IEC 62443

IEC 62443 — это серия международных стандартов, разработанных Международной электротехнической комиссией (IEC), которая устанавливает требования к кибербезопасности систем промышленной автоматизации и управления (IACS). Стандарты серии IEC 62443 охватывают весь жизненный цикл промышленных систем — от проектирования и внедрения до эксплуатации и вывода из эксплуатации, и предназначены для защиты от киберугроз, связанных с нарушением конфиденциальности, целостности и доступности данных и процессов. Серия является развитием более раннего стандарта ANSI/ISA-99, разработанного Международным обществом автоматизации (ISA), и в настоящее время признана в качестве базового набора требований для обеспечения кибербезопасности в промышленности, энергетике, на транспорте и в других критически важных инфраструктурах.

История и развитие

Разработка стандартов серии IEC 62443 началась в середине 2000-х годов как ответ на рост числа кибератак на промышленные объекты, в том числе на атомные электростанции, нефтеперерабатывающие заводы и системы управления транспортом. Первоначально работы велись в рамках комитета ISA-99, который в 2007 году выпустил стандарт ANSI/ISA-99.00.01, ставший основой для будущей серии IEC. В 2010 году Международная электротехническая комиссия приняла решение о создании технического комитета IEC/TC 65 «Промышленные процессы, измерения, управление и автоматизация», который взял на себя задачу по адаптации и стандартизации документов ISA в международном формате. Первый стандарт серии, IEC 62443-1-1, был опубликован в 2009 году. К 2023 году серия насчитывает более 20 частей, охватывающих общие концепции, терминологию, требования к системам, компонентам, а также методы оценки и сертификации.

Структура и основные части серии

Серия IEC 62443 делится на четыре основных блока, каждый из которых имеет свой номер и назначение:

• IEC 62443-1 (Общие положения) — включает терминологию, концепции, модели угроз и методологии оценки рисков. В частности, IEC 62443-1-1 определяет основные понятия, такие как «система промышленной автоматизации и управления», «зона безопасности» и «канал безопасности».
• IEC 62443-2 (Политики и процедуры) — содержит требования к управлению кибербезопасностью на уровне организации, включая разработку политик, обучение персонала, управление инцидентами и аудит. Ключевой частью является IEC 62443-2-1, которая устанавливает требования к системе управления кибербезопасностью (CSMS).
• IEC 62443-3 (Требования к системам) — фокусируется на технических требованиях к архитектуре систем безопасности, включая сегментацию сети, применение межсетевых экранов, систем обнаружения вторжений и управление доступом. IEC 62443-3-3 описывает требования к безопасности системного уровня, такие как аутентификация, авторизация, целостность данных и конфиденциальность.
• IEC 62443-4 (Требования к компонентам) — устанавливает требования к разработке, тестированию и сертификации отдельных компонентов IACS, включая программируемые логические контроллеры (ПЛК), удалённые терминальные устройства (RTU), датчики, исполнительные механизмы и программное обеспечение. IEC 62443-4-1 определяет требования к процессу разработки безопасного программного обеспечения (Secure Development Lifecycle, SDL), а IEC 62443-4-2 — требования к безопасности самих компонентов.

Ключевые концепции

Уровни безопасности (Security Levels, SL)

Одной из центральных концепций IEC 62443 является классификация уровней безопасности (SL) от SL 0 до SL 4, которые определяют степень защиты от киберугроз:

• SL 0 — отсутствие специальных мер защиты.
• SL 1 — защита от случайных или непреднамеренных нарушений (например, ошибки оператора).
• SL 2 — защита от простых, целенаправленных атак с использованием общедоступных инструментов.
• SL 3 — защита от сложных, целенаправленных атак с использованием специализированных инструментов и знаний.
• SL 4 — защита от целенаправленных атак с использованием ресурсов, доступных только государственным или крупным корпоративным структурам.

Каждый уровень безопасности соответствует определённому набору функциональных требований (FR) и требований к обеспечению (SAR). Уровень SL 4 является наивысшим и применяется, как правило, на объектах критической инфраструктуры, таких как атомные электростанции или системы управления вооружением.

Зоны и каналы безопасности (Zones and Conduits)

Модель «зоны и каналы» (Zones and Conduits) является архитектурным принципом, на котором строится безопасность IACS. Зона безопасности — это логическая или физическая группа активов (устройств, сетей, систем), имеющих одинаковые требования к безопасности. Канал безопасности — это путь передачи данных между зонами, который должен быть защищён с помощью межсетевых экранов, шифрования, аутентификации и других мер. Например, зона управления технологическим процессом (уровень 1) может быть отделена от зоны корпоративной сети (уровень 4) через канал безопасности с использованием промышленного межсетевого экрана и VPN.

