IEC/ISA 62443-3-3:2013 คืออะไร? ความปลอดภัยทางไซเบอร์และการปฏิบัติตามกฎระเบียบ

สมาคมระบบอัตโนมัติระหว่างประเทศ (ISA) และคณะกรรมาธิการไฟฟ้าระหว่างประเทศ (IEC) เริ่มสร้างชุดมาตรฐาน 62443 ในปี 2002 ซีรีส์ซึ่งรวมถึง IEC/ISA 62443-3-3 เดิมเรียกว่าซีรีส์ ISA99 และมีมาตรฐานระบบอัตโนมัติทางอุตสาหกรรมและความปลอดภัยของระบบควบคุม (IACS) ที่สร้างขึ้นตามคําแนะนําของ American National Standards Institute (ANSI)

IEC/ISA 62443-3-3: 2013 กําหนดข้อกําหนดของระบบ (SR) และการปรับปรุงข้อกําหนด (RE) ที่จําเป็นเพื่อให้สอดคล้องกับข้อกําหนดพื้นฐาน (FR) และหลักการที่ระบุไว้ในส่วนที่ 1:1 ของชุดมาตรฐาน 62443

อ่านต่อเพื่อเรียนรู้เพิ่มเติมเกี่ยวกับ IEC 62443-3-3 และวิธีที่องค์กรของคุณสามารถรวมมาตรฐานความปลอดภัยต่างๆ เพื่อให้สอดคล้องกับ FR ของซีรีส์ 62443

ค้นพบว่า UpGuard ช่วยให้องค์กรป้องกันตนเองจากภัยคุกคามทางไซเบอร์ได้อย่างไร>

ข้อกําหนดด้านความปลอดภัยของระบบ ISA/IEC และนโยบายความปลอดภัย

มาตรฐาน ISA/IEC 62443 กําหนดให้องค์กรต้องใช้หลักการความปลอดภัยทางไซเบอร์หลายประการเพื่อให้สอดคล้องกับ FR ของซีรีส์ หลักการรักษาความปลอดภัยทางไซเบอร์เหล่านี้รวมถึง:

• สิทธิพิเศษน้อยที่สุด: แนวทางปฏิบัติในการจํากัดสิทธิ์การเข้าถึง การเข้าถึงบัญชี และพลังการประมวลผลของผู้ใช้ตามบทบาทและการเข้าถึงที่จําเป็นในการทําหน้าที่ที่กําหนดตามบทบาทของตนให้สําเร็จ
• การป้องกันเชิงลึก: หลักการนี้ช่วยให้องค์กรสามารถชะลอหรือป้องกันการโจมตีทางไซเบอร์ไม่ให้ส่งผลกระทบต่อโครงสร้างพื้นฐานที่สําคัญโดยแยกระบบออกเป็น "โซน" ที่สื่อสารกันผ่าน "ท่อร้อยสาย"
• การวิเคราะห์ความเสี่ยง: กระบวนการระบุและประเมินอันตรายและความเสี่ยงที่อาจเกิดขึ้นซึ่งอาจส่งผลเสียต่อระบบหรือองค์กรโดยใช้วิธีการประเมินความเสี่ยง
• มาตรการรักษาความปลอดภัยชดเชย: ส่วนประกอบ IACS มักไม่เป็นไปตามข้อกําหนดของระดับความปลอดภัย ISA และการชดเชยมาตรการรักษาความปลอดภัย IACS เป็นสิ่งจําเป็นเพื่ออํานวยความสะดวกในการแก้ปัญหาและเพิ่มขีดความสามารถด้านความปลอดภัย
• โซนและท่อร้อยสาย: ซีรีส์ 62443 แนะนําสถาปัตยกรรมระบบที่อ้างอิง ISA95 และใช้โซนและท่อร้อยสายหลายโซน

สิ่งพิมพ์สําคัญในซีรีส์ 62443

ซีรีส์ 62443 แบ่งออกเป็นสี่ส่วน: โมดูลในหัวข้อทั่วไป นโยบายและขั้นตอน ระบบ ส่วนประกอบและข้อกําหนด

