EN IEC 62443 — kybernetická bezpečnosť systémov priemyselnej automatizácie a riadenia
IEC 62443 (v Európe prijatá ako EN IEC 62443) je smerodajná medzinárodná séria noriem pre kybernetickú bezpečnosť systémov priemyselnej automatizácie a riadenia (IACS, Industrial Automation and Control Systems) — sveta PLC, systémov SCADA, DCS, priemyselných sietí, senzorov, akčných členov, HMI a komunikačných sietí, ktoré ich prepájajú. Spoločne ju vypracovali výbor ISA99 organizácie ISA (International Society of Automation) a IEC TC 65/WG 10; IEC ju vydáva ako sériu IEC 62443 a CENELEC ju prijíma ako EN IEC 62443.
Zatiaľ čo normy ako EN 18031 a EN 303 645 riešia kybernetickú bezpečnosť spotrebiteľského IoT a rádiových zariadení, EN IEC 62443 rieši bezpečnosť prevádzkových technológií (OT, Operational Technology) — automatizáciu výroby, priemyselné riadiace systémy, kritickú infraštruktúru a procesný priemysel. Jej zložitosť a viacvrstvová štruktúra odrážajú osobitné bezpečnostné výzvy prostredí, v ktorých sú prvoradé riadenie fyzikálnych procesov, bezpečnosť prevádzky (safety) a dostupnosť.
Kľúčové fakty
| Údaj | Informácia |
|---|---|
| Celý názov série | IEC 62443 / EN IEC 62443 — Security for industrial automation and control systems |
| Vypracovali | Výbor ISA99 spolu s IEC TC 65/WG 10; v Európe ju prijal CENELEC |
| Štruktúra | Viacdielna séria: časti 1 (všeobecné), 2 (politiky a postupy), 3 (systém), 4 (komponent) a 6 (metodika hodnotenia); IEC vydala 14 dokumentov |
| Regulačný význam | Smernica NIS2 (pre prevádzkovateľov kritickej infraštruktúry), CRA (pre zariadenia používané v priemyselnom prostredí); na IEC 62443 sa čoraz častejšie odvolávajú sektorové regulačné orgány |
| Vzťahuje sa na | Komponenty, systémy a poskytovateľov služieb IACS — pokrýva vlastníkov aktív, systémových integrátorov a dodávateľov produktov |
| Certifikácia | Certifikačný program ISASecure (schémy SDLA, CSA, ICSA, HCSA, SSA a ACSSA) |
Štruktúra série IEC 62443
Na rozdiel od EN 300 328 alebo EN 303 645 — ktoré sú samostatnými dokumentmi — je IEC 62443 rodinou noriem usporiadanou do štyroch hlavných skupín, ktoré od roku 2024 dopĺňajú dokumenty časti 6 o metodike hodnotenia (IEC TS 62443-6-1 a -6-2):
Skupina 1: všeobecné
Základné pojmy, terminológia a metriky platné pre všetky ostatné skupiny.
| Norma | Názov |
|---|---|
| IEC TS 62443-1-1 | Terminology, concepts and models |
| IEC TS 62443-1-5 | Scheme for IEC 62443 security profiles |
| IEC PAS 62443-1-6 | Application of the 62443 series to the Industrial Internet of Things (IIoT) |
Skupina 2: politiky a postupy (vlastník aktív / prevádzkovateľ)
Rieši riadenie bezpečnosti a prevádzkové aspekty IACS z pohľadu vlastníka aktív (asset owner) — organizácie, ktorá priemyselný systém prevádzkuje.
| Norma | Názov |
|---|---|
| IEC 62443-2-1 | Security program requirements for IACS asset owners |
| IEC PAS 62443-2-2 | IACS security protection scheme |
| IEC 62443-2-3 | Patch management in the IACS environment |
| IEC 62443-2-4 | Security program requirements for IACS service providers (systémoví integrátori, poskytovatelia údržby) |
Skupina 3: systém (systémový integrátor)
Rieši bezpečnostné požiadavky na úrovni systému — ako má byť systém IACS navrhnutý s využitím konceptov úrovní bezpečnosti (Security Levels, SL) a zón a komunikačných kanálov (Zones and Conduits).
| Norma | Názov |
|---|---|
| IEC 62443-3-2 | Security risk assessment for system design |
| IEC 62443-3-3 | System security requirements and security levels |
Skupina 4: komponenty (dodávateľ produktov / výrobca)
Rieši bezpečnostné požiadavky na jednotlivé komponenty — hardvérové zariadenia, softvérové aplikácie a vstavané systémy používané v systémoch IACS. Pre výrobcov hardvéru, ktorí dodávajú komponenty na priemyselné trhy, je to najdôležitejšia skupina.
