Bảo mật hệ thống điều khiển công nghiệp: ISA 62443-2-1: 2009

Loạt tiêu chuẩn ISA-62443, được phát triển bởi Hiệp hội Tự động hóa Quốc tế (ISA), là một bộ hướng dẫn toàn diện để đảm bảo tính bảo mật của Hệ thống điều khiển và tự động hóa công nghiệp (IACS).

ISA 62443-2-1:2009 là một tiêu chuẩn cụ thể trong loạt bài này tập trung vào việc thiết lập hệ thống an ninh hệ thống điều khiển và tự động hóa công nghiệp. Bởi vì nhiều hệ thống trong số này cung cấp cơ sở hạ tầng quan trọng, điều cần thiết là phải bảo vệ chúng khỏi bất kỳ sự cố bảo mật nào có thể làm gián đoạn hoạt động. Blog này trình bày chi tiết các đánh giá được nêu trong ISA 62443-2-1:2009 và lý do tại sao IACS nên ưu tiên chúng.

Tự động hóa bảng câu hỏi đánh giá bảo mật của bạn với UpGuard >

Loạt tiêu chuẩn ISA-62443

Các tiêu chuẩn ISA-62443 nêu chi tiết các đánh giá IACS đảm bảo các tổ chức bảo vệ đầy đủ các hệ thống quan trọng của họ trước các mối đe dọa vật lý và kỹ thuật số đáng kể. IACS, hoặc Hệ thống điều khiển và tự động hóa công nghiệp, đề cập đến một tập hợp các hệ thống nối mạng được sử dụng để vận hành và tự động hóa các quy trình công nghiệp.

Ví dụ bao gồm Bộ điều khiển logic lập trình (PLC), Hệ thống điều khiển phân tán (DCS), Hệ thống điều khiển giám sát và thu thập dữ liệu (SCADA), Giao diện người-máy (HMI), Mạng cảm biến và thiết bị truyền động.

Trước đây được gọi là tiêu chuẩn ISA99, tiêu chuẩn ISA-62443 rất cần thiết để duy trì bảo mật trong các ngành công nghiệp khác nhau. Các tiêu chuẩn cung cấp một cách tiếp cận có cấu trúc và có hệ thống để đảm bảo các hệ thống điều khiển công nghiệp quan trọng trong các lĩnh vực khác nhau như sản xuất, năng lượng, xử lý nước, v.v. Bộ truyện bao gồm:

Các khái niệm và mô hình chung (ISA-62443-1): Phần này cung cấp nền tảng cho loạt bài này, phác thảo các định nghĩa, khái niệm và mô hình được sử dụng trong bảo mật IACS.
Thiết lập Hệ thống bảo mật hệ thống điều khiển và tự động hóa công nghiệp (ISA-62443-2): Phần này tập trung vào việc tạo và duy trì chương trình bảo mật IACS, bao gồm đánh giá rủi ro, giải quyết các lỗ hổng và các biện pháp bảo vệ.
Yêu cầu bảo mật hệ thống và mức độ bảo mật (ISA 62443-3): Phần này liệt kê các yêu cầu cụ thể đối với bảo mật IACS, xác định mức độ bảo mật và phác thảo các yêu cầu để đạt được các cấp độ đó.
Yêu cầu kỹ thuật đối với các thành phần IACS (ISA 62443-4): Phần này giải thích các yêu cầu kỹ thuật đối với các thành phần IACS, như các yêu cầu đối với vòng đời phát triển sản phẩm an toàn và tích hợp hệ thống.

Các thành phần cốt lõi của ISA 62443-2-1: 2009

Tiêu chuẩn thứ hai trong dòng ISA 62443 tập trung vào việc thiết lập hệ thống an ninh hệ thống điều khiển và tự động hóa công nghiệp. Đặc biệt, tiêu chuẩn này phác thảo các yếu tố an ninh mạng cần thiết để quản lý IACS và hướng dẫn người dùng đáp ứng các yêu cầu của từng yếu tố.

Tiêu chuẩn này phác thảo bốn lĩnh vực chính mà IACS phải ưu tiên, với các yếu tố cụ thể trong mỗi lĩnh vực để xác định và đánh giá.

