Apa itu IEC/ISA 62443-3-3:2013? Keamanan Siber & Kepatuhan

International Society of Automation (ISA) dan International Electrotechnical Commission (IEC) mulai membuat seri standar 62443 pada tahun 2002. Seri ini, yang mencakup IEC/ISA 62443-3-3, awalnya disebut sebagai seri ISA99 dan berisi standar keamanan sistem otomasi dan kontrol industri (IACS) yang dibuat mengikuti panduan American National Standards Institute (ANSI)

IEC/ISA 62443-3-3: 2013 mendefinisikan persyaratan sistem (SR) dan peningkatan persyaratan (RE) yang diperlukan untuk mematuhi persyaratan dasar (FR) dan prinsip-prinsip yang tercantum dalam bagian 1:1 dari seri standar 62443.

Teruslah membaca untuk mempelajari lebih lanjut tentang IEC 62443-3-3 dan bagaimana organisasi Anda dapat mengintegrasikan berbagai standar keamanan untuk mematuhi FR seri 62443.

Temukan bagaimana UpGuard membantu organisasi mempertahankan diri dari ancaman dunia maya>

Persyaratan Keamanan Sistem ISA/IEC & Kebijakan Keamanan

Standar ISA/IEC 62443 mengharuskan organisasi untuk menerapkan beberapa prinsip keamanan siber untuk mematuhi FR seri tersebut. Prinsip-prinsip keamanan siber ini meliputi:

Hak Istimewa Terkecil: Praktik membatasi hak akses, akses akun, dan daya komputasi pengguna berdasarkan peran mereka dan akses yang diperlukan untuk menyelesaikan tugas yang ditentukan peran mereka
Pertahanan Dalam Mendalam: Prinsip ini memungkinkan organisasi untuk menunda atau mencegah serangan siber memengaruhi infrastruktur penting dengan memisahkan sistem menjadi "zona" yang berkomunikasi satu sama lain melalui "saluran"
Analisis Risiko: Proses mengidentifikasi dan menilai potensi bahaya dan risiko yang dapat berdampak negatif pada sistem atau organisasi dengan memanfaatkan metodologi, praktik, dan penanggulangan penilaian risiko
Langkah-langkah Keamanan Kompensasi: Komponen IACS seringkali tidak memenuhi persyaratan tingkat keamanan ISA, dan mengkompensasi langkah-langkah keamanan IACS diperlukan untuk memfasilitasi solusi dan peningkatan kemampuan keamanan
Zona dan Saluran: Seri 62443 merekomendasikan arsitektur sistem yang mengacu pada ISA95 dan menggunakan beberapa zona dan saluran

Publikasi Utama dalam Seri 62443

Seri 62443 membagi dirinya menjadi empat bagian: modul tentang topik umum, kebijakan dan prosedur, sistem, serta komponen dan persyaratan.

IEC 62443-1-1 (Konsep & Modul): Bagian 1:1 dari 62443 menguraikan konsep proses industri (termasuk FR) yang digunakan di seluruh seri dan modul yang disertakan dalam seri tersebut.
IEC 62443-2-1 (Persyaratan Program Keamanan untuk Pemilik Aset IACS): ISA-62443-2-1 membantu pemasok produk dan operator solusi otomasi dan mendefinisikan prosedur keamanan yang harus diikuti pemilik saat mengoperasikan sistem manajemen keamanan jaringan IACS.
IEC 62443-2-4 (Persyaratan untuk Penyedia Layanan IACS): Bagian 2:4 mencakup 12 bagian yang menentukan persyaratan untuk integrator IACS.
IEC 62443-3-2 (Penilaian Risiko Keamanan dan Desain Sistem): Bagian 3:2 menetapkan tingkat keamanan target (SL-T) untuk zona dan saluran yang direkomendasikan dan mendokumentasikan persyaratan keamanan untuk desain sistem.
IEC 62443-4-1 (Persyaratan Siklus Hidup Pengembangan Produk Aman): Bagian 4:1 dibagi menjadi delapan praktik siklus hidup pengembangan yang aman dan mencakup persyaratan untuk menguji fitur keamanan, manajemen tambalan, mengelola kerentanan, dll.
ISA/IEC 62443-4-2 (Persyaratan Keamanan Teknis untuk Komponen IACS): Bagian 4:2 mencakup persyaratan teknis untuk komponen sistem dan perangkat tertanam dan mendefinisikan kendala keamanan komponen khas (CCSC).

