標(biāo)準(zhǔn)解析 I IEC 62443 - 工業(yè)自動化和控制系統(tǒng)網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全已成為所有行業(yè)和領(lǐng)域的一個至關(guān)重要的問題。隨著生活智能化和工業(yè)數(shù)字化、自動化的發(fā)展，物理網(wǎng)絡(luò)系統(tǒng)在交通、物流、電網(wǎng)、家居等各行業(yè)日益普及的應(yīng)用，導(dǎo)致網(wǎng)絡(luò)病毒和惡意攻擊的威脅和影響隨之增加。21世紀(jì)以來，陸續(xù)發(fā)生的制造業(yè)，以及能源、電力、交通、水利、醫(yī)療等關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)的網(wǎng)絡(luò)安全事件，讓眾多網(wǎng)絡(luò)安全廠商和研究機構(gòu)針對重大民生基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全風(fēng)險與應(yīng)對策略進(jìn)行研究。自2013年開始，國際電工組織委員會(IEC)陸續(xù)發(fā)布了IEC 62443系列標(biāo)準(zhǔn)，其目標(biāo)是致力于從根本上減少工控網(wǎng)絡(luò)安全風(fēng)險的發(fā)生，降低工控網(wǎng)絡(luò)安全風(fēng)險的影響。

第一章：什么是IEC 62443？

1. IEC 62443起源和發(fā)展

2005年，國際自動化學(xué)會(International Society of Automation)ISA成立了ISA99 -工業(yè)自動化和控制系統(tǒng)安全委員會，負(fù)責(zé)制定工業(yè)自動化和控制系統(tǒng) (Industry Automation & Control System)的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。2007年，ISA99與IEC TC 65 WG 10成立聯(lián)合工作組，共同制定并繼續(xù)開發(fā)ISA/IEC 62443系列標(biāo)準(zhǔn)和技術(shù)報告(Technical Report，TR)，并陸續(xù)發(fā)布了IEC 62443系列標(biāo)準(zhǔn)。2018年底，聯(lián)合國歐洲經(jīng)濟(jì)委員會(UNECE)在其年會上確認(rèn)，將把廣泛使用的ISA/IEC 62443系列納入其即將推出的網(wǎng)絡(luò)安全共同監(jiān)管框架(CRF)。CRF將作為聯(lián)合國在歐洲的官方政策立場聲明，為歐盟貿(mào)易市場內(nèi)的網(wǎng)絡(luò)安全實踐建立一個共同的立法基礎(chǔ)。IEC 62443 逐漸成為國際通行的工控網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，并在不同工業(yè)行業(yè)和領(lǐng)域?qū)崿F(xiàn)了應(yīng)用。

2. IEC 62443范圍和目的

為實現(xiàn)廣泛應(yīng)用，IEC 62443-1-1對工業(yè)自動化和控制系統(tǒng)(IACS)和安全(Security)做出了說明。其中工業(yè)自動化和控制系統(tǒng)(IACS)，包括了用于制造業(yè)和流程工業(yè)的控制系統(tǒng)、樓宇控制系統(tǒng)、地理上分散的操作諸如公共設(shè)施(例如: 電力、天然氣和供水)、管道和石油生產(chǎn)及分配設(shè)施、其他工業(yè)和應(yīng)用如交通運輸網(wǎng)絡(luò)，那些使用自動化的或遠(yuǎn)程被控制或監(jiān)視的資產(chǎn)。而安全(Security)是指防止非法或有害的滲透，有意或無意的妨礙正常的和預(yù)期的運行、或不適宜的訪問IACS的保密信息。同時IEC 62443系列標(biāo)準(zhǔn)的讀者包括所有的IACS用戶(包括設(shè)施運行、維護(hù)、施工和用戶組織公司的一部分)、生產(chǎn)者、供應(yīng)商、政府組織在內(nèi)的、被影響的、控制系統(tǒng)計算機安全、控制系統(tǒng)實踐者和安全實踐者。

