工業(yè)網(wǎng)絡(luò)安全I(xiàn)EC 62443認(rèn)證

    隨著工業(yè)自動(dòng)化和控制系統(tǒng)(Industry Automation & Control System, 簡稱IACS)與運(yùn)營技術(shù)(OT)的數(shù)字化和互聯(lián)化，傳統(tǒng)封閉的工業(yè)環(huán)境逐漸暴露于網(wǎng)絡(luò)攻擊之下。2010年“震網(wǎng)”(Stuxnet)病毒攻擊伊朗核設(shè)施事件，揭示了關(guān)鍵基礎(chǔ)設(shè)施的脆弱性，迫使全球重新審視工業(yè)網(wǎng)絡(luò)安全。然而，傳統(tǒng)IT安全標(biāo)準(zhǔn)（如ISO 27001）難以應(yīng)對OT場景的獨(dú)特需求（如實(shí)時(shí)性、設(shè)備長生命周期、物理安全耦合等）。為此，國際電工委員會(huì)(IEC)聯(lián)合行業(yè)專家制定IEC 62443標(biāo)準(zhǔn)，旨在為工業(yè)自動(dòng)化和控制系統(tǒng)(IACS)提供定制化安全框架，填補(bǔ)行業(yè)空白，并于2009年發(fā)布首版，后續(xù)持續(xù)迭代以適應(yīng)新興威脅。
 
IEC 62443標(biāo)準(zhǔn)統(tǒng)一了工業(yè)網(wǎng)絡(luò)安全術(shù)語和方法論，推動(dòng)能源、制造、交通等行業(yè)建立可落地的安全體系，例如通過“安全等級(SL)”量化防護(hù)目標(biāo)，指導(dǎo)企業(yè)按需投資。同時(shí)要求設(shè)備供應(yīng)商（如PLC制造商）和系統(tǒng)集成商遵循安全開發(fā)流程(IEC 62443-4-1)，從源頭減少漏洞，提升工業(yè)產(chǎn)品全生命周期安全性。并且與NIST SP 800-82, ISO 27001等標(biāo)準(zhǔn)互補(bǔ)，形成跨領(lǐng)域解決方案。IEC 62443已成為全球工業(yè)項(xiàng)目招投標(biāo)的常見要求（如歐洲能源設(shè)施），第三方認(rèn)證（如TüV）加速了市場對可信產(chǎn)品和服務(wù)的篩選。企業(yè)獲得IEC 62443的認(rèn)證將得以強(qiáng)化安全防護(hù)能力，獲得合規(guī)與市場準(zhǔn)入優(yōu)勢，接入提升商業(yè)競爭力。
 
IEC 62443的誕生標(biāo)志著工業(yè)網(wǎng)絡(luò)安全從“被動(dòng)響應(yīng)”轉(zhuǎn)向“主動(dòng)防護(hù)”，通過標(biāo)準(zhǔn)化方法論和技術(shù)要求，為全球關(guān)鍵基礎(chǔ)設(shè)施筑起動(dòng)態(tài)防御屏障，成為工業(yè)4.0時(shí)代不可或缺的安全基石。

什么是IEC 62443？

為降低工業(yè)通訊網(wǎng)絡(luò)中存在的風(fēng)險(xiǎn)，國際標(biāo)準(zhǔn)IEC 62443對工業(yè)信息安全提供了結(jié)構(gòu)性方法。該標(biāo)準(zhǔn)原本是針對工業(yè)自動(dòng)化及控制系統(tǒng)供應(yīng)鏈開發(fā)的。如今，該標(biāo)準(zhǔn)已成為各個(gè)行業(yè)的各類工廠、設(shè)施和系統(tǒng)普遍采用的工業(yè)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)適用于部件供應(yīng)商、系統(tǒng)集成商以及資產(chǎn)所有者。

通過一系列明確的過程要求，該標(biāo)準(zhǔn)旨在以一種結(jié)構(gòu)化的方式，處理所有的相關(guān)信息安全問題。包括涵蓋技術(shù)參數(shù)制定、集成、運(yùn)行、維護(hù)和停運(yùn)各個(gè)階段的系統(tǒng)化網(wǎng)絡(luò)安全方法。此外，該標(biāo)準(zhǔn)預(yù)期建立相關(guān)過程以實(shí)現(xiàn)所有必要的技術(shù)信息安全功能。IEC 62443可根據(jù)相關(guān)的項(xiàng)目范圍進(jìn)行調(diào)整，從而為實(shí)現(xiàn)產(chǎn)品和系統(tǒng)全生命周期的信息安全奠定了基礎(chǔ)。

