IEC/ISA 62443-3-3: 2013 là gì? An ninh mạng & Tuân thủ

Hiệp hội Tự động hóa Quốc tế (ISA) và Ủy ban Kỹ thuật Điện Quốc tế (IEC) bắt đầu tạo ra loạt tiêu chuẩn 62443 vào năm 2002. Sê-ri này, bao gồm IEC/ISA 62443-3-3, ban đầu được gọi là sê-ri ISA99 và chứa các tiêu chuẩn an ninh hệ thống điều khiển và tự động hóa công nghiệp (IACS) được tạo ra theo hướng dẫn của Viện Tiêu chuẩn Quốc gia Hoa Kỳ (ANSI)

IEC/ISA 62443-3-3: 2013 xác định các yêu cầu hệ thống (SR) và cải tiến yêu cầu (RE) cần thiết để tuân thủ các yêu cầu cơ bản (FR) và các nguyên tắc được liệt kê trong phần 1: 1 của loạt tiêu chuẩn 62443.

Hãy tiếp tục đọc để tìm hiểu thêm về IEC 62443-3-3 và cách tổ chức của bạn có thể tích hợp các tiêu chuẩn bảo mật khác nhau để tuân thủ FR của dòng 62443.

Khám phá cách UpGuard giúp các tổ chức tự bảo vệ mình trước các mối đe dọa mạng>

Yêu cầu bảo mật hệ thống ISA/IEC & Chính sách bảo mật

Các tiêu chuẩn ISA/IEC 62443 yêu cầu các tổ chức thực hiện một số nguyên tắc an ninh mạng để tuân thủ FR của sê-ri. Các nguyên tắc an ninh mạng này bao gồm:

  • Đặc quyền tối thiểu: Thực hành giới hạn quyền truy cập, quyền truy cập tài khoản và sức mạnh tính toán của người dùng dựa trên vai trò của họ và quyền truy cập cần thiết để hoàn thành nhiệm vụ do vai trò xác định của họ
  • Phòng thủ chuyên sâu: Nguyên tắc này cho phép các tổ chức trì hoãn hoặc ngăn chặn các cuộc tấn công mạng ảnh hưởng đến cơ sở hạ tầng quan trọng bằng cách tách các hệ thống thành các "vùng" giao tiếp với nhau thông qua "ống dẫn"
  • Phân tích rủi ro: Quá trình xác định và đánh giá các mối nguy tiềm ẩn và rủi ro có thể ảnh hưởng tiêu cực đến hệ thống hoặc tổ chức bằng cách sử dụng các phương pháp, thực hành và biện pháp đối phó đánh giá rủi ro
  • Các biện pháp bảo mật bù đắp: Các thành phần IACS thường không đáp ứng các yêu cầu của mức bảo mật ISA và các biện pháp bảo mật IACS bù đắp là cần thiết để tạo điều kiện thuận lợi cho các giải pháp và nâng cao khả năng bảo mật
  • Vùng và ống dẫn: Dòng 62443 khuyến nghị kiến trúc hệ thống tham chiếu ISA95 và sử dụng một số vùng và ống dẫn

Các ấn phẩm chính trong sê-ri 62443

Sê-ri 62443 tự chia thành bốn phần: mô-đun về các chủ đề chung, chính sách và thủ tục, hệ thống, các thành phần và yêu cầu.

