistema
7.4: Controllo del ripristino e della ricostituzione del sistema: i flussi di lavoro del sistema dovrebbero garantire che il sistema possa tornare a uno stato sicuro in modo rapido ed efficiente
7.5: Alimentazione di emergenza: gli stati di sicurezza e le modalità degradate non dovrebbero essere influenzati quando l'IACS passa dall'alimentazione standard a quella di emergenza
7.6: Impostazioni di configurazione della rete e della sicurezza: il sistema IACS deve soddisfare le migliori pratiche del settore per la sicurezza della rete
7.7: Funzionalità minima: le funzioni non necessarie devono essere limitate e gestite per proteggere le risorse durante gli incidenti di sicurezza
7.8: Inventario dei componenti del sistema di controllo: il SIGC deve mantenere e gestire un inventario aggiornato di tutti i componenti del sistema di controllo

Come rispettare gli standard di sicurezza ISA

Qualsiasi organizzazione interessata a rispettare gli standard di sicurezza della serie 62443 di ISA deve condividere la responsabilità tra i reparti. La serie 62443 richiede che i principali stakeholder della sicurezza informatica collaborino e garantiscano che tutti i componenti del loro IACS si difendano dai rischi informatici e dalle vulnerabilità.

Le persone, gli standard, le metriche di sicurezza informatica e la cultura di un'organizzazione svolgeranno un ruolo fondamentale nell'aderire ai requisiti fondamentali e di sistema presenti in tutta la serie 62443. La serie sfrutta anche i pilastri fondamentali del NIST Cybersecurity Framework (NIST CSF), con cui i professionisti IT e della sicurezza informatica hanno in genere maggiore familiarità.

I principi fondamentali del NIST CSF includono:

Rilevamento: il personale deve monitorare e valutare regolarmente tutti i componenti del sistema per anticipare, identificare e prevenire i rischi del sistema e le attività dannose
Segmento: i sistemi dovrebbero essere segmentati, ove possibile, per mitigare l'impatto che gli attacchi informatici e gli incidenti di sicurezza possono avere su un sistema
Rilevamento: il personale deve installare procedure e protocolli per rilevare continuamente nuove vulnerabilità e rischi in tutto il sistema
Risposta: le organizzazioni dovrebbero sfruttare la risposta agli incidenti e i piani di continuità aziendale per accelerare la gestione degli incidenti e la riparazione del sistema

Le soluzioni di sicurezza informatica di UpGuard possono aiutare le organizzazioni a soddisfare molti dei requisiti di sistema 62443-3-3 di ISA. Allo stesso tempo, UpGuard BreachSight e Vendor Risk possono assistere gli utenti con concetti critici di sicurezza informatica, tra cui la gestione della superficie di attacco, la gestione del rischio del fornitore, la risposta agli incidenti, la sicurezza della rete, ecc.

Le funzionalità complete di BreachSight e Vendor Risk includono:

Rilevamento delle fughe di dati: proteggi la reputazione del tuo marchio, la proprietà intellettuale e i dati dei clienti con il rilevamento tempestivo delle fughe di dati
Monitoraggio continuo: ottieni aggiornamenti in tempo reale e gestisci le esposizioni sulla tua superficie di attacco, inclusi domini, IP, app, endpoint, plug-in e firewall
Riduzione della superficie di attacco: riduci la superficie di attacco individuando vulnerabilità sfruttabili e domini a rischio di typosquatting
Profilo di sicurezza condiviso: crea un profilo condiviso UpGuard per eliminare il fastidio di rispondere ai questionari di sicurezza
Flussi di lavoro e deroghe: semplifica i flussi di lavoro di correzione, elimina rapidamente i rischi e rispondi alle domande di sicurezza
Reportistica e approfondimenti: accedi a report su misura per le diverse parti interessate e visualizza le informazioni sulla tua superficie di attacco esterna
Questionari sulla sicurezza dei fornitori: automatizza i questionari sulla sicurezza per ottenere informazioni più approfondite sulle relazioni con i fornitori e sulla posizione di sicurezza di terze parti
Valutazioni di sicurezza: valuta il livello di sicurezza dei singoli fornitori utilizzando le nostre valutazioni di sicurezza basate sui dati, oggettive e dinamiche
Valutazioni dei rischi: semplifica i flussi di lavoro di valutazione dei rischi, raccogli prove e richiedi rapidamente la correzione