Роли и ответственность

Стандарт определяет несколько ключевых ролей в процессе обеспечения кибербезопасности:

• Владелец актива (Asset Owner) — организация, владеющая и эксплуатирующая систему IACS.
• Интегратор (Integration Service Provider) — компания, проектирующая и внедряющая систему.
• Поставщик (Product Supplier) — производитель компонентов и программного обеспечения.
• Оператор (Operator) — персонал, непосредственно управляющий системой.

Каждая роль несёт ответственность за определённые аспекты безопасности: владелец актива — за политики и управление рисками, интегратор — за архитектуру и конфигурацию, поставщик — за безопасность разработки и тестирование компонентов.

Применение

Стандарты IEC 62443 применяются в широком спектре отраслей, где используются системы промышленной автоматизации и управления:

• Энергетика — защита систем управления электростанциями, подстанциями, распределительными сетями и системами учёта электроэнергии.
• Нефтегазовая промышленность — обеспечение безопасности буровых платформ, нефтеперерабатывающих заводов, трубопроводов и систем управления добычей.
• Химическая промышленность — защита систем управления химическими реакторами, системами смешивания и дозирования.
• Водоснабжение и водоотведение — безопасность систем управления очистными сооружениями, насосными станциями и распределительными сетями.
• Транспорт — защита систем управления железнодорожным движением, метрополитеном, аэропортами и портами.
• Производство — безопасность систем управления конвейерами, роботизированными линиями и системами контроля качества.

Сертификация

IEC 62443 предусматривает возможность сертификации как компонентов, так и систем. Сертификация проводится аккредитованными лабораториями и органами по сертификации, которые проверяют соответствие продукта или системы требованиям соответствующих частей стандарта. Наиболее распространённой является сертификация по IEC 62443-4-2 (компоненты) и IEC 62443-3-3 (системы). Сертификация подтверждает, что продукт или система прошли независимую оценку и соответствуют заявленному уровню безопасности (SL). Наличие сертификата часто является обязательным требованием для участия в тендерах на поставку оборудования для критической инфраструктуры в ряде стран, включая страны Европейского союза и Россию.

Критика и ограничения

Несмотря на широкое признание, серия IEC 62443 подвергается критике по нескольким направлениям:

• Сложность и объём — стандарт состоит из множества частей, что затрудняет его внедрение малыми и средними предприятиями, не имеющими специализированных отделов кибербезопасности.
• Стоимость внедрения — требования к сегментации сети, использованию сертифицированных компонентов и проведению аудитов могут быть дорогостоящими, особенно для устаревших систем.
• Фокус на технические меры — критики отмечают, что стандарт недостаточно учитывает человеческий фактор (например, социальную инженерию) и организационные аспекты безопасности.
• Недостаточная гибкость — для некоторых отраслей, таких как атомная энергетика, требования IEC 62443 могут быть избыточными или, наоборот, недостаточными, что требует дополнительных отраслевых стандартов (например, МАГАТЭ для атомных станций).

Влияние на законодательство

Стандарты IEC 62443 оказали значительное влияние на национальное и международное законодательство в области кибербезопасности промышленных систем. В России требования, основанные на IEC 62443, были адаптированы в ряде нормативных документов, в том числе в приказах Федеральной службы по техническому и экспортному контролю (ФСТЭК России) и в стандартах «Системы управления безопасностью промышленных объектов» (ГОСТ Р). В Европейском союзе стандарт используется как основа для сертификации систем управления в соответствии с Директивой NIS 2 (Network and Information Security Directive). В США стандарт ANSI/ISA-99, предшественник IEC 62443, является обязательным для объектов критической инфраструктуры, регулируемых Агентством по кибербезопасности и безопасности инфраструктуры (CISA).

Источники

• IEC 62443-1-1:2009 «Industrial communication networks — Network and system security — Part 1-1: Terminology, concepts and models»
• IEC 62443-2-1:2010 «Industrial communication networks — Network and system security — Part 2-1: Establishing an industrial automation and control system security program»
• IEC 62443-3-3:2013 «Industrial communication networks — Network and system security — Part 3-3: System security requirements and security levels»
• IEC 62443-4-1:2018 «Security for industrial automation and control systems — Part 4-1: Secure product development lifecycle requirements»
• IEC 62443-4-2:2019 «Security for industrial automation and control systems — Part 4-2: Technical security requirements for IACS components»
• ISA-99.00.01-2007 «Security for Industrial Automation and Control Systems: Concepts, Terminology and Models»
• «Cybersecurity for Industrial Automation and Control Systems» — International Society of Automation (ISA), 2020
• «Руководство по применению стандартов IEC 62443» — Федеральная служба по техническому и экспортному контролю (ФСТЭК России), 2022