  • IEC 62443-1-1 (Khái niệm & Mô-đun): Phần 1: 1 của 62443 phác thảo các khái niệm quy trình công nghiệp (bao gồm cả FR) được sử dụng trong suốt chuỗi và các mô-đun mà sê-ri bao gồm.
  • IEC 62443-2-1 (Yêu cầu chương trình bảo mật đối với chủ sở hữu tài sản IACS): ISA-62443-2-1 giúp các nhà cung cấp sản phẩm và nhà khai thác giải pháp tự động hóa và xác định các quy trình bảo mật mà chủ sở hữu nên tuân theo khi vận hành hệ thống quản lý an ninh mạng IACS.
  • IEC 62443-2-4 (Yêu cầu đối với nhà cung cấp dịch vụ IACS): Phần 2: 4 bao gồm 12 phần xác định các yêu cầu đối với các nhà tích hợp IACS.
  • IEC 62443-3-2 (Đánh giá rủi ro bảo mật và thiết kế hệ thống): Phần 3: 2 thiết lập các mức bảo mật mục tiêu (SL-T) cho các khu vực và ống dẫn được khuyến nghị và tài liệu các yêu cầu bảo mật cho thiết kế hệ thống.
  • IEC 62443-4-1 (Yêu cầu về vòng đời phát triển sản phẩm bảo mật): Phần 4: 1 được chia thành tám thực hành vòng đời phát triển an toàn và bao gồm các yêu cầu để kiểm tra các tính năng bảo mật, quản lý bản vá, quản lý lỗ hổng, v.v.
  • ISA/IEC 62443-4-2 (Yêu cầu bảo mật kỹ thuật đối với các thành phần IACS): Phần 4: 2 bao gồm các yêu cầu kỹ thuật đối với các thành phần hệ thống và thiết bị nhúng và xác định các ràng buộc bảo mật thành phần điển hình (CCSC).

ISA/IEC 62443-3-3

Phần 3: 3 của loạt tiêu chuẩn ISA/IEC 62443 xác định các SR mà các tổ chức cần thực hiện để đạt được các FR được liệt kê trong phần 1: 1. Mỗi FR áp dụng trên năm cấp độ bảo mật (SL), mà người dùng có thể tuân thủ tùy thuộc vào kết quả phân tích rủi ro và giao thức quản lý lỗ hổng bảo mật của họ.

Năm SL cho mỗi FR là:

  • Cấp độ 0: Không cần bảo vệ cụ thể
  • Cấp độ 1: Các biện pháp bảo vệ cần thiết cho các sự kiện ngẫu nhiên hoặc ngẫu nhiên
  • Cấp độ 2: Các biện pháp bảo vệ cần thiết cho người dùng có chủ ý hoặc độc hại sử dụng tài nguyên hạn chế, kỹ năng cấp thấp và động lực thấp
  • Cấp độ 3: Các biện pháp bảo vệ cần thiết cho người dùng có chủ ý hoặc độc hại sử dụng tài nguyên vừa phải, kỹ năng có mục tiêu và động lực vừa phải
  • Cấp độ 4: Các biện pháp bảo vệ cần thiết cho người dùng có chủ ý hoặc độc hại sử dụng tài nguyên nâng cao, kỹ năng tinh vi và động lực cao

Năm SL này cho phép các tổ chức điều chỉnh các biện pháp bảo vệ theo nhu cầu, yêu cầu cụ thể và độ phức tạp của các mối đe dọa tiềm ẩn.

Biểu diễn trực quan của năm cấp độ bảo mật (SL) của dòng 62443.

Yêu cầu cơ bản & 62443-3-3 Yêu cầu hệ thống

FR của dòng 62443 bao gồm các tiêu chuẩn quốc tế để đảm bảo an ninh thông tin và bảo vệ công nghệ vận hành. 62443-3-3 giúp người dùng tuân thủ bảy FR sau:

  • FR 1: Nhận dạng, Kiểm soát xác thực và Kiểm soát truy cập (AC)
  • FR 2: Kiểm soát sử dụng (UC)
  • FR 3: Tính toàn vẹn của hệ thống (SI)
  • FR 4: Bảo mật dữ liệu (DC)
  • FR 5: Luồng dữ liệu bị hạn chế (RDF)
  • FR 6: Phản hồi kịp thời đối với các sự kiện (TRE)
  • FR 7: Tính khả dụng của tài nguyên (RA)

Yêu cầu hệ thống của FR 1

Yêu cầu cơ bản đầu tiên của dòng 62443 tập trung vào nhận dạng, kiểm soát xác thực và kiểm soát truy cập (AC). Dưới đây là các yêu cầu hệ thống cần thiết để tuân thủ FR theo phần 3: 3.

