Серия стандартов информационной безопасности IEC 62443

Серия международных стандартов IEC 62443 «Сети промышленной коммуникации. Безопасность сетей и систем» демонстрирует, как добиться IT-безопасности при автоматизации. Темы варьируются от анализа риска и требований к безопасной эксплуатации до защищенной разработки продукции (изначально предусмотренная безопасность). В результате стандарт IEC 62443 в настоящее время предлагает наилучшие рекомендации для операторов установок, машиностроителей и производителей устройств, когда речь идет об эффективной реализации информационной безопасности в промышленности.

IEC 62443 охватывает пять областей: основные требования информационной безопасности, принцип зон и магистралей, уровни безопасности, жизненный цикл системы безопасности и анализ рисков.

Центральное место в этом занимает процедура оценки рисков информационной безопасности, которая может служить основой для определения индивидуальных мер безопасности. Также особо подчеркивается роль взаимодействия между организационными и техническими мерами. В худшем случае технические решения сами по себе приводят к ложному чувству безопасности, поскольку технические меры могут быть легко сведены на нет поведением человека. Например, пароль обеспечивает защиту только в том случае, если он периодически изменяется, не передается третьим лицам и не прикреплен к устройству видимым образом.

Чтобы соответствовать требованиям безопасности ОТ, системам промышленной автоматизации требуется глубокоэшелонированный подход к защите. Компания Pilz использует свои экспертные знания для оказания поддержки производителям и операторам машин в реализации организационных и технических требований, особенно требований стандарта IEC 62443.

Концепция информационной безопасности и соответствие стандартам и юридическим требованиям значительно повышают кибербезопасность компании, даже на уровне машин. 

ISO/IEC TS 63074:2023

«Безопасность машинного оборудования. Аспекты защиты данных, относящиеся к функциональной безопасности систем управления, связанных с безопасностью»

Основное внимание в этом стандарте уделяется взаимосвязи между безопасностью машин и защитой данных. По сути он затрагивает основу требований Регламента по машинному оборудованию. При выявлении угроз информационной безопасности и уязвимостей используется серия стандартов IEC 62443. Она учитывает уязвимости контроллера безопасности, которые могут быть использованы для создания угроз безопасности (таких как несанкционированный доступ, вредоносное ПО или кибератаки). Цель состоит в том, чтобы защитить функции безопасности машин, чтобы они могли действительно реализовать свой защитный эффект. В целях безопасности машин особенно рекомендуется использовать принцип «глубокоэшелонированной защиты».

В документе определяются варианты использования и применяются к ним соответствующие модели угроз. Это поможет вам понять, как угрозы информационной безопасности могут повлиять на безопасность машин. Другие последствия кибератаки явно не рассматриваются.

ISO 27001 — Системы управления информационной безопасностью (ISMS)

NIS 2 занимается управлением системами информационной безопасности. Особое внимание уделяется стандарту ISO/IEC 27001, поскольку он признан во всем мире как фактический стандарт информационной безопасности и подлежит сертификации. В нем определены требования к системе управления информационной безопасностью.

Мы говорим об информационной безопасности, а не об IT-безопасности, поскольку любая информация должна быть защищена, независимо от того, является ли она цифровой или аналоговой (рукописной, устной, визуальной), записанной на листе бумаги или хранящейся в облаке. Поскольку в наши дни большой объем информации обрабатывается с использованием информационных технологий, IT-безопасность играет соответственно важную роль.

По сути, речь идет о минимизации рисков информационной безопасности во всех областях внутри организации. Таким образом, это также влияет на средства производства, такие как машинное оборудование и сети ОТ.

Если организация требует наличия ISMS в соответствии с ISO/IEC 27001 из-за внешних требований (например, требований законодательства или договорных соглашений с заказчиком) или хочет внедрить ее по собственной инициативе (например, для собственной защиты или в целях использования стандарта качества для общественного восприятия), она не может игнорировать тему промышленной кибербезопасности.

Это возвращает нас к стандарту IEC 62443, который в настоящее время предлагает наилучшую основу для рассмотрения вопроса информационной безопасности в области промышленности.

Стремительно растущая угроза кибератак, способная нанести огромный экономический ущерб, приводит к введению во всем мире правовых рамок, устанавливающих минимальные стандарты, которым должны соответствовать компании, промышленные установки, машинное оборудование и компоненты машин. Кибербезопасность — это новое требование и абсолютная необходимость, особенно для критически важных инфраструктур.

Чтобы снизить риски, европейские законодатели ввели новые правила.

Регламент по машинному оборудованию

Регламент по машинному оборудованию 2023/1230 был принят в июне 2023 года и станет обязательным во всех государствах ЕС после переходного периода продолжительностью 42 месяца. Регламент по машинному оборудованию касается производителей машин или узлов машин, т. е. производителей (OEM = производитель оригинального оборудования) и системных интеграторов. В будущем производители машин должны будут подтвердить, что оборудование соответствует Регламенту по машинному оборудованию, включая аспекты защиты. К ним относятся защита от неправомерного использования и меры по противодействию злонамеренным попыткам третьих лиц создать опасную ситуацию. Соответствие Регламенту по машинному оборудованию официально подтверждается Декларацией о соответствии. Маркировка CE нанесена на машину в качестве видимого знака. Оборудование, не соответствующее требованиям нового Регламента по машинному оборудованию, больше не будет допущено к продаже в ЕС.

Компания Pilz уже много лет оказывает поддержку производителям машин в процессе подтверждения соответствия практически во всех областях: от концепции безопасности до анализа и оценки рисков, вплоть до декларации о соответствии. В будущем мы также рассмотрим аспекты защиты.

Вторая директива ЕС о сетевой и информационной безопасности (NIS 2) 2022/2555

Новая Директива ЕС по сетям и информационным системам (NIS 2) регулирует единый уровень защиты от кибератак для «существенных и важных» организаций в пределах ЕС. В отличие от Регламента по машинному оборудованию, он описывает требования к кибербезопасности для компаний, а не для машин. Директива содержит различные требования для разных сфер в зависимости от значимости (критичности) компании для экономики. Например, компании в секторах энергоснабжения или железнодорожного транспорта имеют высокую критичность. К другим компаниям, затронутым NIS 2, относятся производители установок и оборудования с численностью сотрудников более 50 человек или годовым оборотом более 10 миллионов евро, в том числе из менее критичных секторов.

Компании должны принимать технические, эксплуатационные и организационные меры для управления рисками безопасности сетей и информационных систем. Это включает, помимо прочего, обучение руководителей и сотрудников. Важно учитывать не только классические офисные информационные технологии, но и область ОТ и, следовательно, информационную безопасность в промышленности.

Закон о киберустойчивости (2024/2847)

Закон о киберустойчивости (CRA) направлен на улучшение свойств безопасности продуктов с цифровыми элементами. Поэтому это касается производителей и тех, кто размещает продукцию на рынке. Сюда также включаются производители машин. CRA вводит обязательные требования безопасности на протяжении всего жизненного цикла продукта. Он требует соблюдения обязательств на протяжении всего жизненного цикла, что также включает в себя обязательство производителя предоставлять обновления программного обеспечения для процесса управления исправлениями оператора в течение как минимум 5 лет в случае обнаружения уязвимости безопасности в продукте. Маркировка CE на продукции требует соответствия CRA с момента ее вступления в силу. Таким образом, CRA дополняет Директиву NIS 2 и Регламент по машинному оборудованию свойствами информационной безопасности продукции.