• IEC 62443-1-1 (แนวคิดและโมดูล): ส่วนที่ 1:1 จาก 62443 สรุปแนวคิดกระบวนการทางอุตสาหกรรม (รวมถึง FR) ที่ใช้ตลอดทั้งซีรีส์และโมดูลที่ซีรีส์รวมอยู่
• IEC 62443-2-1 (ข้อกําหนดโปรแกรมความปลอดภัยสําหรับเจ้าของสินทรัพย์ IACS): ISA-62443-2-1 ช่วยซัพพลายเออร์ผลิตภัณฑ์และผู้ปฏิบัติงานโซลูชันระบบอัตโนมัติ และกําหนดขั้นตอนการรักษาความปลอดภัยที่เจ้าของควรปฏิบัติตามขณะใช้งานระบบการจัดการความปลอดภัยของเครือข่าย IACS
• IEC 62443-2-4 (ข้อกําหนดสําหรับผู้ให้บริการ IACS): ส่วนที่ 2:4 ประกอบด้วย 12 ส่วนที่กําหนดข้อกําหนดสําหรับผู้รวมระบบ IACS
• IEC 62443-3-2 (การประเมินความเสี่ยงด้านความปลอดภัยและการออกแบบระบบ): ส่วนที่ 3:2 กําหนดระดับความปลอดภัยเป้าหมาย (SL-T) สําหรับโซนและท่อร้อยสายที่แนะนํา และจัดทําเอกสารข้อกําหนดด้านความปลอดภัยสําหรับการออกแบบระบบ
• IEC 62443-4-1 (ข้อกําหนดวงจรการพัฒนาผลิตภัณฑ์ที่ปลอดภัย): ส่วนที่ 4:1 แบ่งออกเป็นแนวทางปฏิบัติในวงจรการพัฒนาที่ปลอดภัยแปดประการ และรวมถึงข้อกําหนดสําหรับการทดสอบคุณลักษณะด้านความปลอดภัย
• ISA/IEC 62443-4-2 (ข้อกําหนดด้านความปลอดภัยทางเทคนิคสําหรับส่วนประกอบ IACS): ส่วนที่ 4:2 รวมถึงข้อกําหนดทางเทคนิคสําหรับส่วนประกอบของระบบและอุปกรณ์ฝังตัว และกําหนดข้อจํากัดด้านความปลอดภัยของส่วนประกอบทั่วไป (CCSC)

ไอเอสเอ/IEC 62443-3-3

ส่วนที่ 3:3 ของชุดมาตรฐาน ISA/IEC 62443 กําหนด SR ที่องค์กรจําเป็นต้องนําไปใช้เพื่อเข้าถึง FR ที่ระบุไว้ในส่วนที่ 1:1 FR แต่ละระดับมีผลบังคับใช้กับห้าระดับความปลอดภัย (SL) ซึ่งผู้ใช้สามารถปฏิบัติตามได้ขึ้นอยู่กับผลลัพธ์ของการวิเคราะห์ความเสี่ยงและโปรโตคอลการจัดการช่องโหว่

SL ห้าตัวสําหรับแต่ละ FR คือ:

• ระดับ 0: ไม่จําเป็นต้องมีการป้องกันเฉพาะ
• ระดับ 1: การป้องกันที่จําเป็นสําหรับเหตุการณ์ที่เกิดขึ้นบ่อยครั้งหรือบังเอิญ
• ระดับ 2: การป้องกันที่จําเป็นสําหรับผู้ใช้โดยเจตนาหรือเป็นอันตรายโดยใช้ทรัพยากรที่จํากัด ทักษะระดับต่ํา และแรงจูงใจต่ํา
• ระดับ 3: การป้องกันที่จําเป็นสําหรับผู้ใช้ที่จงใจหรือเป็นอันตรายโดยใช้ทรัพยากรในระดับปานกลาง ทักษะที่ตรงเป้าหมาย และแรงจูงใจในระดับปานกลาง
• ระดับ 4: การป้องกันที่จําเป็นสําหรับผู้ใช้โดยเจตนาหรือเป็นอันตรายโดยใช้ทรัพยากรขั้นสูง ทักษะที่ซับซ้อน และแรงจูงใจสูง

SL ทั้งห้านี้ช่วยให้องค์กรสามารถปรับแต่งการป้องกันให้ตรงกับความต้องการเฉพาะข้อกําหนดและความซับซ้อนที่รับรู้ของภัยคุกคามที่อาจเกิดขึ้น