  • 1.1 Nhận dạng và xác thực người dùng con người: Tất cả người dùng mạng con người phải được xác định và xác thực duy nhất
  • 1.2 Quy trình phần mềm và Nhận dạng và xác thực thiết bị: Tất cả các thiết bị phải được xác định và xác thực bằng giao diện hệ thống an toàn
  • 1.3: Quản lý tài khoản: Hệ thống phải có khả năng xử lý băng thông người dùng tối đa và quản lý tất cả các tài khoản người dùng một cách thoải mái
  • 1.4: Quản lý mã định danh: Hệ thống phải hỗ trợ tất cả các mã định danh người dùng, nhóm, vai trò và giao diện
  • 1.5: Quản lý trình xác thực: Người dùng phải có quy trình và hệ thống quản lý trình xác thực để đảm bảo mật khẩu là duy nhất
  • 1.6: Quản lý truy cập không dây: Hệ thống phải có khả năng xác định và xác thực tất cả người dùng không dây
  • 1.7: Sức mạnh của xác thực dựa trên mật khẩu: Hệ thống phải có khả năng thực thi các yêu cầu mật khẩu tối thiểu
  • 1.8: Chứng chỉ cơ sở hạ tầng khóa công khai (PKI): Chứng chỉ phải xác thực chủ sở hữu khóa và đảm bảo chúng hợp pháp
  • 1.9: Sức mạnh của xác thực khóa công khai: Hệ thống phải có khả năng thực thi các yêu cầu PKI tối thiểu
  • 1.10: Phản hồi của người xác thực: Hệ thống không nên hiển thị các ký tự của mật khẩu khi người dùng nhập
  • 1.11: Nỗ lực đăng nhập không thành công: IACS chỉ nên cho phép một số lần đăng nhập không thành công cụ thể và đặt thời gian khóa khi xác thực không thành công
  • 1.12: Thông báo sử dụng hệ thống: Hệ thống phải hiển thị thông báo sử dụng cảnh báo về việc sử dụng trái phép và cấm sử dụng được ghi lại
  • 1.13: Truy cập qua mạng không đáng tin cậy: IACS tuân thủ phải có khả năng kiểm soát quyền truy cập từ các mạng không đáng tin cậy

Yêu cầu hệ thống của FR 2

FR thứ hai của sê-ri 62443 liên quan đến kiểm soát sử dụng (UC). Dưới đây là các yêu cầu hệ thống được liệt kê trong ISA 62443-3-3:

  • 2.1: Thực thi ủy quyền: Hệ thống phải có thể thực thi ủy quyền trên tất cả người dùng, vai trò và tham số
  • 2.2: Kiểm soát sử dụng không dây: Mạng không dây của hệ thống nên giám sát và thực thi các hạn chế đối với các sự kiện truy cập từ xa bằng cách sử dụng các biện pháp bảo mật của ngành
  • 2.3: Kiểm soát sử dụng cho thiết bị di động và thiết bị di động: Kiểm soát viên phải thiết kế IACS để cho phép giám sát và kiểm soát việc sử dụng thiết bị di động và thiết bị di động
  • 2.4: Mã di động: Bất kỳ mã nào được truy xuất từ bên ngoài hệ thống phải được xác minh để ngăn chặn giả mạo và các hoạt động độc hại
  • 2.5: Khóa phiên: IACS không nên sử dụng khóa phiên để quản lý các chức năng quan trọng
  • 2.6: Chấm dứt phiên từ xa: Hệ thống sẽ có thể chấm dứt các phiên từ xa sau khi không hoạt động hoặc sau khi người dùng bắt đầu hành động đó
  • 2.7: Kiểm soát phiên đồng thời: Các phiên đồng thời nên được quản lý và kiểm soát dựa trên các tiêu chuẩn ủy quyền của người dùng
  • 2.8: Sự kiện có thể kiểm tra: Hệ thống điều khiển phải có thể ghi lại các sự kiện có thể kiểm tra trong nhật ký hệ thống
  • 2.9: Dung lượng lưu trữ kiểm toán: Dung lượng lưu trữ của hệ thống phải đủ lớn để lưu trữ các nhật ký kiểm toán cần thiết
  • 2.10: Ứng phó với các lỗi xử lý kiểm toán: Hệ thống nên cảnh báo các nhà khai thác và tiếp tục truy cập vào các chức năng thiết yếu trong quá trình xử lý kiểm toán thất bại
  • 2.11: Dấu thời gian: Tất cả các hồ sơ kiểm toán phải sử dụng dấu thời gian

