Determinación del Security Level según IEC 62443
Evaluación del nivel de seguridad de los sistemas OT de la máquina
El Security Level es una cuestión de contexto
La norma IEC 62443 proporciona un referencial estructurado para evaluar la seguridad de los sistemas de automatización y control industriales. Aplicarla a una máquina significa comprender si las medidas técnicas adoptadas son adecuadas al contexto operativo y a los posibles impactos en el proceso productivo. El servicio de determinación del Security Level permite evaluar el nivel de seguridad efectivamente implementado en la máquina, poniendo de manifiesto deficiencias de diseño, limitaciones arquitectónicas y requisitos no cumplidos respecto a la norma IEC 62443.
En qué situaciones es necesario
El servicio está indicado cuando:
- Se desea evaluar de forma estructurada el nivel de seguridad de los sistemas OT de la máquina;
- Es necesario comparar las medidas implementadas con los requisitos IEC 62443;
- Se desea identificar limitaciones arquitectónicas que puedan afectar a la continuidad operativa y la fiabilidad;
- Se requiere una referencia técnica para planificar actividades de mejora de la seguridad.
Cómo se realiza la actividad
La actividad está estructurada según las referencias IEC 62443-3-3 e IEC 62443-3-2.
- Definición del perímetro OT de la máquina, con mapeo de activos, redes de comunicación, dispositivos de control e interfaces con sistemas externos;
- Encuadramiento del contexto de seguridad y evaluación cualitativa de los impactos de los eventos de seguridad en el funcionamiento de la máquina y la operatividad de la instalación;
- Verificación de los requisitos IEC 62443-3-3, con referencia a los siete Foundational Requirements como el control de identificación y autenticación, el control de uso, la integridad del sistema, la confidencialidad de los datos, la restricción del flujo de datos, la respuesta a eventos y la disponibilidad de recursos.
NOTA: La evaluación no incluye modelado avanzado de atacantes ni simulaciones exhaustivas de escenarios de ataque.
Qué entregamos
Al término de la actividad se proporciona:
- Determinación del Security Level alcanzable por la máquina (Capability SL);
- Identificación del Security Level requerido (Target SL) en función del contexto;
- Identificación de los requisitos no cumplidos;
- Recomendaciones técnicas claras y estructuradas para posibles actividades de adecuación y mejora de la seguridad.
