ความปลอดภัยของระบบควบคุมอุตสาหกรรม: ISA 62443-2-1:2009

ชุดมาตรฐาน ISA-62443 ที่พัฒนาโดย International Society of Automation (ISA) เป็นชุดแนวทางที่ครอบคลุมสําหรับการรับรองความปลอดภัยของระบบอัตโนมัติและระบบควบคุมอุตสาหกรรม (IACS)

ISA 62443-2-1:2009 เป็นมาตรฐานเฉพาะหนึ่งในซีรีส์นี้ที่มุ่งเน้นไปที่การสร้างระบบอัตโนมัติทางอุตสาหกรรมและระบบรักษาความปลอดภัยระบบควบคุม เนื่องจากระบบเหล่านี้จํานวนมากมีโครงสร้างพื้นฐานที่สําคัญ จึงจําเป็นอย่างยิ่งที่จะต้องปกป้องระบบเหล่านี้จากเหตุการณ์ด้านความปลอดภัยที่อาจขัดขวางการดําเนินงาน บล็อกนี้ให้รายละเอียดการประเมินที่ระบุไว้ใน ISA 62443-2-1:2009 และเหตุใด IACS จึงควรจัดลําดับความสําคัญ

ทําให้แบบสอบถามการประเมินความปลอดภัยของคุณเป็นแบบอัตโนมัติด้วย UpGuard >

ชุดมาตรฐาน ISA-62443

มาตรฐาน ISA-62443 ให้รายละเอียดการประเมิน IACS ที่ช่วยให้มั่นใจได้ว่าองค์กรจะปกป้องระบบที่สําคัญของตนอย่างเต็มที่จากภัยคุกคามทางกายภาพและดิจิทัลที่สําคัญ IACS หรือระบบอัตโนมัติและการควบคุมทางอุตสาหกรรมหมายถึงชุดของระบบเครือข่ายที่ใช้ในการดําเนินงานและทําให้กระบวนการทางอุตสาหกรรมเป็นไปโดยอัตโนมัติ

ตัวอย่าง ได้แก่ Programmable Logic Controllers (PLCs), Distributed Control Systems (DCS), Supervisory Control and Data Acquisition (SCADA), Human-Machine Interfaces (HMIs) และเครือข่ายเซ็นเซอร์และแอคทูเอเตอร์

ก่อนหน้านี้รู้จักกันในชื่อมาตรฐาน ISA99 มาตรฐาน ISA-62443 มีความสําคัญต่อการรักษาความปลอดภัยในอุตสาหกรรมต่างๆ มาตรฐานนี้ให้แนวทางที่มีโครงสร้างและเป็นระบบในการรักษาความปลอดภัยระบบควบคุมอุตสาหกรรมที่สําคัญในภาคส่วนต่างๆ เช่น การผลิต พลังงาน การบําบัดน้ํา เป็นต้น ซีรีส์ประกอบด้วย:

• แนวคิดและแบบจําลองทั่วไป (ISA-62443-1): ส่วนนี้เป็นรากฐานสําหรับชุดข้อมูล โดยสรุปคําจํากัดความ แนวคิด และแบบจําลองที่ใช้ในความปลอดภัยของ IACS
• การสร้างระบบอัตโนมัติทางอุตสาหกรรมและระบบรักษาความปลอดภัยระบบควบคุม (ISA-62443-2): ส่วนนี้มุ่งเน้นไปที่การสร้างและบํารุงรักษาโปรแกรมรักษาความปลอดภัย IACS รวมถึงการประเมินความเสี่ยง การจัดการช่องโหว่ และมาตรการป้องกัน
• ข้อกําหนดด้านความปลอดภัยของระบบและระดับความปลอดภัย (ISA 62443-3): ส่วนนี้แสดงรายการข้อกําหนดเฉพาะสําหรับการรักษาความปลอดภัย IACS กําหนดระดับความปลอดภัย และสรุปข้อกําหนดเพื่อให้ถึงระดับเหล่านั้น
• ข้อกําหนดทางเทคนิคสําหรับส่วนประกอบ IACS (ISA 62443-4): ส่วนนี้อธิบายข้อกําหนดทางเทคนิคสําหรับส่วนประกอบ IACS เช่น ข้อกําหนดสําหรับวงจรชีวิตการพัฒนาผลิตภัณฑ์ที่ปลอดภัยและการรวมระบบ

