ISA/IEC 62443:

Übersicht

ISA/IEC 62443 ist eine internationale Normenreihe für Cybersicherheit in industriellen Automatisierungs- und Steuerungssystemen (IACS), die Sicherheitsanforderungen über den gesamten OT-Lebenszyklus hinweg definiert, von eingebetteten Komponenten über die Systemintegration bis hin zum laufenden Betrieb.  

In der Praxis verlangt der Standard von den Herstellern die Implementierung einer authentifizierten Gerätekommunikation, eines kryptografisch geschützten Datenverkehrs in der Steuerungsebene sowie eines formal verwalteten Schlüssellebenszyklus, der je nach Schwere der möglichen Folgen einer Kompromittierung den Sicherheitsstufen SL 1 bis SL 4 entspricht. 

Warum das wichtig ist 

Jedes Unternehmen, das IACS betreibt, OT-Systeme für andere integriert oder vernetzte Industriekomponenten liefert, fällt in den Geltungsbereich, und die Anforderungen an die Lieferkette führen zunehmend dazu, dass Compliance-Verpflichtungen auf vorgelagerte Anbieter und Komponentenlieferanten weitergegeben werden. 

Die Konformität mit ISA/IEC 62443 wird zunehmend zu einer geschäftlichen Voraussetzung und ist nicht mehr nur eine reine Abhakübung. Die Beschaffungsrahmenwerke der EU und Nordamerikas für kritische Infrastrukturen und Lieferketten im Verteidigungsbereich verlangen den nachgewiesenen Nachweis der OT-Sicherheit, und Cyberversicherer beginnen, die ISASecure-Zertifizierung als Voraussetzung für den Versicherungsschutz zu betrachten. Damit wird die Einhaltung der Vorschriften zu einem direkten Faktor für den Gewinn von Aufträgen, den Zugang zur Lieferkette und günstige Versicherungskonditionen. 

Wie sich dies auf die Kryptografie übertragen lässt 

Die Norm SA/IEC 62443 befasst sich mit Kryptografie auf Komponenten-, System- und Betriebsebene. Die wichtigsten Kontrollfamilien mit direkten kryptografischen Auswirkungen sind: 

Prüfungsbereitschaft 

Bei Konformitätsbewertungen gemäß ISA/IEC 62443 – unabhängig davon, ob diese intern, von Kunden oder von akkreditierten Zertifizierungsstellen durchgeführt werden – liegt der Schwerpunkt auf dem Nachweis der umgesetzten Kontrollmaßnahmen und nicht allein auf der Dokumentation von Richtlinien. Zu den wichtigsten Bereichen, die Prüfer und Auditoren untersuchen, gehören: 

• Dokumentation zu Zonen und Übertragungskanälen: Hatdie Organisation alle IACS-Komponenten den Sicherheitszonen zugeordnet, das angestrebte und das erreichte Sicherheitsniveau für jede Zone dokumentiert und Übertragungskanäle mit angemessenem kryptografischem Schutz definiert?  

• Bestandsaufnahme der kryptografischen Algorithmen: Kanndie Organisation die in allen IACS-Komponenten verwendeten kryptografischen Algorithmen auflisten?  

• Lebenszyklus der Geräteidentität: Wiewerden Gerätezugangsdaten (Zertifikate, Schlüssel) bereitgestellt, erneuert und widerrufen, und ist dies dokumentiert?  

• Bewertung von Komponenten von Drittanbietern: WerdenKomponenten von Anbietern auf die Einhaltung der Sicherheitsanforderungen gemäß ISA/IEC 62443-4-2 geprüft, einschließlich ihrer kryptografischen Funktionen?  

• Dokumentation zur Schlüsselverwaltung: Sinddie Verfahren zur kryptografischen Schlüsselverwaltung dokumentiert und in die Praxis umgesetzt?  

• Patches und kryptografische Flexibilität: Verfügtdie Organisation über einen Prozess zur Aktualisierung kryptografischer Kontrollmaßnahmen, wenn Algorithmen als veraltet gelten oder Schwachstellen entdeckt werden? 

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Unsere Fabriken werden durch vernetzte Systeme betrieben, die reale physikalische Prozesse steuern, und die Norm ISA/IEC 62443 legt die Sicherheitsstandards für all dies fest. Das bedeutet, dass sichergestellt werden muss, dass Geräte ihre Identität nachweisen können, dass Befehle während der Übertragung nicht manipuliert werden können und dass wir tatsächlich wissen, wo sich alle unsere kryptografischen Zugangsdaten auf Tausenden von Endpunkten befinden.

Wenn wir nicht nachweisen können, dass unsere OT-Umgebung über eine ordnungsgemäße Zertifikatsverwaltung und authentifizierte Kommunikation verfügt, sind wir nicht nur den Aufsichtsbehörden und Kunden ausgesetzt, die dies zunehmend fordern, sondern auch den Versicherern, die dies allmählich zu einer Voraussetzung für den Versicherungsschutz machen. Wir müssen auch über die Zukunft nachdenken: Unsere OT-Systeme werden 15 bis 25 Jahre lang in Betrieb sein, und die kryptografischen Entscheidungen, die wir heute treffen, müssen über die gesamte Lebensdauer dieser Anlagen Bestand haben.