Yêu cầu hệ thống của FR 3

FR thứ ba của 62443-3-3 liên quan đến các biện pháp kiểm soát tính toàn vẹn của hệ thống. Dưới đây là các yêu cầu hệ thống đối với FR 3:

  • 3.1: Tính toàn vẹn của giao tiếp: Thông tin được truyền vào và ra khỏi hệ thống nên được bảo vệ bằng các giải pháp bên trong và bên ngoài
  • 3.2: Bảo vệ mã độc: IACS nên sử dụng các giải pháp chống vi-rút để tự bảo vệ mình khỏi mã độc
  • 3.3: Xác minh chức năng bảo mật: Trong các giai đoạn kiểm tra và quy trình bảo trì, IACS phải xác minh tất cả các chức năng bảo mật và báo cáo tất cả các sai lệch
  • 3.4: Tính toàn vẹn của phần mềm và thông tin: Giải pháp SIEM nên phát hiện, ghi lại, báo cáo và bảo vệ thông tin lưu trữ
  • 3.5: Xác nhận đầu vào: IACS nên xác nhận tất cả các đầu vào ảnh hưởng trực tiếp đến hệ thống điều khiển và tất cả các đầu vào của quy trình
  • 3.6: Đầu ra xác định: Đầu ra cần trở lại trạng thái được xác định trước khi IACS không thể đạt được hoạt động bình thường
  • 3.7: Xử lý lỗi: IACS nên phản hồi và khôi phục sau các tình trạng lỗi một cách nhanh chóng
  • 3.8: Tính toàn vẹn của phiên: Hệ thống cần có khả năng từ chối ID phiên không hợp lệ và cài đặt các giao thức dựa trên phiên
  • 3.9: Bảo vệ thông tin kiểm toán: Thông tin kiểm toán nên được mã hóa để bảo vệ thông tin trong quá trình truyền và nghỉ ngơi

Yêu cầu hệ thống của FR 4

Yêu cầu cơ bản 4 đảm bảo rằng các hệ thống được quản lý tuân theo các phương pháp hay nhất về bảo mật dữ liệu. Dưới đây là các yêu cầu hệ thống đối với FR 4:

  • 4.1: Bảo mật thông tin: Thông tin bí mật cần được bảo vệ khi lưu trữ và truyền tải
  • 4.2: Tính bền vững thông tin: Hệ thống có thể truy xuất thông tin và dữ liệu trong quá khứ trong các phiên tiếp theo
  • 4.3: Sử dụng mật mã: Bất kỳ thuật toán mật mã nào được hệ thống sử dụng phải tuân thủ các phương pháp hay nhất trong ngành (bao gồm các thuật toán được sử dụng để sao lưu)

Yêu cầu hệ thống của FR 5

FR 5 hạn chế cách luồng dữ liệu có thể xảy ra trên IACS của tổ chức. Dưới đây là các yêu cầu hệ thống đối với FR 5:

  • 5.1: Phân đoạn mạng: Nhân sự nên cách ly các phân đoạn mạng khi có thể và triển khai đánh giá rủi ro để giảm nguy cơ xảy ra sự cố mạng
  • 5.2: Bảo vệ ranh giới vùng: Các giao thức truy cập mạng nên được thực thi để cài đặt các biện pháp bảo vệ tại ranh giới vùng
  • 5.3: Hạn chế giao tiếp giữa người với người với mục đích chung: IACS phải có khả năng ngăn chặn tin nhắn trong trường hợp có một cuộc tấn công độc hại
  • 5.4: Phân vùng ứng dụng: Các ứng dụng nên được phân vùng dựa trên mức độ quan trọng và theo cách thực hiện mô hình phân vùng được ngành chấp nhận

Yêu cầu hệ thống của FR 6

Yêu cầu cơ bản thứ sáu của dòng 62443 đảm bảo các nhà khai thác IACS cài đặt các tiêu chuẩn để phản ứng kịp thời với các sự kiện trong quá trình phát triển. Dưới đây là các SR cho FR 6:

  • 6.1: Khả năng truy cập nhật ký kiểm tra: Hệ thống chỉ nên cấp cho người dùng được ủy quyền quyền truy cập chỉ đọc vào nhật ký kiểm tra và không thể sửa đổi nhật ký
  • 6.2: Giám sát liên tục: Nhân viên nên cài đặt các giao thức giám sát liên tục để đảm bảo nhận thức liên tục và hỗ trợ các quyết định rủi ro

Yêu cầu hệ thống của FR 7

Yêu cầu cơ bản cuối cùng của dòng 62443 bao gồm các giao thức để quản lý tính khả dụng của tài nguyên. Dưới đây là các SR được liệt kê trong IEC 62443-3-3 cho FR 7:

  • 7.1: Bảo vệ DoS: IACS nên hoạt động ở chế độ suy giảm được xác định trước khi xảy ra cuộc tấn công từ chối dịch vụ
  • 7.2: Quản lý nguồn lực: Các tiêu chuẩn hệ thống nên quản lý việc phân bổ nguồn lực và ngăn chặn sự cạn kiệt tài nguyên
  • 7.3: Sao lưu hệ thống điều khiển: Các bản sao lưu cập nhật phải luôn có sẵn để thực hiện khôi phục hệ thống hoàn chỉnh trong trường hợp hệ thống bị lỗi
  • 7.4: Khôi phục và tái cấu trúc hệ thống điều khiển: Quy trình làm việc của hệ thống phải đảm bảo hệ thống có thể trở lại trạng thái an toàn một cách nhanh chóng và hiệu quả
  • 7.5: Nguồn khẩn cấp: Trạng thái bảo mật và chế độ suy giảm sẽ không bị ảnh hưởng khi IACS chuyển từ nguồn tiêu chuẩn sang nguồn khẩn cấp
  • 7.6: Cài đặt cấu hình mạng và bảo mật: IACS phải đáp ứng các phương pháp hay nhất trong ngành về bảo mật mạng
  • 7.7: Chức năng tối thiểu: Các chức năng không cần thiết nên được hạn chế và quản lý để bảo vệ tài nguyên trong các sự cố bảo mật
  • 7.8: Kiểm kê thành phần hệ thống điều khiển: IACS nên duy trì và quản lý kiểm kê cập nhật của tất cả các thành phần hệ thống điều khiển

Làm thế nào để tuân thủ các tiêu chuẩn bảo mật của ISA

Bất kỳ tổ chức nào quan tâm đến việc tuân thủ các tiêu chuẩn bảo mật dòng 62443 của ISA đều cần phải chia sẻ trách nhiệm giữa các bộ phận. Dòng 62443 yêu cầu các bên liên quan an ninh mạng chính hợp tác và đảm bảo tất cả các thành phần của IACS của họ bảo vệ chống lại các rủi ro và lỗ hổng mạng.