ส่วนประกอบหลักของ ISA 62443-2-1:2009

มาตรฐานที่สองในซีรีส์ ISA 62443 มุ่งเน้นไปที่การสร้างระบบอัตโนมัติทางอุตสาหกรรมและระบบรักษาความปลอดภัยระบบควบคุม โดยเฉพาะอย่างยิ่งมาตรฐานนี้สรุปองค์ประกอบของความปลอดภัยทางไซเบอร์ที่จําเป็นในการจัดการ IACS และแนะนําผู้ใช้ให้ปฏิบัติตามข้อกําหนดของแต่ละองค์ประกอบ

มาตรฐานนี้สรุปสี่ประเด็นหลัก IACS ต้องจัดลําดับความสําคัญ โดยมีองค์ประกอบเฉพาะภายในแต่ละด้านเพื่อระบุและประเมินผล

• การประเมินโปรแกรมความปลอดภัยและความเป็นส่วนตัว
• การประเมินความปลอดภัยของโครงสร้างพื้นฐาน
• การประเมินความปลอดภัยทางกายภาพและศูนย์ข้อมูล
• การประเมินความปลอดภัยของแอปพลิเคชัน

การประเมินโปรแกรมความปลอดภัยและความเป็นส่วนตัว

โปรแกรมความปลอดภัยของข้อมูลและความเป็นส่วนตัวเป็นชุดนโยบาย แนวทาง และกระบวนการที่ครอบคลุมสําหรับการระบุและจัดการกับภัยคุกคามและความเสี่ยงต่อข้อมูลและระบบของบริษัท สําหรับ IACS การประเมินโปรแกรมความปลอดภัยและความเป็นส่วนตัวเป็นสิ่งสําคัญ ส่วนนี้ของ ISA 62443-2-1:2009 มุ่งเน้นไปที่ว่าองค์กรมีโปรแกรมความปลอดภัยที่จัดตั้งขึ้นหรือไม่ และหากไม่มี ให้สรุปประเด็นสําคัญที่ต้องพิจารณาเมื่อสร้างโปรแกรม

โปรแกรมความปลอดภัยและความเป็นส่วนตัวที่จัดตั้งขึ้นช่วยให้มั่นใจได้ว่าข้อมูลลูกค้าจะถูกเก็บไว้อย่างปลอดภัย มาตรฐานนี้ประเมินประเด็นสําคัญ ได้แก่ :

• ความปลอดภัยและความเป็นส่วนตัว: โปรแกรมรักษาความปลอดภัยและการควบคุมความปลอดภัยที่จัดตั้งขึ้น
• ความปลอดภัยของบุคลากร: การควบคุมการเข้าถึง โปรโตคอลรหัสผ่าน ข้อตกลงการรักษาความลับ ความปลอดภัยของข้อมูล และการฝึกอบรมความเป็นส่วนตัวสําหรับพนักงาน ฯลฯ
• การปฏิบัติตามกฎหมายและข้อบังคับ: กระบวนการระบุ จัดทําเอกสาร และรักษาข้อกําหนดทางกฎหมาย กฎระเบียบ และสัญญาที่เกี่ยวข้อง

การประเมินความปลอดภัยของโครงสร้างพื้นฐาน

การประเมินความปลอดภัยของโครงสร้างพื้นฐานคือการประเมินโครงสร้างพื้นฐานทางกายภาพและดิจิทัลของ IACS อย่างครอบคลุม จุดประสงค์คือเพื่อระบุช่องโหว่หรือจุดล้มเหลวที่อาจเกิดขึ้นซึ่งอาจเสี่ยงต่อภัยคุกคามทางไซเบอร์

IACS มักใช้ระบบที่สําคัญต่อกระบวนการทางอุตสาหกรรมต่างๆ ดังนั้นการละเมิดหรือความล้มเหลวทุกประเภทอาจส่งผลร้ายแรง (การหยุดชะงักของการดําเนินงาน อันตรายด้านความปลอดภัย ฯลฯ) ดังนั้นการประเมินประเภทนี้จึงช่วยให้เข้าใจท่าทางความปลอดภัยและความเพียงพอของมาตรการรักษาความปลอดภัยที่มีอยู่ พื้นที่ในส่วนนี้ของ ISA-62443-2-1:2009 ได้แก่:

• เครือข่าย: เครื่องมือการจัดการการกําหนดค่าระบบ, ไฟร์วอลล์, การเข้ารหัสข้อมูล, ระบบแยก, การตรวจสอบอย่างต่อเนื่อง ฯลฯ
• เซิร์ฟเวอร์: กระบวนการสําหรับการอัปเดตและแพตช์ระบบปฏิบัติการ มาตรการป้องกันมัลแวร์ ฯลฯ
• ไคลเอนต์ (เวิร์กสเตชัน แล็ปท็อป ฯลฯ): มาตรฐานสําหรับระบบไคลเอ็นต์ การป้องกันมัลแวร์บนอุปกรณ์ไคลเอนต์ การควบคุมการเข้าถึงส่วนบุคคล ฯลฯ
• ข้อตกลงการสนับสนุนโครงสร้างพื้นฐาน: ข้อตกลงการสนับสนุนสําหรับเวอร์ชันของระบบปฏิบัติการที่ไม่รองรับ
• การจัดการข้อมูล: สภาพแวดล้อมแยกต่างหากสําหรับการพัฒนา การทดสอบ และการผลิต
• การทดสอบความปลอดภัยทางเทคนิค: การทดสอบการเจาะระบบ การสแกนช่องโหว่ การทดสอบความปลอดภัย ฯลฯ
• การบันทึก: การบันทึกเหตุการณ์ที่เกี่ยวข้องกับความปลอดภัย
• การจัดการสินทรัพย์: สินค้าคงคลังที่ทันสมัยการติดตามพนักงาน/ผู้รับเหมา/ทรัพย์สินของบุคคลที่สาม ฯลฯ

การประเมินความปลอดภัยทางกายภาพและศูนย์ข้อมูล

พื้นที่ถัดไปของ ISA-62443-2-1:2009 มุ่งเน้นไปที่ความปลอดภัยทางกายภาพและศูนย์ข้อมูล การประเมินนี้ประเมินมาตรการรักษาความปลอดภัยทางกายภาพที่ป้องกันการเข้าถึงอุปกรณ์และศูนย์ข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาตซึ่งหน่วยงานจัดเก็บส่วนประกอบและข้อมูลของ IACS ของตน

การประเมินที่ครอบคลุมระบุการควบคุมการเข้าถึงทางกายภาพ ระบบเฝ้าระวัง และการควบคุมสิ่งแวดล้อม การประเมินนี้จะประเมินเสถียรภาพการรักษาความปลอดภัยต่อภัยคุกคามทางไซเบอร์ เช่น การแฮ็ก มัลแวร์ และการละเมิดข้อมูลสําหรับสินทรัพย์ดิจิทัล แนวทางคู่นี้ช่วยให้มั่นใจได้ถึงความปลอดภัยทางกายภาพและศูนย์ข้อมูลที่แข็งแกร่งและการดําเนินงานอย่างต่อเนื่องสําหรับ IACS พื้นที่ในส่วนนี้รวมถึง:

• การรักษาความปลอดภัยที่สํานักงาน: มาตรการทางกายภาพ เช่น ยาม, เครื่องตรวจจับการเคลื่อนไหว, กล้องวงจรปิด, การควบคุมการเข้าออกทางอิเล็กทรอนิกส์, การรักษาความปลอดภัยปริมณฑล, การล็อคอัตโนมัติของอุปกรณ์ที่ไม่ต้องใส่ข้อมูล ฯลฯ
• ความปลอดภัยของศูนย์ข้อมูล: จุดเชื่อมต่อที่มีการควบคุมโปรโตคอลการหยุดทํางานการประเมินความเสี่ยง ฯลฯ

การประเมินความปลอดภัยของแอปพลิเคชัน

แอปพลิเคชันมีบทบาทสําคัญในการควบคุม ตรวจสอบ และจัดการกระบวนการทางอุตสาหกรรมใน IACS ช่องโหว่ใดๆ ภายในแอปพลิเคชันเหล่านี้อาจนําไปสู่ความเสี่ยงที่สําคัญ เช่น การหยุดชะงักของการดําเนินงาน การละเมิดข้อมูล และอันตรายด้านความปลอดภัย