| Norma | Názov |
|---|---|
| IEC 62443-4-1 | Secure product development lifecycle requirements |
| IEC 62443-4-2 | Technical security requirements for IACS components |
Úrovne bezpečnosti (SL): základný rámec
Koncept úrovní bezpečnosti (Security Levels, SL 1–4) je jadrom IEC 62443 a určuje stupeň ochrany požadovaný proti rôznym pôvodcom hrozieb:
| Úroveň bezpečnosti | Ochrana pred | Typické použitie |
|---|---|---|
| SL 1 | Neúmyselným alebo náhodným narušením | Základná ochrana pred príležitostnými alebo náhodnými hrozbami |
| SL 2 | Úmyselným narušením jednoduchými prostriedkami | Ochrana pred motivovanými narušiteľmi s obmedzenými zdrojmi |
| SL 3 | Sofistikovaným útokom s využitím znalostí špecifických pre IACS | Ochrana pred sofistikovanými útočníkmi s odbornými znalosťami daného odvetvia |
| SL 4 | Sofistikovaným útokom podporovaným štátom | Ochrana kritickej infraštruktúry pred hrozbami zo strany štátnych aktérov |
Úrovne bezpečnosti sa definujú v troch rovinách:
- SL-T (Target, cieľová) — Úroveň bezpečnosti, ktorú si ako cieľ stanovil vlastník aktív
- SL-C (Capability, spôsobilosť) — Úroveň bezpečnosti, ktorú je komponent alebo systém schopný podporovať
- SL-A (Achieved, dosiahnutá) — Úroveň bezpečnosti skutočne dosiahnutá v danej inštalácii
Pre výrobcov hardvérových komponentov definuje IEC 62443-4-2 technické požiadavky na komponenty pre každú úroveň bezpečnosti podľa spôsobilosti (Security Level Capability, SLC).
Zóny a komunikačné kanály
IEC 62443-3-2 zavádza model zón a komunikačných kanálov (Zones and Conduits) na segmentáciu sietí IACS:
- Zóna (zone): Zoskupenie aktív so spoločnými bezpečnostnými požiadavkami a spoločnou úrovňou dôvery. Každá zóna má definovanú SL-T.
- Komunikačný kanál (conduit): Komunikačná cesta medzi zónami. Komunikačné kanály riadia a monitorujú tok informácií medzi zónami s rôznymi úrovňami bezpečnosti.
Tento model je v prostredí ICS/OT obdobou segmentácie sietí v bezpečnosti IT. Určuje, ako sa majú nasadzovať firewally, dátové diódy, priemyselné zóny DMZ a jednosmerné brány.
IEC 62443-4-1: bezpečný životný cyklus vývoja produktu
IEC 62443-4-1 je mimoriadne dôležitá pre výrobcov hardvérových a softvérových produktov, ktorí dodávajú komponenty do systémov IACS. Definuje požiadavky na životný cyklus bezpečného vývoja (Security Development Lifecycle, SDL), ktorý musí byť zavedený vo vývojových procesoch výrobcu:
Hlavné oblasti požiadaviek
- Riadenie bezpečnosti — Zdokumentovaná bezpečnostná politika, úlohy a zodpovednosti, bezpečnostné školenia
- Špecifikácia bezpečnostných požiadaviek — Modelovanie hrozieb, definovanie bezpečnostných požiadaviek
- Bezpečnosť už od návrhu (Secure by Design) — Hĺbková ochrana (defence-in-depth), zásada najmenších oprávnení, minimalizácia plochy útoku
- Bezpečná implementácia — Pravidlá bezpečného programovania, revízia kódu, žiadne zakázané funkcie
- Verifikácia a validácia bezpečnosti — Penetračné testovanie, fuzz testovanie, skenovanie zraniteľností
- Riadenie problémov súvisiacich s bezpečnosťou — Proces riadenia a zverejňovania zraniteľností
- Riadenie bezpečnostných aktualizácií — Správa záplat, schopnosť dodávať aktualizácie
- Dokumentácia bezpečnostných usmernení — Príručky na posilnenie zabezpečenia (hardening) pre integrátorov a prevádzkovateľov
Certifikácia SDL výrobcu podľa IEC 62443-4-1 (ponúkajú ju organizácie ako TÜV SÜD, Exida, Bureau Veritas) preukazuje, že proces, ktorým sa produkty vyvíjajú, spĺňa normy priemyselnej kybernetickej bezpečnosti — je obdobou riadenia kvality podľa ISO 9001, ale pre kybernetickú bezpečnosť.
