“Endüstriyel iletişim ağları - Ağ ve sistem güvenliği” başlıklı IEC 62443 uluslararası standartlar serisi otomasyondaki BT güvenliğini ele alır. Konu yelpazesi risk analizinden, güvenli çalışma gereksinimlerine ve ürünlerin güvenli bir şekilde geliştirilmesine (tasarımla güvenlik) kadar uzanmaktadır. Sonuç olarak, IEC 62443 şu anda tesis operatörleri ve cihaz üreticilerine güvenliği etkin bir şekilde uygulamak için en iyi yönlendirme yardımını sunmaktadır.
Beş alanı dikkate alır: Temel güvenlik gereksinimleri, bölgelerin ve kanalların prensibi, güvenlik seviyeleri, güvenlik yaşam döngüsü ve risk analizi.
Güvenlik standardı serisi IEC 62443
“Endüstriyel iletişim ağları - Ağ ve sistem güvenliği” başlıklı IEC 62443 uluslararası standartlar serisi otomasyondaki BT güvenliğini ele alır. Konu yelpazesi risk analizinden, güvenli çalışma gereksinimlerine ve ürünlerin güvenli bir şekilde geliştirilmesine (tasarımla güvenlik) kadar uzanmaktadır. Sonuç olarak, IEC 62443 şu anda tesis operatörleri ve cihaz üreticilerine güvenliği etkin bir şekilde uygulamak için en iyi yönlendirme yardımını sunmaktadır.
Standardın önemli bölümlerine genel bakış:
|Bileşen üreticileri için||Sistem entegratörleri için||Operatörler için|
|62443-4-1 geliştirme süreci||62443-2-4 yönergeleri ve prosedürleri||62443-2-4 yönergeleri ve prosedürleri|
|62443-4-2 Bileşenin güvenlik işlevleri||62443-3-2 Otomasyon ve kontrol sistemleri için güvenlik işlevleri||62443-2-1 işletme ve servis|
|62443-3-3 Komple otomasyon ve kontrol sistemi için güvenlik işlevleri||


62443-3-3 komple otomasyon ve kontrol sistemi için güvenlik işlevleri
Temel güvenlik gereksinimleri
Temel güvenlik gereksinimleri (Temel gereksinimler) şunları içerir:
- Kimlik ve doğrulama
- Kullanım izleme
- Sistem bütünlüğü
- Veri gizliliği
- Sınırlı veri akışı
- Olaylara zamanında tepki
- Kaynakların mevcudiyeti
Bu temel gereksinimlerin her biri için, güvenlik önlemlerinin uygulanmasında temel olarak kullanılabilecek sistem gereksinimleri tanımlanmıştır.
Derinlemesine savunma
Model derinlemesine savunma ilkesine dayanmaktadır. Bu ilke, davetsiz misafirlerin yoluna mümkün olduğunca çok engel yerleştirmeye dayanmaktadır. Orta Çağ’da kaleler hendek, çukur tuzakları, köprü, kuleler ve çeşitli duvarlarla davetsiz misafirlerden korunuyordu.
Tesis güvenliği / erişim kontrolü
İlgili transponder anahtarlarıyla PITreader gibi tesis ve makinelere erişim izinlerini kontrol eden cihazlar ve teknolojiler.
Ağ güvenliği
Şüpheli ağ etkinliği durumunda alarm tetikleyen veya yanlış gönderici adresli IP paketlerinin gönderilip gönderilmediğini tespit eden mekanizmalar (IP sahtekarlığı).
Kontrol sistemi güvenliği
SecurityBridge gibi bir kontrol sistemini dışarıdan yetkisiz erişime karşı koruyan güvenlik duvarları.
Korunacak varlık
Örneğin, tesis ve makinelerdeki kontrol sistemleri ve ayrıca diğer bileşenler veya makine elemanları.
