IEC 62443: Industrielle Kommunikationsnetze - IT-Sicherheit für Netze und Systeme

Die Normenreihe IEC 62443 (in Deutschland: DIN EN IEC 62443) setzt sich mit der IT-Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS) auseinander. Sie basiert unter anderem auf etablierten Standards der IT-Sicherheits-Norm ISO/IEC 27001 und wird in Zusammenarbeit mit dem amerikanischen Normungskomitee ISA („International Society of Automation“) spezifiziert. In wesentlichen Teilen entspricht die europäische Norm daher der amerikanischen Normenreihe ISA 99. In Europa gilt IEC 62443 inzwischen als industrieübergreifender Standard für unterschiedlichste Arten von Anlagen, Betrieben und Systemen.

Inhalt

• Wen betrifft die Norm?
• Kurzer Überblick überdie einzelnen Teile der Normenreihe
• Welchen Ansatz verfolgt die IEC 62443
  • Defense in Depth
  • Security Level (SL)
  • Drei Rollen: Hersteller, Integratoren, Beitreiber
• Bezugsquellen
• Unterstützung bei Entwicklung und Betrieb cybersicherer IACS

IEC 62443 richtet sich an Hersteller, Betreiber, und Integratoren von industriellen Automatisierungs- und Steuerungssystemen. Der Fokus der Normenreihe liegt auf der operativen Technologie (OT) – im Gegensatz zu den Normen der Reihe ISO/IEC 27000, die sich vorrangig auf die IT-Infrastruktur bezieht. Ziel der IEC 62443 ist es, Hersteller, Betreiber und Integratoren dabei zu unterstützen, die Sicherheitsziele der Verfügbarkeit, Integrität und Vertraulichkeit bei Komponenten und Systemen im Industrieumfeld zu erhöhen. Dabei bietet sie rollenspezifische Empfehlungen, wie sich Schwachstellen in IACS erkennen und beheben lassen.

Die Normenreihe IEC 62443 ist recht umfangreich und einzelne Teile befinden sich noch in der Entwicklung. Aktuell (2024) besteht sie aus vier Teilen. Ein weiterer Teil (die Technical Specification IEC 62443-6) zur Evaluationsmethodik befindet sich derzeit im Entwurfsstadium.

Teil 1: Allgemeine Grundlagen

• IEC 62443-1-1: Definition der Terminologie, Konzepte und Modelle für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme
• IEC 62443-1-2 (im Entwurf): Begriffsdefinitionen
• IEC 62443-1-3 (im Entwurf): Metriken für die Bewertung der IT-Security
• IEC 62443-1-4 (im Entwurf): Beschreibung des Sicherheitslebenszyklus und div. Anwendungsfälle

Teil 2: Richtlinien und Verfahrensweisen

• IEC 62443-2-1: Anforderungen an ein IT-Sicherheits-Managementsystem (ISMS) – mit Verweisen auf ISO/IEC 27000
• IEC 62443-2-2 (im Entwurf): Rahmenwerk für die Evaluation des Schutzes eines IACS (als Basis für die Bewertung der Defense-in-Depth-Strategie)
• IEC 62443-2-3: Patch-Management
• IEC 62443-2-4: Leitlinien, Anforderungen und Vorgehensweisen für Integratoren und Instandhaltungsdienstleister
• IEC 62443-2-5 (geplant): Implementierungshinweise für Betreiber

Teil 3: Anforderungen an IACS

• IEC 62443-3-1: Beschreibung grundlegender Technologien (Authentifizierung, Verschlüsselung etc.)
• IEC 62443-3-2: Ablauf der Sicherheitsanalyse und Strukturierung einer Anlage in Zonen und Zonenübergänge („Conduits“; siehe unten)
• IEC 62443-3-2: Grundlegende Anforderungen (Foundational Requirements) z. B. an Authentifizierungskontrolle, Benutzerverwaltung oder Systemintegrität

Teil 4: Anforderungen an Automatisierungskomponenten

• IEC 62443-4-1: Definition eines sicheren Entwicklungsprozesses für Produkte, die in IACS eingesetzt werden
• IEC 62443-4-2: Detaillierte Anforderungen für Komponenten (Softwareanwendungen, Host-Geräte, eingebettete Systeme, Netzwerkkomponenten)

Quelle: ISA

Eine zentrale Forderung der Norm ist es, IT-Sicherheit (Cybersecurity) stets mit Blick auf das Gesamtsystem zu betrachten. Ziel ist, das Sicherheitsniveau des Systems fortlaufend zu verbessern. Dabei macht sie deutlich, das IT-Sicherheit im industriellen Umfeld nur möglich ist, wenn der gesamte Lebenszyklus von Produkten und Systemen in den Blick genommen wird.

Angreifer können unterschiedlichste Wege in ein IACS finden – direkt über das Internet oder indirekt, zum Beispiel über kompromittierte Systeme im selben Netz, kompromittierte Smartphones oder über gutgläubige Mitarbeiter. Um der Vielzahl möglicher Angriffspunkte auf unterschiedlichen Ebenen Rechnung zu tragen, verfolgt die ISO/IEC 62443 einen Defense-in-Depth-Ansatz. Auf Basis einer detaillierten Bedrohungs- und Schwachstellenanalyse wird das Gesamtnetz in verschiedene Sicherheitszonen („Zones“) segmentiert und diese Zonen selbst sowie die Übergänge bzw. Kommunikationskanäle („Conduits“) zwischen ihnen separat abgesichert.