IEC 62443-4-2: technické požiadavky na komponenty
IEC 62443-4-2 definuje technické bezpečnostné schopnosti, ktoré musia hardvérové a softvérové komponenty podporovať pri každej úrovni bezpečnosti podľa spôsobilosti (Security Level Capability):
| Kategória požiadaviek | Príklady |
|---|---|
| Identifikácia a autentifikácia | Jedinečná identita komponentu, silná autentifikácia pri prístupe používateľov, riadenie prístupu na základe rolí |
| Riadenie používania | Uzamykanie relácie, vynucovanie autorizácie pri všetkých funkciách |
| Integrita systému | Autentifikácia aktualizácií softvéru, overovanie integrity pri zavádzaní, ochrana pred škodlivým softvérom |
| Dôvernosť údajov | Šifrovanie údajov pri prenose a v pokoji, ak sú citlivé |
| Obmedzený tok údajov | Minimalizácia zbytočnej sieťovej konektivity, funkcia firewallu |
| Včasná reakcia na udalosti | Auditné záznamy, oznamovanie udalostí, ochrana integrity záznamov |
| Dostupnosť zdrojov | Odolnosť proti útokom DoS, možnosti zálohovania a obnovy |
Hardvérové dôsledky pre výrobcov komponentov:
- SLC 2+: Vyžaduje jedinečnú identitu zariadenia — hardvérovú (napr. certifikát zariadenia nahraný pri výrobe, certifikát X.509 uložený v TPM alebo SE)
- SLC 2+: Vyžaduje kryptografickú autentifikáciu — hardvérový zdroj entropie na generovanie kľúčov
- SLC 3+: Vyžaduje overovanie integrity platformy — Secure Boot (bezpečné zavádzanie) ukotvený v hardvérovom koreni dôvery
- SLC 3+: Vyžaduje nepopierateľnosť — schopnosť podpisovania založenú na hardvéri
IEC 62443 a CRA
Akt EÚ Cyber Resilience Act (CRA) normu IEC 62443 nespomína, ale priemyselné komponenty uvedené na trh EÚ môžu patriť do rozsahu pôsobnosti CRA a často sú zároveň špecifikované podľa IEC 62443:
| Predpis | Zameranie | Cieľová skupina |
|---|---|---|
| CRA | Produkty s digitálnymi prvkami sprístupnené na trhu EÚ vrátane priemyselných | Výrobcovia, dovozcovia a distribútori |
| IEC 62443-4-2 | Schopnosti priemyselných komponentov v oblasti kybernetickej bezpečnosti | Dodávatelia priemyselného hardvéru/softvéru |
| NIS2 | Kybernetická bezpečnosť prevádzkovateľov kritickej infraštruktúry | Kľúčové a dôležité subjekty |
Pre výrobcov hardvéru, ktorí predávajú na spotrebiteľskom/komerčnom aj na priemyselnom trhu, je zosúladenie požiadaviek CRA s technickými požiadavkami IEC 62443-4-2 čoraz dôležitejšie. Oba dokumenty sa zaoberajú riešením zraniteľností a bezpečnostnými aktualizáciami; požiadavky CRA sú zamerané na výsledok a technologicky neutrálne, takže Secure Boot alebo hardvérový koreň dôvery môžu byť vhodnými technickými opatreniami odôvodnenými posúdením rizík, nie povinnosťami uloženými zákonom, zatiaľ čo IEC 62443-4-2 špecifikuje schopnosti pre jednotlivé úrovne bezpečnosti.
Súvisiace pojmy
- CRA — Akt EÚ Cyber Resilience Act; pri priemyselných produktoch čoraz viac zosúladený s IEC 62443.
- Smernica NIS2 — Subjekty, na ktoré sa vzťahuje NIS2 a ktoré prevádzkujú priemyselné riadiace systémy, musia riadiť svoje kybernetickobezpečnostné riziká; NIS2 neuvádza žiadnu konkrétnu normu (článok 25 iba podporuje využívanie európskych a medzinárodných noriem) a IEC 62443 je pre IACS často používanou voľbou.
- Hardvérový koreň dôvery (Hardware Root of Trust) — Základná hardvérová bezpečnostná schopnosť vyžadovaná pri IEC 62443 SLC 2+.
- Secure Boot — Vyžaduje sa na certifikáciu komponentov podľa IEC 62443-4-2 SLC 3+.
- SBOM — Softvérový kusovník (Software Bill of Materials); čoraz častejšie sa vyžaduje ako súčasť riadenia zraniteľností podľa IEC 62443-4-1.
- EN 18031 — Náprotivok IEC 62443 v oblasti kybernetickej bezpečnosti spotrebiteľských/rádiových zariadení.
Výrobcovia hardvéru, ktorí navrhujú komponenty pre priemyselné trhy a trhy kritickej infraštruktúry — priemyselné brány, PLC, periférie SCADA, inteligentné meradlá, systémy riadenia energie — sa čoraz častejšie stretávajú s požiadavkami zákazníkov na certifikáciu SDL podľa IEC 62443-4-1 a na deklarované schopnosti komponentov podľa IEC 62443-4-2. Inovasense poskytuje poradenstvo k uplatniteľnosti IEC 62443, k analýze nedostatkov SDL (gap analysis) a k prieniku s povinnosťami súladu podľa CRA a NIS2. Pozrite si naše poradenstvo v oblasti súladu s predpismi EÚ.
Oficiálne referencie
- IEC 62443 — bezpečnosť systémov priemyselnej automatizácie a riadenia — IEC (prehľad série)