ISA/IEC 62443-3-3

Bagian 3:3 dari seri standar ISA/IEC 62443 mendefinisikan SR yang perlu diterapkan organisasi untuk mencapai FR yang tercantum di bagian 1:1. Setiap FR berlaku di lima tingkat keamanan (SL), yang dapat dipatuhi pengguna tergantung pada hasil analisis risiko dan protokol manajemen kerentanan mereka.

Lima SL untuk setiap FR adalah:

Level 0: Tidak diperlukan perlindungan khusus
Level 1: Perlindungan yang diperlukan untuk peristiwa kasual atau kebetulan
Level 2: Perlindungan yang diperlukan untuk pengguna yang disengaja atau jahat menggunakan sumber daya terbatas, keterampilan tingkat rendah, dan motivasi rendah
Level 3: Perlindungan yang diperlukan untuk pengguna yang disengaja atau jahat menggunakan sumber daya sedang, keterampilan yang ditargetkan, dan motivasi sedang
Level 4: Perlindungan yang diperlukan untuk pengguna yang disengaja atau jahat menggunakan sumber daya canggih, keterampilan canggih, dan motivasi tinggi

Kelima SL ini memungkinkan organisasi untuk menyesuaikan perlindungan dengan kebutuhan, persyaratan, dan kompleksitas spesifik dari potensi ancaman mereka.

Representasi visual dari lima tingkat keamanan (SL) dari seri 62443.

Persyaratan Dasar & 62443-3-3 Persyaratan Sistem

FR dari seri 62443 mencakup standar internasional untuk memastikan keamanan informasi dan melindungi teknologi operasional. 62443-3-3 membantu pengguna mematuhi tujuh FR berikut:

FR 1: Identifikasi, Kontrol Otentikasi, dan Kontrol Akses (AC)
FR 2: Gunakan Kontrol (UC)
FR 3: Integritas Sistem (SI)
FR 4: Kerahasiaan Data (DC)
FR 5: Aliran Data Terbatas (RDF)
FR 6: Respons Tepat Waktu terhadap Peristiwa (TRE)
FR 7: Ketersediaan Sumber Daya (RA)

Persyaratan Sistem FR 1

Persyaratan mendasar pertama dari seri 62443 berpusat pada identifikasi, kontrol otentikasi, dan kontrol akses (AC). Berikut adalah persyaratan sistem yang diperlukan untuk mematuhi FR sesuai dengan bagian 3:3.