Con người, tiêu chuẩn, số liệu an ninh mạng và văn hóa của tổ chức đều sẽ đóng một vai trò quan trọng trong việc tuân thủ các yêu cầu cơ bản và hệ thống được tìm thấy trong suốt dòng 62443. Loạt bài cũng tận dụng các trụ cột cơ bản của Khung An ninh mạng NIST (NIST CSF), mà các chuyên gia CNTT và an ninh mạng thường quen thuộc hơn.

Các nguyên tắc chính của NIST CSF bao gồm:

  • Khám phá: Nhân viên nên theo dõi và đánh giá tất cả các thành phần hệ thống thường xuyên để dự đoán, xác định và ngăn chặn rủi ro hệ thống và hoạt động độc hại
  • Phân khúc: Các hệ thống nên được phân đoạn nếu có thể để giảm thiểu tác động của các cuộc tấn công mạng và sự cố bảo mật có thể gây ra đối với hệ thống
  • Phát hiện: Nhân viên nên cài đặt các quy trình và giao thức để phát hiện các lỗ hổng và rủi ro mới trên toàn hệ thống liên tục
  • Phản hồi: Các tổ chức nên tận dụng các kế hoạch ứng phó sự cố và kinh doanh liên tục để đẩy nhanh việc quản lý sự cố và sửa chữa hệ thống

Các giải pháp an ninh mạng của UpGuard có thể giúp các tổ chức đáp ứng nhiều yêu cầu hệ thống 62443-3-3 của ISA. Đồng thời, UpGuard BreachSight và Vendor Risk có thể hỗ trợ người dùng các khái niệm an ninh mạng quan trọng, bao gồm quản lý bề mặt tấn công, quản lý rủi ro nhà cung cấp, ứng phó sự cố, an ninh mạng, v.v.

Các tính năng hoàn chỉnh của BreachSight và Rủi ro của nhà cung cấp bao gồm:

  • Phát hiện rò rỉ dữ liệu: Bảo vệ danh tiếng, tài sản trí tuệ và dữ liệu khách hàng của thương hiệu bằng cách phát hiện kịp thời rò rỉ dữ liệu
  • Giám sát liên tục: Nhận thông tin cập nhật theo thời gian thực và quản lý các rủi ro trên bề mặt tấn công của bạn, bao gồm miền, IP, ứng dụng, điểm cuối, plugin và tường lửa
  • Giảm bề mặt tấn công: Giảm bề mặt tấn công của bạn bằng cách phát hiện các lỗ hổng có thể khai thác và các miền có nguy cơ bị đánh máy
  • Hồ sơ bảo mật được chia sẻ: Tạo hồ sơ UpGuard Shared để loại bỏ rắc rối khi trả lời bảng câu hỏi bảo mật
  • Quy trình làm việc và miễn trừ: Hợp lý hóa quy trình khắc phục, nhanh chóng từ bỏ rủi ro và phản hồi các truy vấn bảo mật
  • Báo cáo và thông tin chi tiết: Truy cập các báo cáo được thiết kế riêng cho các bên liên quan khác nhau và xem thông tin về bề mặt tấn công bên ngoài của bạn
  • Bảng câu hỏi bảo mật của nhà cung cấp: Tự động hóa bảng câu hỏi bảo mật để hiểu rõ hơn về mối quan hệ của nhà cung cấp và tình hình bảo mật của bên thứ ba
  • Xếp hạng bảo mật: Đánh giá tình hình bảo mật của các nhà cung cấp riêng lẻ bằng cách sử dụng xếp hạng bảo mật dựa trên dữ liệu, khách quan và động của chúng tôi
  • Đánh giá rủi ro: Hợp lý hóa quy trình đánh giá rủi ro, thu thập bằng chứng và nhanh chóng yêu cầu khắc phục