Je nach ihrer Schutzwürdigkeit und den zu erwartenden Bedrohungen sollen Zonen und Kommunikationskanälen jeweils ein individuelles Security Level (SL) zugewiesen werden. Die verschiedenen Level geben den Schutz vor verschiedenen Typen von Bedrohungen bzw. Angreifern an, dabei gilt: Je höher das Level, desto anspruchsvoller die geforderten Sicherheitsmaßnahmen.

• SL 0: Keine spezielle Absicherung erforderlich
• SL 1: Absicherung gegen unbeabsichtigten oder versehentlichen Missbrauch
• SL 2: Absicherung gegen beabsichtigten Missbrauch mit einfachen Mitteln, geringen Ressourcen, allgemeinen Fähigkeiten und niedriger Motivation
• SL 3: Absicherung gegen beabsichtigten Missbrauch mit fortgeschrittenen Mitteln, moderaten Ressourcen, spezifischen IACS- Kenntnissen und moderater Motivation
• SL 4: Absicherung gegen beabsichtigten Missbrauch mit hochentwickelten Mitteln, umfangreichen Ressourcen, IACS-Expertenwissen und hoher Motivation

Unter Berücksichtigung des nativen Sicherheitsniveaus (Security-Level-Capability, SL-C) eines Systems oder einer Komponente sowie einer Bedrohungs- und Risikoanalyse legt der Betreiber das angestrebte Sicherheitsniveau (Security-Level-Target, SL-T) einer Anlage sowie der Zones und Conduits fest. Hersteller und Integratoren setzen das SL-T entsprechend um.

Die IEC 62443 unterscheidet drei grundlegende Rollen – Hersteller, Systemintegratoren und Anlagenbetreiber. Für jede dieser Rollen gelten spezifische Security-Anforderungen.

Wenn ein produzierendes Unternehmen als Betreiber eine neue, vernetzte Maschine oder Anlage anschaffen möchte, muss es im Vorfeld dafür organisatorische und technische Rahmenbedingungen (User-Konzept, Netzwerksegmente etc.) schaffen, den Schutzbedarf der neuen Maschine bestimmen und ein Ziel-SL (SL-T) definieren. Darüber hinaus muss der Betreiber dafür sorgen, dass Firm- und Software aktuell sind, und seine Maschinen und Anlagen über Schwachstellen-Monitoring sowie regelmäßige Security-Audits (mindestens einmal jährlich, je nach Kritikalität der Komponente) auf mögliche Schwachstellen überprüfen.

Der Hersteller ist verpflichtet, sein Produkt (Maschine, Anlage) so sicher zu gestalten, dass ein bestimmungsgemäßer Gebrauch stets möglich ist, und dem Betreiber nachweisen, dass das Produkt die dafür nötigen Security-Eigenschaften besitzt. Darüber hinaus muss er dafür sorgen, dass die Widerstandsfähigkeit während des gesamten Lebenszyklus bei sich ändernden Sicherheitsbedingungen aufrechterhalten werden kann: Er muss Betreiber und Integratoren über neu entdeckte oder entstandene Risiken informieren und ggf. Patches und Updates zur Verfügung stellen.

Dem Integrator obliegt es, bei der Implementierung sicherzustellen, dass jede Komponente, Maschine oder Anlage entsprechend den definierten Anforderungen funktioniert. Er ist verpflichtet, die dafür nötigen Maßnahmen auf Basis der Herstellerinformationen umzusetzen und dafür zu sorgen, dass Firm- und Software aktuell sind.

Alle Teile der IEC 62443 können bei DIN Media (ehemals Beuth Verlag) VDE-Verlag erworben werden.

Die Sicherheitsexperten von NewTec haben Erfahrung bei der Identifizierung, Bewertung und dem Schutz vor potenziellen Bedrohungen in Industrie-4.0-Umgebungen. Auf Basis jahrzehntelanger Entwicklungstätigkeit für sicherheitsgerichtete Embedded-Systeme hat Newtec einen strukturierten Prozess entwickelt, um Unternehmen bei der umfassenden Absicherung ihrer Produkte bzw. Produktionsumgebungen zu unterstützen.

Hersteller und Betreiber unterstützen wir mit ganzheitlicher Beratung zu Security-Management-Prozessen gemäß IEC 62443-4. Wir sind Ihr Partner bei einer strukturierten Safety- und Security-Risikoabschätzung (auch bzgl. eines Patch- und Updatesystems) und bei einer sicheren Systemintegration und dem Engineering von cybersicheren Embedded Systems. Dabei beziehen wir neben der IEC 62443 auch BSI-Anleitungen und andere Standards und Best Practices ein.

Fragen? Kontaktieren Sie uns: Kontakt.
Oder rufen Sie uns an unter +49 7302 9611-0.