Security Level-Bestimmung gemäß IEC 62443
Bewertung des Sicherheitsniveaus der OT-Systeme der Maschine
Der Security Level ist
eine Frage des Kontexts
Die Norm IEC 62443 bietet ein strukturiertes Referenzsystem zur Beurteilung der Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie auf eine Maschine anzuwenden bedeutet zu verstehen, ob die eingesetzten technischen Maßnahmen dem Betriebskontext und den potenziellen Auswirkungen auf den Produktionsprozess angemessen sind. Der Service zur Security Level-Bestimmung ermöglicht die Bewertung des auf der Maschine tatsächlich implementierten Sicherheitsniveaus und zeigt Konstruktionsmängel, architektonische Grenzen und nicht erfüllte Anforderungen gegenüber der Norm IEC 62443 auf.
In welchen Situationen ist er erforderlich
Der Service empfiehlt sich wenn:
- Das Sicherheitsniveau der OT-Systeme der Maschine strukturiert bewertet werden soll;
- Die implementierten Maßnahmen mit den Anforderungen der IEC 62443 verglichen werden müssen;
- Architektonische Grenzen identifiziert werden sollen, die die Betriebskontinuität und Zuverlässigkeit beeinträchtigen können;
- Eine technische Referenz für die Planung von Sicherheitsverbesserungsmaßnahmen erforderlich ist.
Wie die Security Level-Bestimmung gemäß IEC 62443 durchgeführt wird
Die Tätigkeit ist gemäß IEC 62443-3-3 und IEC 62443-3-2 strukturiert.
- Definition des OT-Perimeters der Maschine mit Erfasssung der Assets, Kommunikationsnetzwerke, Steuerungsgeräte und Schnittstellen mit externen Systemen;
- Einordnung des Sicherheitskontexts und qualitative Bewertung der Auswirkungen von Sicherheitsereignissen auf den Maschinenbetrieb und die Anlagenverfügbarkeit;
- Überprüfung der Anforderungen der IEC 62443-3-3, mit Bezug auf die sieben Foundational Requirements wie Identifikations- und Authentifizierungskontrolle, Nutzungskontrolle, Systemintegrität, Datenvertraulichkeit, Einschränkung von Datenflüssen, Reaktion auf Ereignisse und Ressourcenverfügbarkeit.
HINWEIS: Die Bewertung umfasst keine fortgeschrittene Bedrohungsmodellierung und keine Simulation von Angriffsszenarien.
Was wir liefern
Am Ende der Tätigkeit wird Folgendes bereitgestellt:
- Bestimmung des von der Maschine erreichbaren Security Level (Capability SL);
- Identifikation des erforderlichen Security Level (Target SL) in Abhängigkeit vom Kontext;
- Identifikation nicht erfüllter Anforderungen;
- Klare und strukturierte technische Empfehlungen für etwaige Anpassungs- und Sicherheitsverbesserungsmaßnahmen.