1.1 Identifikasi dan Otentikasi Pengguna Manusia: Semua pengguna jaringan manusia harus diidentifikasi dan diautentikasi secara unik
1.2 Proses Perangkat Lunak dan Identifikasi dan Otentikasi Perangkat: Semua perangkat harus diidentifikasi dan diautentikasi oleh antarmuka sistem yang aman
1.3: Manajemen Akun: Sistem harus dapat menangani bandwidth pengguna maksimum dan mengelola semua akun pengguna dengan nyaman
1.4: Manajemen Pengidentifikasi: Sistem harus mendukung semua pengidentifikasi pengguna, grup, peran, dan antarmuka
1.5: Manajemen Authenticator: Pengguna harus memiliki prosedur dan sistem manajemen authenticator untuk memastikan kata sandi unik
1.6: Manajemen Akses Nirkabel: Sistem harus dapat mengidentifikasi dan mengautentikasi semua pengguna nirkabel
1.7: Kekuatan Otentikasi Berbasis Kata Sandi: Sistem harus dapat menegakkan persyaratan kata sandi minimum
1.8: Sertifikat Infrastruktur Kunci Publik (PKI): Sertifikat harus memvalidasi pemegang kunci dan memastikannya sah
1.9: Kekuatan Autentikasi Kunci Publik: Sistem harus dapat menegakkan persyaratan PKI minimum
1.10: Umpan Balik Authenticator: Sistem tidak boleh menampilkan karakter kata sandi saat diketik oleh pengguna
1.11: Upaya Login yang Gagal: IACS hanya boleh mengizinkan sejumlah upaya login yang gagal dan mengatur waktu penguncian untuk kegagalan otentikasi
1.12: Pemberitahuan Penggunaan Sistem: Sistem harus menampilkan pesan penggunaan yang memperingatkan terhadap penggunaan yang tidak sah dan melarang penggunaan yang direkam
1.13: Akses Melalui Jaringan yang Tidak Tepercaya: IACS yang sesuai harus memiliki kemampuan untuk mengontrol akses dari jaringan yang tidak tepercaya

Persyaratan Sistem FR 2

FR kedua dari seri 62443 berkaitan dengan kontrol penggunaan (UC). Berikut adalah persyaratan sistem yang tercantum dalam ISA 62443-3-3:

2.1: Penegakan Otorisasi: Sistem harus dapat menerapkan otorisasi pada semua pengguna, peran, dan parameter
2.2: Kontrol Penggunaan Nirkabel: Jaringan nirkabel sistem harus memantau dan memberlakukan pembatasan pada peristiwa akses jarak jauh menggunakan praktik keamanan industri
2.3: Gunakan kontrol untuk Perangkat Portabel dan Seluler: Pengontrol harus merancang IACS untuk memungkinkan penggunaan perangkat portabel dan seluler dipantau dan dikontrol
2.4: Kode Seluler: Kode apa pun yang diambil dari luar sistem harus diverifikasi untuk mencegah gangguan dan aktivitas berbahaya
2.5: Kunci Sesi: IACS tidak boleh menggunakan kunci sesi untuk mengatur fungsi penting
2.6: Penghentian Sesi Jarak Jauh: Sistem harus dapat menghentikan sesi jarak jauh setelah tidak aktif atau setelah pengguna memulai tindakan tersebut
2.7: Kontrol Sesi Bersamaan: Sesi bersamaan harus dikelola dan dikontrol berdasarkan standar otorisasi pengguna
2.8: Peristiwa yang Dapat Diaudit: Sistem kontrol harus dapat merekam peristiwa yang dapat diaudit dalam log sistem
2.9: Kapasitas Penyimpanan Audit: Kapasitas penyimpanan sistem harus cukup besar untuk menyimpan log audit yang diperlukan
2.10: Respons terhadap Kegagalan Pemrosesan Audit: Sistem harus memperingatkan operator dan melanjutkan akses ke fungsi penting selama kegagalan pemrosesan audit
2.11: Stempel waktu: Semua catatan audit harus menggunakan stempel waktu

Persyaratan Sistem FR 3

FR ketiga dari 62443-3-3 berkaitan dengan kontrol integritas sistem. Berikut adalah persyaratan sistem untuk FR 3:

3.1: Integritas Komunikasi: Informasi yang dikirimkan masuk dan keluar dari sistem harus dilindungi menggunakan solusi internal dan eksternal
3.2: Perlindungan Kode Berbahaya: IACS harus menggunakan solusi antivirus untuk melindungi dirinya dari kode berbahaya
3.3: Verifikasi Fungsionalitas Keamanan: Selama fase pengujian dan prosedur pemeliharaan, IACS harus memverifikasi semua fungsi keamanan dan melaporkan semua penyimpangan
3.4: Perangkat Lunak dan Integritas Informasi: Solusi SIEM harus mendeteksi, merekam, melaporkan, dan melindungi informasi yang tidak aktif
3.5: Validasi Input: IACS harus memvalidasi semua input yang secara langsung berdampak pada sistem kontrol dan semua input proses
3.6: Output Deterministik: Output harus kembali ke keadaan yang telah ditentukan sebelumnya ketika IACS tidak dapat mencapai operasi reguler
3.7: Penanganan Kesalahan: IACS harus merespons dan pulih dari kondisi kesalahan dengan cepat
3.8: Integritas Sesi: Sistem harus memiliki kemampuan untuk menolak ID sesi yang tidak valid dan menginstal protokol berbasis sesi
3.9: Perlindungan Informasi Audit: Informasi audit harus dienkripsi untuk melindunginya selama transmisi dan istirahat