ข้อกําหนดพื้นฐาน & 62443-3-3 ความต้องการของระบบ

FR ของซีรีส์ 62443 มีมาตรฐานสากลเพื่อรับรองความปลอดภัยของข้อมูลและปกป้องเทคโนโลยีการปฏิบัติงาน 62443-3-3 ช่วยให้ผู้ใช้ปฏิบัติตาม FR เจ็ดรายการต่อไปนี้:

• FR 1: การระบุตัวตน การควบคุมการรับรองความถูกต้อง และการควบคุมการเข้าถึง (AC)
• FR 2: ใช้การควบคุม (UC)
• FR 3: ความสมบูรณ์ของระบบ (SI)
• FR 4: การรักษาความลับของข้อมูล (DC)
• FR 5: การไหลของข้อมูลที่ถูกจํากัด (RDF)
• FR 6: การตอบสนองต่อเหตุการณ์อย่างทันท่วงที (TRE)
• FR 7: ความพร้อมใช้งานของทรัพยากร (RA)

ความต้องการของระบบ FR 1

ข้อกําหนดพื้นฐานประการแรกของซีรีส์ 62443 มุ่งเน้นไปที่การระบุตัวตน การควบคุมการรับรองความถูกต้อง และการควบคุมการเข้าถึง (AC) นี่คือข้อกําหนดของระบบที่จําเป็นเพื่อให้สอดคล้องกับ FR ตามส่วนที่ 3:3

• 1.1 การระบุและการรับรองความถูกต้องของผู้ใช้มนุษย์: ผู้ใช้เครือข่ายมนุษย์ทุกคนควรได้รับการระบุและรับรองความถูกต้องโดยไม่ซ้ํากัน
• 1.2 กระบวนการซอฟต์แวร์และการระบุอุปกรณ์และการรับรองความถูกต้อง: อุปกรณ์ทั้งหมดควรได้รับการระบุและรับรองความถูกต้องโดยอินเทอร์เฟซระบบที่ปลอดภัย
• 1.3: การจัดการบัญชี: ระบบควรสามารถจัดการแบนด์วิดท์ของผู้ใช้สูงสุดและจัดการบัญชีผู้ใช้ทั้งหมดได้อย่างสะดวกสบาย
• 1.4: การจัดการตัวระบุ: ระบบต้องรองรับตัวระบุผู้ใช้ กลุ่ม บทบาท และอินเทอร์เฟซทั้งหมด
• 1.5: การจัดการตัวยืนยันตัวตน: ผู้ใช้ต้องมีขั้นตอนและระบบการจัดการตัวยืนยันตัวตนเพื่อให้แน่ใจว่ารหัสผ่านไม่ซ้ํากัน
• 1.6: การจัดการการเข้าถึงแบบไร้สาย: ระบบต้องสามารถระบุและรับรองความถูกต้องของผู้ใช้ไร้สายทั้งหมดได้
• 1.7: ความแข็งแกร่งของการรับรองความถูกต้องด้วยรหัสผ่าน: ระบบต้องสามารถบังคับใช้ข้อกําหนดขั้นต่ําของรหัสผ่านได้
• 1.8: ใบรับรองโครงสร้างพื้นฐานคีย์สาธารณะ (PKI): ใบรับรองควรตรวจสอบความถูกต้องของผู้ถือคีย์และตรวจสอบให้แน่ใจว่าถูกต้องตามกฎหมาย
• 1.9: ความแข็งแกร่งของการรับรองความถูกต้องของคีย์สาธารณะ: ระบบต้องสามารถบังคับใช้ข้อกําหนด PKI ขั้นต่ําได้
• 1.10: ข้อเสนอแนะของตัวยืนยันตัวตน: ระบบไม่ควรแสดงอักขระของรหัสผ่านเมื่อผู้ใช้พิมพ์
• 1.11: ความพยายามในการเข้าสู่ระบบที่ไม่สําเร็จ: IACS ควรอนุญาตเฉพาะจํานวนการพยายามเข้าสู่ระบบที่ไม่สําเร็จและกําหนดเวลาล็อกเอาต์สําหรับความล้มเหลวในการรับรองความถูกต้อง
• 1.12: การแจ้งเตือนการใช้ระบบ: ระบบควรแสดงข้อความการใช้งานที่เตือนการใช้งานโดยไม่ได้รับอนุญาตและห้ามการใช้งานที่บันทึกไว้
• 1.13: การเข้าถึงผ่านเครือข่ายที่ไม่น่าเชื่อถือ: IACS ที่สอดคล้องกับควรมีความสามารถในการควบคุมการเข้าถึงจากเครือข่ายที่ไม่น่าเชื่อถือ