執(zhí)行IEC 62443也提升了供應(yīng)商和系統(tǒng)集成商的競爭力：第三方認(rèn)證可向資產(chǎn)所有者和運(yùn)營者證明其采購的部件或系統(tǒng)是基于系統(tǒng)化的清晰的信息安全方法構(gòu)建的，符合行業(yè)最佳實(shí)踐的要求。

IEC 62443 標(biāo)準(zhǔn)介紹：

2005年，國際自動(dòng)化學(xué)會(huì)(International Society of Automation)ISA成立了ISA99 -工業(yè)自動(dòng)化和控制系統(tǒng)安全委員會(huì)，負(fù)責(zé)制定工業(yè)自動(dòng)化和控制系統(tǒng) (Industry Automation & Control System)的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。2007年，ISA99與IEC TC 65 WG 10成立聯(lián)合工作組，共同制定并繼續(xù)開發(fā)ISA/IEC 62443系列標(biāo)準(zhǔn)和技術(shù)報(bào)告(Technical Report，TR)，并陸續(xù)發(fā)布了IEC 62443系列標(biāo)準(zhǔn)。2018年底，聯(lián)合國歐洲經(jīng)濟(jì)委員會(huì)(UNECE)在其年會(huì)上確認(rèn)，將把廣泛使用的ISA/IEC 62443系列納入其即將推出的網(wǎng)絡(luò)安全共同監(jiān)管框架(CRF)。CRF將作為聯(lián)合國在歐洲的官方政策立場聲明，為歐盟貿(mào)易市場內(nèi)的網(wǎng)絡(luò)安全實(shí)踐建立一個(gè)共同的立法基礎(chǔ)。IEC 62443 逐漸成為國際通行的工控網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，并在不同工業(yè)行業(yè)和領(lǐng)域?qū)崿F(xiàn)了應(yīng)用。我國由也由全國工業(yè)過程測量和控制標(biāo)準(zhǔn)化技術(shù)委員會(huì)在開展相關(guān)標(biāo)準(zhǔn)的全國性標(biāo)準(zhǔn)化技術(shù)工作。

IEC 62443工業(yè)自動(dòng)化和控制系統(tǒng)安全作為一個(gè)國際標(biāo)準(zhǔn)，全面涵蓋了自動(dòng)化領(lǐng)域的信息安全問題，正逐步被越來越多的國際制造商、系統(tǒng)集成商、運(yùn)維商、業(yè)主、設(shè)計(jì)單位所采用，以確保其產(chǎn)品、系統(tǒng)在整個(gè)生命周期中的網(wǎng)絡(luò)安全。為工廠運(yùn)營商和設(shè)備制造商有效實(shí)施安全防護(hù)提供了方向性指導(dǎo)，IEC 62443 系列標(biāo)準(zhǔn)一共分為四個(gè)部分，共計(jì)十四個(gè)文檔。


第一部分描述了工業(yè)自動(dòng)化和控制系統(tǒng)（IACS）信息安全的通用方面，如術(shù)語、概念、模型、縮略語、系統(tǒng)符合性度量及工控設(shè)備的安全生命周期。

第二部分描述了針對用戶的信息安全程序，主要包括建立IACS安全管理系統(tǒng)的要求、安全管理系統(tǒng)實(shí)施指南、環(huán)境中補(bǔ)丁更新管理 以及IACS 供應(yīng)商的安裝和維護(hù)要求。

第三部分描述了針對系統(tǒng)集成商保護(hù)系統(tǒng)所需的技術(shù)性信息安全要求。它主要是系統(tǒng)集成商在把系統(tǒng)組裝到一起時(shí)需要處理的內(nèi)容。包括將整體工業(yè)自動(dòng)化控制系統(tǒng)設(shè)計(jì)分配到各個(gè)區(qū)域(Zone)和管道 (Conduit) 的方法，以及安全等級(Security Level)的定義和要求。