Persyaratan Sistem FR 4

Persyaratan mendasar 4 memastikan bahwa sistem yang diatur mengikuti praktik terbaik untuk kerahasiaan data. Berikut adalah persyaratan sistem untuk FR 4:

4.1: Kerahasiaan Informasi: Informasi rahasia harus dilindungi saat istirahat dan dalam transmisi
4.2: Ketekunan Informasi: Sistem harus dapat mengambil informasi dan data masa lalu di sesi berikutnya
4.3: Penggunaan Kriptografi: Setiap algoritma kriptografi yang digunakan oleh sistem harus mematuhi praktik terbaik industri (termasuk algoritme yang digunakan untuk pencadangan)

Persyaratan Sistem FR 5

FR 5 membatasi bagaimana aliran data dapat terjadi di seluruh IACS organisasi. Berikut adalah persyaratan sistem untuk FR 5:

5.1: Segmentasi Jaringan: Personel harus mengisolasi segmen jaringan jika memungkinkan dan menerapkan evaluasi risiko untuk mengurangi risiko insiden siber
5.2: Perlindungan Batas Zona: Protokol akses jaringan harus diberlakukan untuk menginstal perlindungan di batas zona
5.3: Pembatasan Komunikasi Orang-ke-Orang Tujuan Umum: IACS harus memiliki kemampuan untuk mencegah perpesanan jika terjadi serangan berbahaya
5.4: Partisi Aplikasi: Aplikasi harus dipartisi berdasarkan kekritisan dan dengan cara yang menerapkan model zonasi yang diterima industri

Persyaratan Sistem FR 6

Persyaratan dasar keenam dari seri 62443 memastikan operator IACS memasang standar untuk respons tepat waktu terhadap peristiwa selama proses pengembangan. Berikut adalah SR untuk FR 6:

6.1: Aksesibilitas Log Audit: Sistem hanya boleh memberikan akses hanya-baca kepada pengguna yang berwenang ke log audit dan tidak dapat mengubah log
6.2: Pemantauan Berkelanjutan: Personel harus memasang protokol pemantauan berkelanjutan untuk memastikan kesadaran konstan dan mendukung keputusan risiko

Persyaratan Sistem FR 7

Persyaratan mendasar terakhir dari seri 62443 mencakup protokol untuk mengelola ketersediaan sumber daya. Berikut adalah SR yang tercantum dalam IEC 62443-3-3 untuk FR 7:

7.1: Perlindungan DoS: IACS harus beroperasi dalam mode degradasi yang telah ditentukan sebelumnya ketika serangan penolakan layanan terjadi
7.2: Manajemen Sumber Daya: Standar sistem harus mengelola alokasi sumber daya dan mencegah kehabisan sumber daya
7.3: Pencadangan Sistem Kontrol: Pencadangan terbaru harus selalu tersedia untuk menerapkan pemulihan sistem lengkap jika terjadi kegagalan sistem
7.4: Pemulihan dan Rekonstitusi Sistem Kontrol: Alur kerja sistem harus memastikan sistem dapat kembali ke keadaan aman dengan cepat dan efisien
7.5: Daya Darurat: Status keamanan dan mode yang terdegradasi tidak boleh terpengaruh saat IACS beralih dari daya standar ke daya darurat
7.6: Pengaturan Konfigurasi Jaringan dan Keamanan: IACS harus memenuhi praktik terbaik industri untuk keamanan jaringan
7.7: Fungsionalitas Paling Sedikit: Fungsi yang tidak perlu harus dibatasi dan dikelola untuk melindungi sumber daya selama insiden keamanan
7.8: Inventaris Komponen Sistem Kontrol: IACS harus memelihara dan mengelola inventaris yang diperbarui dari semua komponen sistem kontrol