ความต้องการของระบบ FR 2

FR ที่สองของซีรีส์ 62443 เกี่ยวข้องกับการควบคุมการใช้งาน (UC) นี่คือความต้องการของระบบที่ระบุไว้ใน ISA 62443-3-3:

• 2.1: การบังคับใช้การอนุญาต: ระบบควรจะสามารถบังคับใช้การอนุญาตกับผู้ใช้ บทบาท และพารามิเตอร์ทั้งหมดได้
• 2.2: การควบคุมการใช้งานแบบไร้สาย: เครือข่ายไร้สายของระบบควรตรวจสอบและบังคับใช้ข้อจํากัดเกี่ยวกับเหตุการณ์การเข้าถึงระยะไกลโดยใช้แนวทางปฏิบัติด้านความปลอดภัยของอุตสาหกรรม
• 2.3: ใช้การควบคุมสําหรับอุปกรณ์พกพาและอุปกรณ์เคลื่อนที่: ผู้ควบคุมต้องออกแบบ IACS เพื่อให้สามารถตรวจสอบและควบคุมการใช้งานอุปกรณ์พกพาและอุปกรณ์เคลื่อนที่ได้
• 2.4: รหัสมือถือ: รหัสใด ๆ ที่ดึงมาจากภายนอกระบบควรได้รับการตรวจสอบเพื่อป้องกันการงัดแงะและกิจกรรมที่เป็นอันตราย
• 2.5: การล็อกเซสชัน: IACS ไม่ควรใช้การล็อกเซสชันเพื่อควบคุมฟังก์ชันที่สําคัญ
• 2.6: การยุติเซสชันระยะไกล: ระบบควรจะสามารถยุติเซสชันระยะไกลได้หลังจากไม่มีการใช้งานหรือหลังจากที่ผู้ใช้เริ่มการดําเนินการดังกล่าว
• 2.7: การควบคุมเซสชันพร้อมกัน: เซสชันที่เกิดขึ้นพร้อมกันควรได้รับการจัดการและควบคุมตามมาตรฐานการอนุญาตของผู้ใช้
• 2.8: เหตุการณ์ที่ตรวจสอบได้: ระบบควบคุมควรสามารถบันทึกเหตุการณ์ที่ตรวจสอบได้ในบันทึกของระบบ
• 2.9: ความจุการตรวจสอบ: ความจุของระบบควรมีขนาดใหญ่พอที่จะจัดเก็บบันทึกการตรวจสอบที่จําเป็น
• 2.10: การตอบสนองต่อความล้มเหลวในการประมวลผลการตรวจสอบ: ระบบควรแจ้งเตือนผู้ปฏิบัติงานและเข้าถึงฟังก์ชันที่จําเป็นต่อไปในระหว่างความล้มเหลวในการประมวลผลการตรวจสอบ
• 2.11: การประทับเวลา: บันทึกการตรวจสอบทั้งหมดควรใช้การประทับเวลา

ความต้องการของระบบ FR 3

FR ที่สามของ 62443-3-3 เกี่ยวข้องกับการควบคุมความสมบูรณ์ของระบบ นี่คือความต้องการของระบบสําหรับ FR 3:

• 3.1: ความสมบูรณ์ในการสื่อสาร: ข้อมูลที่ส่งเข้าและออกจากระบบควรได้รับการปกป้องโดยใช้โซลูชันภายในและภายนอก
• 3.2: การป้องกันรหัสที่เป็นอันตราย: IACS ควรใช้โซลูชันป้องกันไวรัสเพื่อป้องกันตัวเองจากรหัสที่เป็นอันตราย
• 3.3: การตรวจสอบฟังก์ชันความปลอดภัย: ในระหว่างขั้นตอนการทดสอบและขั้นตอนการบํารุงรักษา IACS ควรตรวจสอบฟังก์ชันความปลอดภัยทั้งหมดและรายงานการเบี่ยงเบนทั้งหมด
• 3.4: ความสมบูรณ์ของซอฟต์แวร์และข้อมูล: โซลูชัน SIEM ควรตรวจจับ บันทึก รายงาน และปกป้องข้อมูลที่ไม่ได้ใช้งาน
• 3.5: การตรวจสอบอินพุต: IACS ควรตรวจสอบอินพุตทั้งหมดที่ส่งผลกระทบโดยตรงต่อระบบควบคุมและอินพุตกระบวนการทั้งหมด
• 3.6: เอาต์พุตที่กําหนด: เอาต์พุตต้องกลับสู่สถานะที่กําหนดไว้ล่วงหน้าเมื่อ IACS ไม่สามารถทํางานตามปกติได้
• 3.7: การจัดการข้อผิดพลาด: IACS ควรตอบสนองและกู้คืนจากสภาวะข้อผิดพลาดอย่างรวดเร็ว
• 3.8: ความสมบูรณ์ของเซสชัน: ระบบต้องมีความสามารถในการปฏิเสธ ID เซสชันที่ไม่ถูกต้องและติดตั้งโปรโตคอลตามเซสชัน
• 3.9: การคุ้มครองข้อมูลการตรวจสอบ: ควรเข้ารหัสข้อมูลการตรวจสอบเพื่อป้องกันระหว่างการส่งและพัก

ความต้องการของระบบ FR 4

ข้อกําหนดพื้นฐาน 4 ช่วยให้มั่นใจได้ว่าระบบที่มีการควบคุมปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดสําหรับการรักษาความลับของข้อมูล นี่คือความต้องการของระบบสําหรับ FR 4:

• 4.1: การรักษาความลับของข้อมูล: ข้อมูลที่เป็นความลับควรได้รับการคุ้มครองในขณะพักและระหว่างการส่ง
• 4.2: ความคงอยู่ของข้อมูล: ระบบควรจะสามารถดึงข้อมูลและข้อมูลในอดีตในเซสชันถัดไปได้
• 4.3: การใช้การเข้ารหัส: อัลกอริทึมการเข้ารหัสใด ๆ ที่ระบบใช้ควรเป็นไปตามแนวทางปฏิบัติที่ดีที่สุดของอุตสาหกรรม (รวมถึงอัลกอริทึมที่ใช้สําหรับการสํารองข้อมูล)

ความต้องการของระบบ FR 5

FR 5 จํากัดวิธีการไหลของข้อมูลที่อาจเกิดขึ้นใน IACS ขององค์กร นี่คือความต้องการของระบบสําหรับ FR 5:

• 5.1: การแบ่งส่วนเครือข่าย: บุคลากรควรแยกส่วนเครือข่ายเมื่อเป็นไปได้ และปรับใช้การประเมินความเสี่ยงเพื่อลดความเสี่ยงของเหตุการณ์ทางไซเบอร์
• 5.2: การป้องกันขอบเขตโซน: ควรบังคับใช้โปรโตคอลการเข้าถึงเครือข่ายเพื่อติดตั้งการป้องกันที่ขอบเขตโซน
• 5.3: ข้อจํากัดการสื่อสารแบบตัวต่อตัวเพื่อวัตถุประสงค์ทั่วไป: IACS ควรมีความสามารถในการป้องกันการส่งข้อความในกรณีที่มีการโจมตีที่เป็นอันตราย
• 5.4: การแบ่งพาร์ติชันแอปพลิเคชัน: แอปพลิเคชันควรแบ่งพาร์ติชันตามความสําคัญและในลักษณะที่ใช้รูปแบบการแบ่งเขตที่ยอมรับในอุตสาหกรรม

ความต้องการของระบบ FR 6

ข้อกําหนดพื้นฐานที่หกของซีรีส์ 62443 ช่วยให้มั่นใจได้ว่าผู้ปฏิบัติงาน IACS จะติดตั้งมาตรฐานเพื่อตอบสนองต่อเหตุการณ์อย่างทันท่วงทีในระหว่างกระบวนการพัฒนา นี่คือ SR สําหรับ FR 6:

• 6.1: การเข้าถึงบันทึกการตรวจสอบ: ระบบควรให้สิทธิ์ผู้ใช้ที่ได้รับอนุญาตเข้าถึงบันทึกการตรวจสอบแบบอ่านอย่างเดียวเท่านั้น และไม่สามารถแก้ไขบันทึกได้
• 6.2: การตรวจสอบอย่างต่อเนื่อง: บุคลากรควรติดตั้งโปรโตคอลการตรวจสอบอย่างต่อเนื่องเพื่อให้แน่ใจว่ามีการรับรู้อย่างต่อเนื่องและสนับสนุนการตัดสินใจด้านความเสี่ยง

ความต้องการของระบบ FR 7

ข้อกําหนดพื้นฐานสุดท้ายของซีรีส์ 62443 รวมถึงโปรโตคอลในการจัดการความพร้อมใช้งานของทรัพยากร นี่คือ SR ที่ระบุไว้ใน IEC 62443-3-3 สําหรับ FR 7:

• 7.1: การป้องกัน DoS: IACS ควรทํางานในโหมดลดระดับที่กําหนดไว้ล่วงหน้าเมื่อเกิดการโจมตีแบบปฏิเสธการให้บริการ
• 7.2: การจัดการทรัพยากร: มาตรฐานระบบควรจัดการการจัดสรรทรัพยากรและป้องกันการหมดทรัพยากร
• 7.3: การสํารองข้อมูลระบบควบคุม: การสํารองข้อมูลที่ทันสมัยควรพร้อมใช้งานเสมอเพื่อใช้การกู้คืนระบบที่สมบูรณ์ในกรณีที่ระบบล้มเหลว
• 7.4: การกู้คืนและการปรับโครงสร้างระบบควบคุม: เวิร์กโฟลว์ของระบบควรทําให้แน่ใจว่าระบบสามารถกลับสู่สถานะที่ปลอดภัยได้อย่างรวดเร็วและมีประสิทธิภาพ
• 7.5: พลังงานฉุกเฉิน: สถานะความปลอดภัยและโหมดที่ลดลงไม่ควรได้รับผลกระทบเมื่อ IACS เปลี่ยนจากพลังงานมาตรฐานเป็นพลังงานฉุกเฉิน
• 7.6: การตั้งค่าการกําหนดค่าเครือข่ายและความปลอดภัย: IACS ควรเป็นไปตามแนวทางปฏิบัติที่ดีที่สุดของอุตสาหกรรมสําหรับความปลอดภัยของเครือข่าย
• 7.7: ฟังก์ชันการทํางานน้อยที่สุด: ฟังก์ชันที่ไม่จําเป็นควรถูกจํากัดและจัดการเพื่อปกป้องทรัพยากรในระหว่างเหตุการณ์ด้านความปลอดภัย
• 7.8: สินค้าคงคลังส่วนประกอบระบบควบคุม: IACS ควรบํารุงรักษาและจัดการสินค้าคงคลังที่อัปเดตของส่วนประกอบระบบควบคุมทั้งหมด

วิธีปฏิบัติตามมาตรฐานความปลอดภัยของ ISA

องค์กรใด ๆ ที่สนใจในการปฏิบัติตามมาตรฐานความปลอดภัยซีรีส์ 62443 ของ ISA จําเป็นต้องแบ่งปันความรับผิดชอบระหว่างแผนกต่างๆ ซีรีส์ 62443 ต้องการให้ผู้มีส่วนได้ส่วนเสียด้านความปลอดภัยทางไซเบอร์หลักทํางานร่วมกันและทําให้แน่ใจว่าส่วนประกอบทั้งหมดของ IACS ของตนป้องกันความเสี่ยงและช่องโหว่ทางไซเบอร์

บุคลากร มาตรฐาน ตัวชี้วัดความปลอดภัยทางไซเบอร์ และวัฒนธรรมขององค์กรล้วนมีบทบาทสําคัญในการปฏิบัติตามข้อกําหนดพื้นฐานและระบบที่พบในซีรีส์ 62443 ซีรีส์นี้ยังใช้ประโยชน์จากเสาหลักของ NIST Cybersecurity Framework (NIST CSF) ซึ่งผู้เชี่ยวชาญด้านไอทีและความปลอดภัยทางไซเบอร์มักจะคุ้นเคยมากกว่า

หลักการหลักของ NIST CSF ได้แก่:

• ค้นพบ: บุคลากรควรตรวจสอบและประเมินส่วนประกอบของระบบทั้งหมดอย่างสม่ําเสมอเพื่อคาดการณ์ระบุและป้องกันความเสี่ยงของระบบและกิจกรรมที่เป็นอันตราย
• ส่วน: ควรแบ่งระบบหากเป็นไปได้เพื่อลดผลกระทบจากการโจมตีทางไซเบอร์และเหตุการณ์ด้านความปลอดภัยที่อาจเกิดขึ้นกับระบบ
• ตรวจจับ: บุคลากรควรติดตั้งขั้นตอนและโปรโตคอลเพื่อตรวจจับช่องโหว่และความเสี่ยงใหม่ทั่วทั้งระบบอย่างต่อเนื่อง
• ตอบสนอง: องค์กรควรใช้ประโยชน์จากแผนการตอบสนองต่อเหตุการณ์และความต่อเนื่องทางธุรกิจเพื่อเร่งการจัดการเหตุการณ์และการซ่อมแซมระบบ

โซลูชันความปลอดภัยทางไซเบอร์ของ UpGuard สามารถช่วยให้องค์กรปฏิบัติตามข้อกําหนดของระบบ 62443-3-3 ของ ISA ในขณะเดียวกัน UpGuard BreachSight และ Vendor Risk สามารถช่วยเหลือผู้ใช้ด้วยแนวคิดด้านความปลอดภัยทางไซเบอร์ที่สําคัญรวมถึงการจัดการพื้นผิวการโจมตีการจัดการความเสี่ยงของผู้ขายการตอบสนองต่อเหตุการณ์ความปลอดภัยของเครือข่าย

คุณสมบัติที่สมบูรณ์ของ BreachSight และ Vendor Risk ได้แก่:

• การตรวจจับการรั่วไหลของข้อมูล: ปกป้องชื่อเสียง ทรัพย์สินทางปัญญา และข้อมูลลูกค้าของแบรนด์ของคุณด้วยการตรวจจับการรั่วไหลของข้อมูลอย่างทันท่วงที
• การตรวจสอบอย่างต่อเนื่อง: รับการอัปเดตแบบเรียลไทม์และจัดการการเปิดเผยทั่วทั้งพื้นผิวการโจมตีของคุณ รวมถึงโดเมน IP แอป ปลายทาง ปลั๊กอิน และไฟร์วอลล์
• การลดพื้นผิวการโจมตี: ลดพื้นผิวการโจมตีของคุณโดยการค้นหาช่องโหว่และโดเมนที่สามารถใช้ประโยชน์ได้ซึ่งเสี่ยงต่อการถูกพิมพ์
• โปรไฟล์ความปลอดภัยที่ใช้ร่วมกัน: สร้างโปรไฟล์ UpGuard Shared เพื่อขจัดความยุ่งยากในการตอบแบบสอบถามความปลอดภัย
• เวิร์กโฟลว์และการสละสิทธิ์: ปรับปรุงเวิร์กโฟลว์การแก้ไข ยกเว้นความเสี่ยงอย่างรวดเร็ว และตอบสนองต่อคําถามด้านความปลอดภัย
• การรายงานและข้อมูลเชิงลึก: เข้าถึงรายงานที่ออกแบบมาโดยเฉพาะสําหรับผู้มีส่วนได้ส่วนเสียต่างๆ และดูข้อมูลเกี่ยวกับพื้นผิวการโจมตีภายนอกของคุณ
• แบบสอบถามความปลอดภัยของผู้ขาย: ทําแบบสอบถามด้านความปลอดภัยโดยอัตโนมัติเพื่อรับข้อมูลเชิงลึกที่ลึกซึ้งยิ่งขึ้นเกี่ยวกับความสัมพันธ์กับผู้ขายและเสถียรภาพการรักษาความปลอดภัยของบุคคลที่สาม
• การจัดอันดับความปลอดภัย: ประเมินเสถียรภาพการรักษาความปลอดภัยของผู้ขายแต่ละรายโดยใช้การจัดอันดับความปลอดภัยที่ขับเคลื่อนด้วยข้อมูล วัตถุประสงค์ และแบบไดนามิกของเรา
• การประเมินความเสี่ยง: ปรับปรุงเวิร์กโฟลว์การประเมินความเสี่ยง รวบรวมหลักฐาน และร้องขอการแก้ไขอย่างรวดเร็ว