第四部分描述了針對制造商提供的單個(gè)部件的技術(shù)性信息安全要求。包括系統(tǒng)的硬件、軟件和信息部分，以及當(dāng)開發(fā)或獲取這些類型的部件時(shí)需要考慮的特定技術(shù)性信息安全要求。

目前應(yīng)用較多的子標(biāo)準(zhǔn)，介紹如下：

● IEC 62443-1-1：術(shù)語、概念和模型，該技術(shù)規(guī)范介紹了整個(gè)IEC 62443系列標(biāo)準(zhǔn)所使用的概念和模型，特別描述了IEC 62443系列標(biāo)準(zhǔn)所涉及的基礎(chǔ)要求，用來組織整個(gè)系列的技術(shù)要求。

● IEC 62443-2-1：建立工業(yè)自動(dòng)化和控制系統(tǒng)安全程序，該國際標(biāo)準(zhǔn)規(guī)定了對IACS資產(chǎn)所有者的要求，如何實(shí)施安全有效的安全程序。安全程序必須適用于IACS安全操作的安全功能，這些安全功能的實(shí)施通常需要服務(wù)提供商和產(chǎn)品供應(yīng)商的支持。然而，資產(chǎn)所有者仍然對IACS的安全負(fù)責(zé)。

● IEC 62443-2-4 IACS服務(wù)提供商的安全程序要求，該國際標(biāo)準(zhǔn)為集成或維護(hù)IACS相關(guān)的所有類型的服務(wù)提供商詳細(xì)規(guī)定了一套全面的安全能力要求。由于多數(shù)安全要求與具體行業(yè)和領(lǐng)域相關(guān)，該標(biāo)準(zhǔn)提供了“配置文件”的開發(fā)，可用于解決具體行業(yè)和領(lǐng)域特定環(huán)境的安全特征。

● IEC 62443-3-2 系統(tǒng)設(shè)計(jì)的安全風(fēng)險(xiǎn)評估，該國際標(biāo)準(zhǔn)規(guī)定了設(shè)計(jì)IACS系統(tǒng)的要求，將系統(tǒng)(SuC)劃分為區(qū)域(Zone)和管道(Conduit)，評估每個(gè)區(qū)域和管道的風(fēng)險(xiǎn)，并建立各自的目標(biāo)安全等級。

● IEC 62443-3-3 系統(tǒng)安全要求和安全等級，該國際標(biāo)準(zhǔn)定義了適用于自動(dòng)化和控制系統(tǒng)的網(wǎng)絡(luò)安全要求。這些安全要求基于IEC 62443-1-1中定義的7個(gè)基本要求(FR1-7)，包括①標(biāo)識和鑒別控制；

②使用控制；

③系統(tǒng)完整性；

④數(shù)據(jù)保密性；

⑤受限的數(shù)據(jù)流；

⑥對事件的及時(shí)響應(yīng)；

⑦資源可用性。IEC 62443-3-3中的安全等級(Security Level)是IEC 62443-3-2網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估的輸出。

● IEC 62443-4-1 安全產(chǎn)品的開發(fā)生命周期要求， 該國際標(biāo)準(zhǔn)描述了與工業(yè)自動(dòng)化和控制系統(tǒng)環(huán)境中適用的產(chǎn)品、網(wǎng)絡(luò)安全有關(guān)的產(chǎn)品的開發(fā)生命周期要求。該標(biāo)準(zhǔn)中涉及的產(chǎn)品生命周期包括安全管理、安全需求、安全設(shè)計(jì)、安全實(shí)施、驗(yàn)證和確認(rèn)、缺陷管理、安全升級/補(bǔ)丁管理和安全指南等注意事項(xiàng)。

● IEC 62443-4-2 IACS組件的技術(shù)安全要求，該國際標(biāo)準(zhǔn)將IEC 62443-3-3中提出的安全要求和安全等級應(yīng)用于IACS組件，這些組件類型包括應(yīng)用軟件、嵌入式設(shè)備(如PLC)、網(wǎng)絡(luò)設(shè)備(如防火墻)、主機(jī)設(shè)備。該標(biāo)準(zhǔn)的目的是規(guī)定組件的安全能力，以減輕特定安全級別的威脅，而無需額外采取特定的安全補(bǔ)償措施和對策。

證書樣本：