Güvenlik düzeyi
Güvenlik seviyeleri, tesis operatörlerinin veya üreticilerinin güvenlik önlemlerini kullanarak elde etmek istedikleri güvenlik seviyesini tanımlar. Bilgi, önceden bir risk değerlendirmesiyle sağlanır. Neyin korunacağını tanımlar ve bu varlığa saldırı olasılığını belirler. Güvenlik seviyesi (SL) buna göre seçilir. “Düşük kaynaklar, genel beceriler ve düşük motivasyon ile basit araçlar kullanarak kasıtlı ihlalden korunma” anlamındaki SL-2 bugün asgari bir standart olarak görülmelidir. Bu asgari standardı korumak için şirketin belirli bir güvenlik olgunluk seviyesine ihtiyacı vardır. En iyi güvenlik duvarı bile, bir şirketin çalışanları şifrelerini not defterlerine yazmaya ve bilgisayar ekranlarına yapıştırmaya devam etmeleri veya güncellemeler yapmamaları durumunda işe yaramaz. Bir şirket güvenlik konusuna ne kadar önem verirse, genel koruma o kadar yüksek olur. Bu nedenle genel bir güvenlik konsepti önemlidir. Uygulama güvenlik duvarı SecurityBridge genel bir konseptin parçası olarak yüksek güvenlik seviyesine katkıda bulunabilir.
Bir bakışta güvenlik seviyeleri:
Güvenlik Seviyesi 1: Geçici veya rastlantısal ihlallere karşı koruma
Güvenlik Seviyesi 2: Basit araçlarla kasıtlı ihlale karşı koruma.
Güvenlik Seviyesi 3: Gelişmiş araçlarla kasıtlı ihlallere karşı koruma
Güvenlik Seviyesi 4: Gelişmiş kaynaklar kullanarak karmaşık araçlarla kasıtlı ihlallere karşı koruma
Güvenlik riski değerlendirmesi
Güvenlik geliştirme süreci, genel ürün geliştirme sürecinin genişlemesidir. Standarda uygun geliştirme sürecinin temel özelliği (IEC 62443-4-1 - Güvenli ürün geliştirme yaşam döngüsü gereklilikleri uyarınca) risk değerlendirmesi yapmaktır. Bir ürünün “siber alandan” maruz kaldığı tehlikeleri ve riskleri ve bunları en aza indirmek için alınması gereken önlemleri ortaya koymaktadır.
Güvenlik risk değerlendirmesi her zaman aşağıdaki 6 adımda gerçekleştirilmelidir:
- Varlıkları tanımlayın: Neyi korumak istiyorum?
- Tehditleri analiz edin: Korumak istediğim varlığın riskleri nelerdir?
- İlgili koruma hedeflerini belirleyin: Hangi hedeflere ulaşmak istiyorum?
- Riskleri analiz edin ve değerlendirin: Bir riskin ortaya çıkma olasılığı nedir?
- Koruyucu önlemleri seçin ve uygulayın: Olası risklerden nasıl korunabilirim?
- Esneklik yönetimi: Bir saldırıdan sonra ne yapmalı? Şirkette güvenliği nasıl daha güçlü bir şekilde sağlayabilirim?
Güvenlik yaşam döngüsü
Güvenlik “hareketli bir hedeftir”, yani bir projenin yaşam döngüsü boyunca değişir. Saldırganlar savunma önlemlerinin üstesinden gelmek için giderek daha iyi yöntemler geliştirdiğinden, siber tehditlere karşı savunma önlemlerinin sürekli iyileştirilmesi gerekir. Bunun sorumluluğu öncelikle tesis operatörlerine aittir. Etkili bir güvenlik stratejisi, tesisinizin hizmet ömrünü artırabilir. Makine üreticileri ve bileşen üreticileri operatörleri hemen yeni emniyet sorunları hakkında bilgilendirmelidir. Müşterilerin tüm zayıf noktaları gidermesini sağlamak için cihazınıza yazılım güncellemeleri sağlamalısınız. Sistem entegratörleri sürece dahil olduysa, üretici ve operatör arasında aracı görevi görürler. Katılan herkesin, tüm ürün yaşam döngüsü boyunca yakın işbirliği içinde çalışması önemlidir. Ancak bu şekilde yüksek derecede koruma sağlayacaktır.