Đánh giá các chương trình bảo mật và quyền riêng tư
Đánh giá bảo mật cơ sở hạ tầng
Đánh giá bảo mật trung tâm vật lý và dữ liệu
Đánh giá bảo mật ứng dụng

Đánh giá các chương trình bảo mật và quyền riêng tư

Chương trình bảo mật và quyền riêng tư thông tin là một tập hợp toàn diện các chính sách, hướng dẫn và quy trình để xác định và giải quyết các mối đe dọa và rủi ro đối với thông tin và hệ thống của công ty. Đối với IACS, đánh giá chương trình bảo mật và quyền riêng tư là điều cần thiết. Phần này của ISA 62443-2-1:2009 tập trung vào việc liệu một tổ chức có chương trình bảo mật được thiết lập hay không và nếu không, hãy phác thảo các lĩnh vực chính cần xem xét khi tạo một chương trình.

Một chương trình bảo mật và quyền riêng tư được thiết lập giúp đảm bảo thông tin khách hàng được giữ an toàn. Tiêu chuẩn này đánh giá các lĩnh vực chính, bao gồm:

Bảo mật và quyền riêng tư: Các chương trình bảo mật và kiểm soát bảo mật được thiết lập
Bảo mật nhân sự: Kiểm soát truy cập, giao thức mật khẩu, thỏa thuận bảo mật, đào tạo bảo mật thông tin và quyền riêng tư cho nhân viên, v.v.
Tuân thủ Luật và Quy định: Quy trình xác định, ghi lại và lưu giữ các yêu cầu lập pháp, quy định và hợp đồng có liên quan

Đánh giá bảo mật cơ sở hạ tầng

Đánh giá bảo mật cơ sở hạ tầng là đánh giá toàn diện về cơ sở hạ tầng vật lý và kỹ thuật số của IACS. Mục đích của nó là xác định bất kỳ lỗ hổng hoặc điểm lỗi tiềm ẩn nào có thể có nguy cơ xảy ra các mối đe dọa mạng.

IACS thường sử dụng các hệ thống quan trọng đối với các quy trình công nghiệp khác nhau, vì vậy bất kỳ loại vi phạm hoặc hỏng hóc nào cũng có thể gây ra hậu quả tàn khốc (gián đoạn hoạt động, nguy cơ an toàn, v.v.). Do đó, loại đánh giá này giúp hiểu được vị thế bảo mật và tính đầy đủ của các biện pháp bảo mật hiện có. Các khu vực trong phần này của ISA-62443-2-1:2009 bao gồm:

Mạng: Các công cụ quản lý cấu hình hệ thống, tường lửa, mã hóa dữ liệu, hệ thống tách biệt, giám sát liên tục, v.v.
Máy chủ: Quy trình cập nhật và bản vá hệ điều hành, các biện pháp bảo vệ phần mềm độc hại, v.v.
Máy khách (Máy trạm, Máy tính xách tay, v.v.): Tiêu chuẩn cho hệ thống máy khách, bảo vệ phần mềm độc hại trên thiết bị khách, kiểm soát truy cập cá nhân, v.v.
Thỏa thuận hỗ trợ cơ sở hạ tầng: Thỏa thuận hỗ trợ cho các phiên bản hệ điều hành không được hỗ trợ
Quản lý dữ liệu: Môi trường riêng biệt để phát triển, thử nghiệm và sản xuất
Kiểm tra bảo mật kỹ thuật: Kiểm tra thâm nhập, quét lỗ hổng, kiểm tra bảo mật, v.v.
Ghi nhật ký: Ghi nhật ký sự kiện liên quan đến bảo mật
Quản lý tài sản: Cập nhật hàng tồn kho, theo dõi tài sản của nhân viên/nhà thầu/bên thứ ba, v.v

Đánh giá bảo mật trung tâm vật lý và dữ liệu

Lĩnh vực tiếp theo của ISA-62443-2-1:2009 tập trung vào bảo mật vật lý và trung tâm dữ liệu. Đánh giá này đánh giá các biện pháp bảo mật vật lý ngăn chặn truy cập trái phép vào thiết bị nhạy cảm và trung tâm dữ liệu nơi một thực thể lưu trữ các thành phần và dữ liệu của IACS của họ.