Cara Mematuhi Standar Keamanan ISA

Setiap organisasi yang tertarik untuk mematuhi standar keamanan seri 62443 ISA perlu berbagi tanggung jawab di seluruh departemen. Seri 62443 mengharuskan pemangku kepentingan keamanan siber utama untuk berkolaborasi dan memastikan semua komponen IACS mereka bertahan dari risiko dan kerentanan dunia maya.

Orang-orang, standar, metrik keamanan siber, dan budaya organisasi semuanya akan memainkan peran penting dalam mematuhi persyaratan dasar dan sistem yang ditemukan di seluruh seri 62443. Serial ini juga memanfaatkan pilar dasar Kerangka Kerja Keamanan Siber NIST (NIST CSF), yang biasanya lebih dikenal oleh para profesional TI dan keamanan siber.

Prinsip-prinsip utama NIST CSF meliputi:

Temukan: Personel harus memantau dan menilai semua komponen sistem secara teratur untuk mengantisipasi, mengidentifikasi, dan mencegah risiko sistem dan aktivitas berbahaya
Segmen: Sistem harus disegmentasikan jika memungkinkan untuk mengurangi dampak serangan siber dan insiden keamanan terhadap sistem
Deteksi: Personel harus menginstal prosedur dan protokol untuk mendeteksi kerentanan dan risiko baru di seluruh sistem secara terus menerus
Tanggapan: Organisasi harus memanfaatkan respons insiden dan rencana kelangsungan bisnis untuk mempercepat manajemen insiden dan perbaikan sistem

Solusi keamanan siber UpGuard dapat membantu organisasi memenuhi banyak persyaratan sistem 62443-3-3 ISA. Secara bersamaan, UpGuard BreachSight dan Vendor Risk dapat membantu pengguna dengan konsep keamanan siber yang penting, termasuk manajemen permukaan serangan, manajemen risiko vendor, respons insiden, keamanan jaringan, dll.

Fitur lengkap BreachSight dan Vendor Risk meliputi:

Deteksi kebocoran data: Lindungi reputasi merek, kekayaan intelektual, dan data pelanggan Anda dengan deteksi kebocoran data yang tepat waktu
Pemantauan berkelanjutan: Dapatkan pembaruan waktu nyata dan kelola eksposur di seluruh permukaan serangan Anda, termasuk domain, IP, aplikasi, titik akhir, plugin, dan firewall
Pengurangan permukaan serangan: Kurangi permukaan serangan Anda dengan menemukan kerentanan dan domain yang dapat dieksploitasi yang berisiko diketik
Profil keamanan bersama: Buat profil UpGuard Shared untuk menghilangkan kerumitan menjawab kuesioner keamanan
Alur kerja dan pengabaian: Sederhanakan alur kerja remediasi, bebaskan risiko dengan cepat, dan tanggapi kueri keamanan
Pelaporan dan wawasan: Akses laporan yang dibuat khusus untuk pemangku kepentingan yang berbeda dan lihat informasi tentang permukaan serangan eksternal Anda
Kuesioner Keamanan Vendor: Otomatiskan kuesioner keamanan untuk mendapatkan wawasan yang lebih dalam tentang hubungan vendor Anda dan postur keamanan pihak ketiga
Peringkat keamanan: Menilai postur keamanan masing-masing vendor dengan menggunakan peringkat keamanan yang didorong oleh data, objektif, dan dinamis kami
Penilaian risiko: Sederhanakan alur kerja penilaian risiko, kumpulkan bukti, dan minta remediasi dengan cepat