IT-säkerhet i industrin

2019-06-12

Månadens standard juni 2019

Tre nya delar av standarden för IT-säkerhet i industriella automationssystem har blivit svensk standard nu i juni. Det är SS-EN IEC 62443-2-4 om IT-säkerhetsprogram för dem som tillhandahåller tjänster för industriella automationssystem,  SS‑EN IEC 62443‑3‑3 som beskriver skyddsnivåer i nät och system och SS‑EN IEC 62443‑4‑2 med tekniska säkerhetsfordringar på systemkomponenter. 

Den internationella standarden IEC 62443 är mer teknik- och lösningsorienterad än de mer generella ledningssystemstandarderna i serien ISO/IEC 27000. Den är tänkt för automation och processtyrning i industri och teknisk infrastruktur och fokuserar på hur man gör för att uppnå det önskade skyddet, som förstås beror på vilken nivå som valts för de olika delarna av systemet. 

IEC 62443 är ett internationellt projekt, där allt fler delar också antas som europeisk och svensk standard, SS-EN. Intresserade svenska företag, högskolor, myndigheter och organisationer är välkomna att delta genom den svenska spegelkommittén SEK TK 65, Industriell processtyrning inom SEK Svensk Elstandard. Andra aktuella projekt där är IEC 62832 om virtuella modeller och IEC/IEEE 60802 om time-sensitive networks (TSN).

SS-EN IEC 62443-3-3 innehåller detaljerade systemfordringar i anslutning till de sju grundläggande fordringar som standarden bygger på och som beskrivs i den första delen, IEC 62443-1-1. De sju är kontroll av åtkomst (access) och användning (use), skydd mot avlyssning och ändring av data (confidentiality och integrity) och skydd mot obehörig publicering (restricted data flow) samt snabbt ingripande om något händer (timely response) och upprätthållande av tillgängligheten (resource availability).

Fordringarna på säkerheten är satta i fyra nivåer. De beror på vilken grad av skydd som behövs – förutom nivån 0 som inte ger någon säkerhet alls och som därför inte räknas. Nivån SL 1 ska förhindra obehörigt utlämnande av information genom tjuvlyssning eller tillfällig avlyssning medan den högsta nivån, SL 4, ska förhindra att information obehörigen lämnas till någon som aktiv söker efter den med kvalificerade medel och omfattande resurser, och som har stark motivation och kunskaper om industriella styrsystem.

För var och en av systemfordringarna finns en grundnivå och i flera fall fordringar för förhöjda nivåer som ska öka säkerheten. Standarden ger motivering och vägledning för varje grundnivå och information om de eventuella nivåhöjningarna. För att realisera skyddet i systemet arbetar standarden också med begreppen zoner (zones) och kanaler (conduits) som förbinder zoner med samma skyddsnivå.

Serien IEC 62443 har en viss koppling till ”SIL-standarderna” IEC 61508 och IEC 61511 om säkerhetskritiska system, men behandlar egentligen inte det fysiska skyddet. Där finns det andra standarder, t ex delar av SS-EN 50600 för serverrum och SS-EN 50174 för datainstallationer. 

SS-EN 62443-4-2 utvidgar sedan systemfordringarna i del -3-3 till fordringar på de enskilda komponenterna i systemet. Olika typer av systemkomponenter kan behöva skyddas på olika sätt, t ex appar och nätverksenheter, och detta behandlas utförligt. 

Ladda ner preview här på SS-EN IEC 62443-3-3, IT-säkerhet i industriella automationssystem – Del 3-3: IT-säkerhet i nät och system - Fordringar på systemets säkerhet och på säkerhetsnivåer. 

Bakgrundsinformation och en uppfattning om standardernas innehåll och omfattning kan man få med hjälp av funktionen SEK Preview. Särskilt de båda delarna -3-3 och -4-2 har innehållsförteckningar som ger en god bild av innehållet och av hur det är strukturerat. I inledningen i den senare finns också en aktuell översikt över standardens olika delar. Ladda ner preview här på SS-EN IEC 62443-2-4, IT-säkerhet i industriella automationssystem – Del 2-4: Fordringar på IT-säkerhetsprogram för dem som tillhandahåller tjänster för industriella automationssystem. 

IEC 62443 bygger till mycket stor del på det amerikanska arbetet i 
ISA 99, som genom en överenskommelse mellan ISA och IEC tagits om hand i IEC TC 65 för att också kunna accepteras och ges ut som internationell standard. Därmed blir de också fastställda som nationella standarder i många länder, till exempel i Sverige och 33 andra europeiska länder. 

Ladda ner preview här på SS-EN IEC 62443-4-2, IT-säkerhet i industriella automationssystem – Del 4-2: Tekniska säkerhetsfordringar på komponenter i industriella automationssystem.

Den som inte deltar i arbetet genom SEK Svensk Elstandard, utan bara läser och använder standarderna, kan enkelt ha sitt standardbibliotek uppdaterat och lätt tillgängligt på nätet. Läs mer om SEK e-standard.

Hösten 2018 fastställdes SS-EN IEC 62443-4-1, som innehåller säkerhetsfordringar under produktutvecklingens livscykel. Läs mer om SS-EN IEC 62443-4-1 i en tidigare nyhet.