由此我們可以看出：IEC 62443系列標(biāo)準(zhǔn)對工業(yè)自動化和控制系統(tǒng)的網(wǎng)絡(luò)安全定義是與工業(yè)過程運行有關(guān)的人員、硬件和政策、程序以及流程等因素的集合，這些因素將會影響工業(yè)過程的安全性和可靠性。IEC 62443系列標(biāo)準(zhǔn)不僅提出了對IACS的軟硬件的技術(shù)要求，同時為確保IACS的安全性、完整性、可用性和保密性，對其所需的人員和流程也做出了規(guī)定。這也是為什么IEC 62443系列標(biāo)準(zhǔn)更加全面、更加適用，被視為工業(yè)自動化和控制系統(tǒng)網(wǎng)絡(luò)安全的最佳實踐的原因。

IEC 62443系列標(biāo)準(zhǔn)提供了一個清晰、靈活且全面的框架，以減少和解決工業(yè)自動化和控制系統(tǒng)(IACS)中現(xiàn)有和未來的安全漏洞。IEC 62443系列標(biāo)準(zhǔn)為我們提供了一個有效的、系統(tǒng)的、完整的方法應(yīng)對網(wǎng)絡(luò)安全挑戰(zhàn)，可以彌合運營技術(shù)網(wǎng)絡(luò)安全(OT Cybersecurity)和信息技術(shù)網(wǎng)絡(luò)安全(IT Cybersecurity)的差距，以及實現(xiàn)網(wǎng)絡(luò)安全和功能安全的融合。

3. IEC 62443 安全框架

IEC 62443系列標(biāo)準(zhǔn)的文件包括四個分屬類別，分別是：通用、政策和程序、系統(tǒng)、組件。

通用：該類別(IEC 62443-1-x)的部分包括四份文件，描述了工業(yè)自動化和控制系統(tǒng)(IACS)網(wǎng)絡(luò)安全的通用方面的內(nèi)容，如術(shù)語、概念、模型、縮略語、系統(tǒng)符合性度量及工控設(shè)備的安全生命周期。

政策和程序：該類別(IEC 62443-2-x)的部分包括五份文件，詳細(xì)規(guī)定了IACS安全管理系統(tǒng)的要求、安全管理系統(tǒng)實施指南、IACS環(huán)境中補丁更新管理以及對資產(chǎn)所有者和服務(wù)提供商的安全程序(SP)要求。

系統(tǒng)：該類別(IEC 62443-3-x)的部分包括三份文件，提供了系統(tǒng)安全要求、安全等級和安全風(fēng)險管理以及系統(tǒng)設(shè)計的基本指導(dǎo)和原則。包括將整體工業(yè)自動化和控制系統(tǒng)設(shè)計分配到各個區(qū)域(Zone)和管道 (Conduit) 的方法，以及安全等級(Security Level)的定義和要求。

組件：該類別(IEC 62443-4-x)的部分包括兩份文件，IEC 62443-4-2部分詳細(xì)規(guī)定了系統(tǒng)組件的技術(shù)安全要求，IEC 62443-4-1部分規(guī)定了安全產(chǎn)品開發(fā)生命周期要求。

--參考ISAGCA-Security Lifecycles in the ISA/IEC 62443 Series Security of Industrial Automation and Control Systems,Oct 2020.