การดําเนินการประเมินความปลอดภัยที่ครอบคลุมของแอปพลิเคชันเหล่านี้สามารถช่วยระบุและลดช่องโหว่ รวมถึงข้อบกพร่องในการเข้ารหัส การเข้ารหัสที่ไม่เพียงพอ หรือ API ที่ไม่ปลอดภัย ซึ่งผู้โจมตีทางไซเบอร์สามารถใช้ประโยชน์ได้ นอกจากนี้ยังประเมินประสิทธิภาพของโปรโตคอลความปลอดภัยที่มีอยู่ เช่น กลไกการรับรองความถูกต้องและการอนุญาต และรับรองการปฏิบัติตามมาตรฐานอุตสาหกรรมและแนวทางปฏิบัติที่ดีที่สุด พื้นที่ในส่วนนี้รวมถึง:

• การรายงานและการจัดการช่องโหว่: กระบวนการรายงานช่องโหว่ การแจ้งเตือนลูกค้า ฯลฯ
• การรับรองความถูกต้องและการอนุญาต: บริการตรวจสอบสิทธิ์ ข้อกําหนดรหัสผ่าน กลไก SSO ฯลฯ
• วงจรการพัฒนาซอฟต์แวร์: ข้อกําหนดที่เกี่ยวข้องกับความปลอดภัยสําหรับแอปพลิเคชันความสมบูรณ์และการรักษาความลับของข้อมูลที่ประมวลผลกระบวนการเข้ารหัสที่ปลอดภัย
• การพึ่งพาบุคคลที่สาม: การตรวจสอบความปลอดภัยของผู้ให้บริการเอาท์ซอร์ส

UpGuard BreachSight และ VendorRisk ทําให้กระบวนการประเมินของคุณเป็นแบบอัตโนมัติโดยใช้แบบสอบถามความปลอดภัยในตัวอันทรงพลังของเรา ส่งเทมเพลตมาตรฐานหรือแบบสอบถามแบบกําหนดเองไปยังผู้ขายของคุณ กําหนดค่าวันครบกําหนดของแบบสอบถาม และตั้งค่าการแจ้งเตือนเป็นประจําเพื่อให้แน่ใจว่าผู้ขายดําเนินการตามคําขออย่างมีประสิทธิภาพ

ความเสี่ยงจะถูกระบุโดยอัตโนมัติในการตอบกลับของผู้จัดจําหน่าย ดังนั้นคุณจึงสามารถร้องขอการแก้ไขหรือสละสิทธิ์ได้ ทํางานร่วมกับผู้ขายในการลดความเสี่ยงโดยใช้เวิร์กโฟลว์การประเมินความเสี่ยง สอดคล้องกับการตอบสนองของผู้ขายที่เฉพาะเจาะจงโดยใช้การส่งข้อความในตัวที่ตรวจสอบได้ หรือเพิ่มบันทึกภายใน

ห้องสมุดแบบสอบถามของเราอ้างอิงกฎระเบียบและแนวทางปฏิบัติที่ดีที่สุดจากอุตสาหกรรมความปลอดภัยทางไซเบอร์ รวมถึง:

• แบบสอบถาม SIG Lite
• แบบสอบถาม ISO 227001
• แบบสอบถามเครื่องมือประเมินผู้ขายชุมชนระดับอุดมศึกษา (HECVAT)
• แบบสอบถามพระราชบัญญัติการเคลื่อนย้ายและความรับผิดชอบด้านการประกันสุขภาพ (HIPAA)
• แบบสอบถามกรอบความปลอดภัยทางไซเบอร์ของ NIST
• แบบสอบถามมาตรฐานความปลอดภัยของ COBIT 5
• แบบสอบถามพระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคแห่งแคลิฟอร์เนีย (CCPA)
• แบบสอบถามมาตรฐานความปลอดภัย CIS Controls 7.1
• แบบสอบถาม PCI DSS
• Apache Log4J - แบบสอบถามช่องโหว่ที่สําคัญ