Đánh giá toàn diện xác định các biện pháp kiểm soát truy cập vật lý, hệ thống giám sát và kiểm soát môi trường. Đánh giá này đánh giá tình hình bảo mật chống lại các mối đe dọa mạng như hack, phần mềm độc hại và vi phạm dữ liệu đối với tài sản kỹ thuật số. Cách tiếp cận kép này đảm bảo bảo mật trung tâm dữ liệu và vật lý mạnh mẽ cũng như các hoạt động liên tục cho IACS. Các lĩnh vực trong phần này bao gồm:

An ninh tại Văn phòng: Các biện pháp vật lý như bảo vệ, máy dò chuyển động, camera quan sát, kiểm soát ra vào điện tử, an ninh chu vi, tự động khóa thiết bị không được giám sát, v.v.
Bảo mật trung tâm dữ liệu: Các điểm truy cập được kiểm soát, giao thức ngừng hoạt động, đánh giá rủi ro, v.v.

Đánh giá bảo mật ứng dụng

Các ứng dụng đóng một vai trò quan trọng trong việc kiểm soát, giám sát và quản lý các quy trình công nghiệp trong IACS. Bất kỳ lỗ hổng nào trong các ứng dụng này đều có thể dẫn đến rủi ro đáng kể, chẳng hạn như gián đoạn hoạt động, vi phạm dữ liệu và các mối nguy hiểm về an toàn.

Tiến hành đánh giá bảo mật toàn diện các ứng dụng này có thể giúp xác định và giảm thiểu các lỗ hổng, bao gồm lỗi mã hóa, mã hóa không đầy đủ hoặc API không an toàn mà kẻ tấn công mạng có thể khai thác. Nó cũng đánh giá hiệu quả của các giao thức bảo mật hiện có, như cơ chế xác thực và ủy quyền, đồng thời đảm bảo tuân thủ các tiêu chuẩn ngành và thực tiễn tốt nhất. Các lĩnh vực trong phần này bao gồm:

Báo cáo và quản lý lỗ hổng: Quy trình báo cáo lỗ hổng, thông báo khách hàng, v.v.
Xác thực và ủy quyền: Dịch vụ xác thực, yêu cầu mật khẩu, cơ chế SSO, v.v.
Vòng đời phát triển phần mềm: Các yêu cầu liên quan đến bảo mật đối với các ứng dụng, tính toàn vẹn và bảo mật của thông tin được xử lý, quy trình mã hóa an toàn, v.v.
Phụ thuộc của bên thứ 3: Đánh giá bảo mật của các nhà cung cấp dịch vụ gia công phần mềm

UpGuard BreachSight và VendorRisk tự động hóa quy trình đánh giá của bạn bằng cách sử dụng bảng câu hỏi bảo mật tích hợp mạnh mẽ của chúng tôi. Gửi mẫu tiêu chuẩn hoặc bảng câu hỏi tùy chỉnh cho nhà cung cấp của bạn, định cấu hình ngày đến hạn bảng câu hỏi và đặt lời nhắc thường xuyên để đảm bảo nhà cung cấp hoàn thành yêu cầu một cách hiệu quả.

Rủi ro được tự động xác định trên phản hồi của nhà cung cấp, vì vậy bạn có thể yêu cầu khắc phục hoặc từ bỏ chúng. Cộng tác với các nhà cung cấp để giảm thiểu rủi ro bằng cách sử dụng quy trình đánh giá rủi ro, tương ứng trực tuyến cho các phản hồi cụ thể của nhà cung cấp bằng cách sử dụng thông điệp tích hợp, có thể kiểm tra hoặc thêm ghi chú nội bộ.

Thư viện Bảng câu hỏi của chúng tôi tham khảo các quy định và thực tiễn tốt nhất từ ngành an ninh mạng, bao gồm:

Bảng câu hỏi SIG Lite
Bảng câu hỏi ISO 227001
Bảng câu hỏi Công cụ Đánh giá Nhà cung cấp Cộng đồng Giáo dục Đại học (HECVAT)
Bảng câu hỏi về Đạo luật Trách nhiệm giải trình và Cung cấp Bảo hiểm Y tế (HIPAA)
Bảng câu hỏi khung an ninh mạng NIST
Bảng câu hỏi tiêu chuẩn bảo mật COBIT 5
Bảng câu hỏi về Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA)
Bảng câu hỏi tiêu chuẩn bảo mật CIS Controls 7.1
Bảng câu hỏi PCI DSS
Apache Log4J - Bảng câu hỏi về lỗ hổng nghiêm trọng