目前應(yīng)用最多的子標(biāo)準(zhǔn)，介紹如下：

IEC 62443-1-1：術(shù)語、概念和模型，該技術(shù)規(guī)范介紹了整個IEC 62443系列標(biāo)準(zhǔn)所使用的概念和模型，特別描述了IEC 62443系列標(biāo)準(zhǔn)所涉及的基礎(chǔ)要求，用來組織整個系列的技術(shù)要求。

IEC 62443-2-1：建立工業(yè)自動化和控制系統(tǒng)安全程序，該國際標(biāo)準(zhǔn)規(guī)定了對IACS資產(chǎn)所有者的要求，如何實施安全有效的安全程序。安全程序必須適用于IACS安全操作的安全功能，這些安全功能的實施通常需要服務(wù)提供商和產(chǎn)品供應(yīng)商的支持。然而，資產(chǎn)所有者仍然對IACS的安全負(fù)責(zé)。

IEC 62443-2-4 IACS服務(wù)提供商的安全程序要求，該國際標(biāo)準(zhǔn)為集成或維護(hù)IACS相關(guān)的所有類型的服務(wù)提供商詳細(xì)規(guī)定了一套全面的安全能力要求。由于多數(shù)安全要求與具體行業(yè)和領(lǐng)域相關(guān)，該標(biāo)準(zhǔn)提供了“配置文件”的開發(fā)，可用于解決具體行業(yè)和領(lǐng)域特定環(huán)境的安全特征。

IEC 62443-3-2 系統(tǒng)設(shè)計的安全風(fēng)險評估，該國際標(biāo)準(zhǔn)規(guī)定了設(shè)計IACS系統(tǒng)的要求，將系統(tǒng)(SuC)劃分為區(qū)域(Zone)和管道(Conduit)，評估每個區(qū)域和管道的風(fēng)險，并建立各自的目標(biāo)安全等級。

IEC 62443-3-3 系統(tǒng)安全要求和安全等級，該國際標(biāo)準(zhǔn)定義了適用于自動化和控制系統(tǒng)的網(wǎng)絡(luò)安全要求。這些安全要求基于IEC 62443-1-1中定義的7個基本要求(FR1-7)，包括①標(biāo)識和鑒別控制；②使用控制；③系統(tǒng)完整性；④數(shù)據(jù)保密性；⑤受限的數(shù)據(jù)流；⑥對事件的及時響應(yīng)；⑦資源可用性。IEC 62443-3-3中的安全等級(Security Level)是IEC 62443-3-2網(wǎng)絡(luò)安全風(fēng)險評估的輸出。

IEC 62443-4-1 安全產(chǎn)品的開發(fā)生命周期要求， 該國際標(biāo)準(zhǔn)描述了與工業(yè)自動化和控制系統(tǒng)環(huán)境中適用的產(chǎn)品、網(wǎng)絡(luò)安全有關(guān)的產(chǎn)品的開發(fā)生命周期要求。該標(biāo)準(zhǔn)中涉及的產(chǎn)品生命周期包括安全管理、安全需求、安全設(shè)計、安全實施、驗證和確認(rèn)、缺陷管理、安全升級/補丁管理和安全指南等注意事項。

IEC 62443-4-2 IACS組件的技術(shù)安全要求，該國際標(biāo)準(zhǔn)將IEC 62443-3-3中提出的安全要求和安全等級應(yīng)用于IACS組件，這些組件類型包括應(yīng)用軟件、嵌入式設(shè)備(如PLC)、網(wǎng)絡(luò)設(shè)備(如防火墻)、主機設(shè)備。該標(biāo)準(zhǔn)的目的是規(guī)定組件的安全能力，以減輕特定安全級別的威脅，而無需額外采取特定的安全補償措施和對策。

第二章： 如何運用IEC 62443？

IEC 62443系列標(biāo)準(zhǔn)在工業(yè)自動化和控制系統(tǒng) (IACS)整個生命周期中，采用基于風(fēng)險的和基于設(shè)計安全的理念，以提高IACS系統(tǒng)的安全性、完整性、可用性和保密性。

