Strefy i kanały w IEC 62443 wyjaśnione: praktyczny przewodnik po segmentacji OT

01Najważniejsze wnioski

1. 01

   IEC 62443 to seria ISA/IEC poświęcona bezpieczeństwu przemysłowych systemów automatyki i sterowania.

2. 02

   Strefa grupuje zasoby o wspólnych wymaganiach bezpieczeństwa; kanał to zdefiniowane połączenie między strefami.

3. 03

   Poziomy bezpieczeństwa wyrażają siłę ochrony, jaką strefa lub kanał muszą zapewniać.

4. 04

   Dobry projekt oznacza przypisanie rzeczywistych przepływów danych do kanałów, a następnie dobór mechanizmów dopasowanych do każdego kanału.

5. 05

   Zapory, diody danych i odłączanie to uzupełniające się narzędzia do egzekwowania różnych rodzajów kanałów.

02Czym jest IEC 62443

IEC 62443, opracowana wspólnie z ISA, to seria norm dotyczących bezpieczeństwa przemysłowych systemów automatyki i sterowania. Obejmuje ludzi, procesy i technologię, uwzględniając wszystko — od zarządzania programem po wymagania techniczne dla systemów i komponentów.

Dla architektury sieci jej najbardziej wpływowym wkładem jest model stref i kanałów, który daje zespołom uporządkowany sposób myślenia o segmentacji, zamiast traktowania sieci OT jako jednej płaskiej przestrzeni.

Kluczowa idea: grupuj zasoby w strefy według potrzeb bezpieczeństwa i pozwól im komunikować się wyłącznie poprzez zdefiniowane kanały.

03Definicje stref i kanałów

Strefa

Zgrupowanie zasobów, które mają wspólne wymagania bezpieczeństwa, oparte na funkcji, ryzyku i konsekwencjach. Wszystko w strefie jest traktowane na podobnym poziomie zaufania.

Kanał

Zdefiniowana ścieżka komunikacji między strefami. Cały ruch przekraczający granicę strefy powinien przechodzić przez kanał, gdzie można go kontrolować.

Granica zaufania

Krawędź strefy, na której różnica zaufania między dwiema strefami jest egzekwowana przez mechanizmy działające na kanale.

Dyscyplina, którą narzuca ten model, polega na tym, że nie powinno być żadnych niekontrolowanych przejść między strefami. Jeśli ruch przemieszcza się między strefami, robi to przez kanał, który celowo zaprojektowałeś.

04Poziomy bezpieczeństwa i ich znaczenie

IEC 62443 wykorzystuje poziomy bezpieczeństwa, aby wyrazić, jak silna musi być ochrona. Zamiast niejasnego poczucia ważności, strefie lub kanałowi przypisuje się docelowy poziom bezpieczeństwa w oparciu o zagrożenie, któremu muszą się oprzeć.

Poziomy skalują się od ochrony przed przypadkowym lub niezamierzonym narażeniem aż po ochronę przed wyrafinowanymi, dobrze wyposażonymi i zdeterminowanymi napastnikami. Docelowy poziom bezpieczeństwa strefy określa wymagania dla kanałów, które jej dotykają: strefa o wysokich konsekwencjach uzasadnia silniejsze mechanizmy kontroli kanału.

Praktyczne zastosowanie to porównanie. Przypisując docelowe poziomy, zespół może dostrzec, gdzie obecny projekt jest niewystarczający, i nadać priorytet kanałom chroniącym najważniejsze strefy.

05Przypisywanie przepływów danych do kanałów

Dobra segmentacja zaczyna się od rzeczywistych przepływów danych, a nie od schematu idealnych sieci. Dla każdego przepływu przekraczającego granicę strefy projekt powinien określać, co się przemieszcza, w którym kierunku i dlaczego.

• Zidentyfikuj każdy przepływ przekraczający granicę strefy oraz biznesowy powód jego istnienia.
• Określ wymagany kierunek: dwukierunkowa wymiana czy publikacja wyłącznie w jednym kierunku.
• Przypisz kanałowi wymaganie oparte na docelowym poziomie bezpieczeństwa łączonych przez niego stref.
• Usuń przepływy, które istnieją tylko z przyzwyczajenia; najlepszy kanał to często ten, którego nie potrzebujesz.
• Udokumentuj kanał, aby jego cel i kierunek można było weryfikować w czasie.

06Gdzie mieszczą się zapory, diody i odłączanie

Różne kanały wymagają różnych mechanizmów kontroli. Model nie narzuca jednej technologii; nakazuje egzekwować każdy kanał w sposób odpowiedni dla przepływu i różnicy zaufania.

Kanał z zaporą

Dla nadzorowanego ruchu dwukierunkowego lub kierunkowego, który wymaga polityki, inspekcji i rejestrowania między strefami.

Kanał z diodą danych

Dla przepływów typu wyłącznie publikacja, gdzie strefa o wyższym zaufaniu wysyła dane na zewnątrz i żaden ruch nie powinien wracać tą ścieżką.

Kanał domyślnie odłączony

Dla przepływów potrzebnych tylko okresowo, gdzie kanał jest fizycznie otwarty wyłącznie podczas zatwierdzonych okien czasowych.

Dla kanałów, które powinny być domyślnie jednokierunkowe lub odłączone, obok zapór i diod danych można rozważyć wzorzec kontrolowanej łączności AIRGAPNET, tak aby mechanizm kontroli pasował do kanału, zamiast wtłaczać każdą granicę w ten sam schemat.

07Najczęstsze błędy

• Rysowanie stref na papierze przy pozostawianiu niekontrolowanych przejść w rzeczywistej sieci.
• Traktowanie każdego kanału jako problemu zapory, podczas gdy niektóre przepływy są jednokierunkowe lub okresowe.
• Przypisanie poziomów bezpieczeństwa raz i nierewidowanie ich w miarę zmian systemu.
• Pozwalanie, by kanały z czasem gromadziły przepływy, aż przestaną odzwierciedlać udokumentowany projekt.
• Zapominanie, że mechanizmy kontroli kanału mają własne płaszczyzny zarządzania, które również trzeba chronić.

Model jest wart tyle, ile dyscyplina za nim stojąca. Strefy i kanały sprawdzają się, gdy udokumentowany projekt i działająca sieć pozostają tym samym.

08Myśl na zakończenie

Strefy i kanały dają zespołom OT wspólny język segmentacji: grupuj według zaufania, łącz poprzez zdefiniowane ścieżki i dobieraj mechanizmy do konsekwencji. Przekształca to abstrakcyjny cel w konkretny, weryfikowalny projekt.

Zacznij od przepływów, przypisz uczciwe poziomy bezpieczeństwa i wybierz mechanizm pasujący do każdego kanału. Rezultatem jest architektura, którą potrafisz wyjaśnić, obronić i udowodnić.

FAQNajczęściej zadawane pytania

SRCŹródła referencyjne