Keamanan Sistem Kontrol Industri: ISA 62443-2-1:2009

Seri standar ISA-62443, yang dikembangkan oleh International Society of Automation (ISA), adalah seperangkat pedoman komprehensif untuk memastikan keamanan Sistem Otomasi dan Kontrol Industri (IACS).

ISA 62443-2-1:2009 adalah salah satu standar khusus dalam seri ini yang berfokus pada pembentukan sistem keamanan sistem otomasi dan kontrol industri. Karena banyak dari sistem ini menyediakan infrastruktur penting, penting untuk melindunginya dari insiden keamanan apa pun yang dapat mengganggu operasi. Blog ini merinci penilaian yang diuraikan dalam ISA 62443-2-1:2009 dan mengapa IACS harus memprioritaskannya.

Otomatiskan kuesioner penilaian keamanan Anda dengan UpGuard >

Seri Standar ISA-62443

Standar ISA-62443 merinci penilaian IACS yang memastikan organisasi sepenuhnya melindungi sistem penting mereka dari ancaman fisik dan digital yang signifikan. IACS, atau Sistem Otomasi dan Kontrol Industri, mengacu pada kumpulan sistem jaringan yang digunakan untuk mengoperasikan dan mengotomatiskan proses industri.

Contohnya termasuk Pengontrol Logika yang Dapat Diprogram (PLC), Sistem Kontrol Terdistribusi (DCS), Sistem Kontrol Pengawasan dan Akuisisi Data (SCADA), Antarmuka Manusia-Mesin (HMI), dan Jaringan Sensor dan Aktuator.

Sebelumnya dikenal sebagai standar ISA99, standar ISA-62443 sangat penting untuk menjaga keamanan di berbagai industri. Standar tersebut memberikan pendekatan terstruktur dan sistematis untuk mengamankan sistem kontrol industri yang penting di berbagai sektor seperti manufaktur, energi, pengolahan air, dll. Seri ini meliputi:

Konsep dan Model Umum (ISA-62443-1): Bagian ini memberikan dasar untuk seri, menguraikan definisi, konsep, dan model yang digunakan dalam keamanan IACS.
Membangun Sistem Keamanan Sistem Otomasi dan Kontrol Industri (ISA-62443-2): Bagian ini berfokus pada pembuatan dan pemeliharaan program keamanan IACS, termasuk penilaian risiko, mengatasi kerentanan, dan tindakan perlindungan.
Persyaratan Keamanan Sistem dan Tingkat Keamanan (ISA 62443-3): Bagian ini mencantumkan persyaratan khusus untuk keamanan IACS, mendefinisikan tingkat keamanan, dan menguraikan persyaratan untuk mencapai tingkat tersebut.
Persyaratan Teknis untuk Komponen IACS (ISA 62443-4): Bagian ini menjelaskan persyaratan teknis untuk komponen IACS, seperti persyaratan untuk siklus hidup pengembangan produk yang aman dan integrasi sistem.

Komponen Inti ISA 62443-2-1:2009

Standar kedua dalam seri ISA 62443 difokuskan pada pembentukan sistem keamanan sistem otomasi dan kontrol industri. Secara khusus, standar ini menguraikan elemen keamanan siber yang diperlukan untuk mengelola IACS dan memandu pengguna untuk memenuhi persyaratan setiap elemen.

Standar ini menguraikan empat bidang utama yang harus diprioritaskan IACS, dengan elemen spesifik di dalamnya masing-masing untuk diidentifikasi dan dievaluasi.

Penilaian Program Keamanan dan Privasi
Penilaian Keamanan Infrastruktur
Penilaian Keamanan Fisik & Pusat Data
Penilaian Keamanan Aplikasi

Penilaian Program Keamanan dan Privasi

Program keamanan informasi dan privasi adalah seperangkat kebijakan, pedoman, dan proses yang komprehensif untuk mengidentifikasi dan mengatasi ancaman dan risiko terhadap informasi dan sistem perusahaan. Untuk IACS, penilaian program keamanan dan privasi sangat penting. Bagian ISA 62443-2-1:2009 ini berfokus pada apakah suatu organisasi memiliki program keamanan yang mapan dan, jika tidak, menguraikan area utama yang perlu dipertimbangkan saat membuatnya.

Program keamanan dan privasi yang mapan membantu memastikan informasi pelanggan tetap aman. Standar ini menilai bidang-bidang utama, termasuk:

Keamanan dan Privasi: Program keamanan dan kontrol keamanan yang mapan
Keamanan Personel: Kontrol akses, protokol kata sandi, perjanjian kerahasiaan, keamanan informasi dan pelatihan privasi untuk karyawan, dll.
Kepatuhan terhadap Hukum dan Peraturan: Proses untuk mengidentifikasi, mendokumentasikan, dan mempertahankan persyaratan legislatif, peraturan, dan kontraktual yang relevan

Penilaian Keamanan Infrastruktur

Penilaian keamanan infrastruktur adalah evaluasi komprehensif terhadap infrastruktur fisik dan digital IACS. Tujuannya adalah untuk mengidentifikasi kerentanan atau titik kegagalan potensial yang dapat berisiko terkena ancaman dunia maya.