• 基于風(fēng)險是IACS系統(tǒng)網(wǎng)絡(luò)安全的前提，同時也是設(shè)計安全的輸入。基于風(fēng)險的理念是在產(chǎn)品和系統(tǒng)的全生命周期的各個階段，都需要風(fēng)險評估的參與，以確定不同生命周期d階段的產(chǎn)品和系統(tǒng)存在的脆弱性、面臨的威脅和風(fēng)險，從而導(dǎo)出安全等級和安全要求，以持續(xù)的網(wǎng)絡(luò)安全風(fēng)險管理來確保安全與風(fēng)險的平衡。
• 基于設(shè)計安全的理念是一個設(shè)計原則，即在IACS系統(tǒng)的生命周期早期實施安全措施。其目的是在開發(fā)早期通過建立強大的安全策略、安全架構(gòu)和安全實踐，保證整個產(chǎn)品/系統(tǒng)生命周期內(nèi)安全的實施。這一設(shè)計原則同樣適用于產(chǎn)品開發(fā)和自動化解決方案。當(dāng)采用基于設(shè)計安全的理念時，安全措施會在控制系統(tǒng)或組件中自然運行，而無需額外增加安全補償措施。

通過下圖，我們可以看到各標(biāo)準(zhǔn)之間的關(guān)系，特別是風(fēng)險評估(IEC 62443-3-2)的基礎(chǔ)性和重要性。

--參考ISAGCA-Security Lifecycles in the ISA/IEC 62443 Series Security of Industrial Automation and Control Systems,Oct 2020.

IEC 62443系列標(biāo)準(zhǔn)，面向資產(chǎn)所有者、服務(wù)提供商、產(chǎn)品供應(yīng)商，對工業(yè)自動化和控制系統(tǒng)(IACS)各層級的系統(tǒng)、產(chǎn)品及產(chǎn)品供應(yīng)商所采用的安全開發(fā)生命周期進(jìn)行安全要求，典型的如DCS、SCADA等IACS系統(tǒng)，以及應(yīng)用軟件、嵌入式設(shè)備、網(wǎng)絡(luò)設(shè)備、主機設(shè)備等IACS組件。

企業(yè)可基于自身提供的服務(wù)類型、IACS系統(tǒng)和組件類型，采用不同標(biāo)準(zhǔn)中的網(wǎng)絡(luò)安全要求。如何運用IEC 62443系列標(biāo)準(zhǔn)，需要理解不同角色、控制系統(tǒng)、自動化解決方案和IACS之間的基本關(guān)系。下圖為SGS工業(yè)服務(wù)工控網(wǎng)絡(luò)安全團(tuán)隊總結(jié)的關(guān)系圖示：

--參考 IEC 62443-4-1:2018 Security for industrial automation and control systems Part 4-1: Secure product development lifecycle requirements,15^th Jan 2018.

根據(jù)上圖左側(cè)內(nèi)容，IEC 62443系列標(biāo)準(zhǔn)涉及的角色包括：

資產(chǎn)所有者，對IACS負(fù)責(zé)的組織。資產(chǎn)所有者也是IACS和受控設(shè)備的使用、操作、運營方。

服務(wù)提供商，根據(jù)為自動化解決方案不同生命周期提供服務(wù)類型，可以分為集成服務(wù)商和運維服務(wù)商。

• 集成服務(wù)商，為自動化解決方案和控制系統(tǒng)或組件提供集成服務(wù)的服務(wù)提供商，包括設(shè)計、安裝、配置、測試、調(diào)試和移交。集成服務(wù)商還可以協(xié)助資產(chǎn)所有者，通過風(fēng)險評估將系統(tǒng)合理地劃分為區(qū)域和管道。
• 運維服務(wù)商，自動化解決方案和控制系統(tǒng)或組件安裝并移交后，為其提供支持活動的服務(wù)供應(yīng)商。包括更新、升級、廢棄，以及風(fēng)險評估活動。

產(chǎn)品供應(yīng)商，是生產(chǎn)硬件和/或軟件產(chǎn)品的組織。產(chǎn)品可以包括IACS系統(tǒng)和IACS系統(tǒng)組件，包括應(yīng)用軟件、嵌入式設(shè)備、網(wǎng)絡(luò)設(shè)備、主機設(shè)備。