IACS sering menggunakan sistem yang penting untuk berbagai proses industri, sehingga segala jenis pelanggaran atau kegagalan dapat memiliki konsekuensi yang menghancurkan (gangguan operasional, bahaya keselamatan, dll). Oleh karena itu, jenis penilaian ini membantu memahami postur keamanan dan kecukupan langkah-langkah keamanan yang ada. Area di bagian ISA-62443-2-1:2009 ini meliputi:

Jaringan: Alat manajemen konfigurasi sistem, firewall, enkripsi data, sistem terpisah, pemantauan berkelanjutan, dll.
Server: Proses untuk pembaruan dan tambalan OS, langkah-langkah perlindungan malware, dll.
Klien (Workstation, Laptop, dll.): Standar untuk sistem klien, perlindungan malware pada perangkat klien, kontrol akses pribadi, dll.
Perjanjian Dukungan Infrastruktur: Perjanjian dukungan untuk versi sistem operasi yang tidak didukung
Manajemen Data: Lingkungan terpisah untuk pengembangan, pengujian, dan produksi
Pengujian Keamanan Teknis: Pengujian penetrasi, pemindaian kerentanan, pengujian keamanan, dll.
Logging: Logging peristiwa yang relevan dengan keamanan
Manajemen Aset: Inventaris terbaru, melacak aset karyawan/kontraktor/pihak ketiga, dll

Penilaian Keamanan Fisik & Pusat Data

Area berikutnya dari ISA-62443-2-1:2009 berfokus pada keamanan fisik dan pusat data. Penilaian ini mengevaluasi langkah-langkah keamanan fisik yang mencegah akses tidak sah ke peralatan sensitif dan pusat data tempat entitas menyimpan komponen dan data IACS mereka.

Penilaian komprehensif mengidentifikasi kontrol akses fisik, sistem pengawasan, dan kontrol lingkungan. Penilaian ini mengevaluasi postur keamanan terhadap ancaman dunia maya seperti peretasan, malware, dan pelanggaran data untuk aset digital. Pendekatan ganda ini memastikan keamanan fisik dan pusat data yang kuat serta operasi berkelanjutan untuk IACS. Area di bagian ini meliputi:

Keamanan di Kantor: Langkah-langkah fisik seperti penjaga, detektor gerakan, CCTV, kontrol akses elektronik, keamanan perimeter, penguncian otomatis peralatan tanpa pengawasan, dll.
Keamanan Pusat Data: Titik akses terkontrol, protokol pemadaman, penilaian risiko, dll.

Penilaian Keamanan Aplikasi

Aplikasi memainkan peran penting dalam mengendalikan, memantau, dan mengelola proses industri di IACS. Kerentanan apa pun dalam aplikasi ini dapat menyebabkan risiko yang signifikan, seperti gangguan operasional, pelanggaran data, dan bahaya keselamatan.

Melakukan penilaian keamanan yang komprehensif terhadap aplikasi ini dapat membantu mengidentifikasi dan mengurangi kerentanan, termasuk kelemahan pengkodean, enkripsi yang tidak memadai, atau API yang tidak aman, yang dapat dieksploitasi oleh penyerang dunia maya. Ini juga mengevaluasi efektivitas protokol keamanan yang ada, seperti mekanisme otentikasi dan otorisasi, dan memastikan kepatuhan terhadap standar industri dan praktik terbaik. Area di bagian ini meliputi:

Pelaporan dan Manajemen Kerentanan: Proses untuk melaporkan kerentanan, pemberitahuan pelanggan, dll.
Autentikasi dan Otorisasi: Layanan autentikasi, persyaratan kata sandi, mekanisme SSO, dll.
Siklus Hidup Pengembangan Perangkat Lunak: Persyaratan terkait keamanan untuk aplikasi, integritas dan kerahasiaan informasi yang diproses, proses pengkodean yang aman, dll.
Dependensi Pihak ke-3: Tinjauan keamanan penyedia outsourcing

UpGuard BreachSight dan VendorRisk mengotomatiskan proses penilaian Anda menggunakan kuesioner keamanan bawaan kami yang canggih. Kirim templat standar atau kuesioner kustom ke vendor Anda, konfigurasikan tanggal jatuh tempo kuesioner, dan atur pengingat rutin untuk memastikan vendor menyelesaikan permintaan secara efisien.

Risiko secara otomatis diidentifikasi pada respons vendor, sehingga Anda dapat meminta remediasi atau mengesampingkannya. Berkolaborasi dengan vendor untuk memitigasi risiko menggunakan alur kerja penilaian risiko, berkorespondensi sebaris untuk respons vendor tertentu menggunakan pesan bawaan yang dapat diaudit, atau tambahkan catatan internal.

Perpustakaan Kuesioner kami mengacu pada peraturan dan praktik terbaik dari industri keamanan siber, termasuk:

Kuesioner SIG Lite
Kuesioner ISO 227001
Kuesioner Alat Penilaian Vendor Komunitas Pendidikan Tinggi (HECVAT)
Kuesioner Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA)
Kuesioner Kerangka Kerja Keamanan Siber NIST
Kuesioner Standar Keamanan COBIT 5
Kuesioner Undang-Undang Privasi Konsumen California (CCPA)
Kuesioner Standar Keamanan Kontrol CIS 7.1
Kuesioner PCI DSS
Apache Log4J - Kuesioner Kerentanan Kritis