IEC 62443系列標(biāo)準(zhǔn)雖然定義區(qū)分了不同的角色，但應(yīng)該注意的是，一個組織可能具有多個角色，角色的職責(zé)也可以由多個組織承擔(dān)。在具體實施過程中，可由資產(chǎn)所有者定義服務(wù)提供商和產(chǎn)品供應(yīng)商的角色和職責(zé)。

IEC 62443 系列標(biāo)準(zhǔn)應(yīng)用于自動化解決方案、控制系統(tǒng)和產(chǎn)品，根據(jù)上圖右側(cè)內(nèi)容，這些自動化解決方案、系統(tǒng)和產(chǎn)品包括：
組件(Components)，由產(chǎn)品供應(yīng)商提供，分為：

• 應(yīng)用軟件，用于與控制系統(tǒng)或受控設(shè)備連接的一個或多個軟件程序及其附屬程序。
• 嵌入式設(shè)備，用于直接監(jiān)測或控制工業(yè)過程的特殊用途設(shè)備，典型如PLC。
• 網(wǎng)絡(luò)設(shè)備，用于促進(jìn)或限制設(shè)備間數(shù)據(jù)流的設(shè)備，但不得直接有控制過程交互，典型如防火墻。
• 主機設(shè)備，通過運行操作系統(tǒng)承載一個或多個軟件應(yīng)用程序的通用設(shè)備。

控制系統(tǒng) (Control Systems)/子系統(tǒng)， 由一系列組件組成的集成套件。

自動化解決方案( Automation Solution)，是控制系統(tǒng)和產(chǎn)品在特定環(huán)境、設(shè)施或項目的具體實現(xiàn)。它包括功能安全功能和控制功能等基本功能，以及歷史記錄和工程配置等其他輔助功能。自動化解決方案由資產(chǎn)所有者指定的集成服務(wù)商提供。

工業(yè)自動化和控制系統(tǒng)(IACS) 包括自動化解決方案，以及支持該解決方案所需的操作和維護(hù)政策與程序。它由資產(chǎn)所有者操作，并由資產(chǎn)所有者和/或維護(hù)運維服務(wù)商維護(hù)和運營。

上圖最右側(cè)部分，闡述了不同角色涉及的IACS系統(tǒng)/產(chǎn)品類型所匹配的IEC62443子標(biāo)準(zhǔn)。同時，根據(jù)IEC 62443系列標(biāo)準(zhǔn)，我們將工業(yè)自動化和控制系統(tǒng)生命周期劃分為需求階段、設(shè)計階段、實施階段、驗證&確認(rèn)階段、運行階段、維護(hù)階段以及退役階段。在應(yīng)用IEC 62443 系列標(biāo)準(zhǔn)時，SGS工業(yè)服務(wù)工控網(wǎng)絡(luò)安全團(tuán)隊建議，企業(yè)可以結(jié)合自身在工業(yè)自動化和控制系統(tǒng)生命周期的角色和職責(zé)，考慮標(biāo)準(zhǔn)的具體應(yīng)用：

第三章： 運用IEC 62443的收益？

IEC 62443系列標(biāo)準(zhǔn)通過提出一系列的安全要求、規(guī)范、準(zhǔn)則，以供資產(chǎn)所有者、服務(wù)供應(yīng)商、產(chǎn)品供應(yīng)商用于確保IACS系統(tǒng)及組件的安全。不同角色通過采用IEC 62443子標(biāo)準(zhǔn)，可以獲得切合自身的網(wǎng)絡(luò)安全收益。

資產(chǎn)所有者可以采用的子標(biāo)準(zhǔn)包括: IEC 62443-2-1，IEC 62443-2-3，IEC 62443-2-4，IEC 62443-3-2，IEC 62443-3-3。資產(chǎn)所有者的收益體現(xiàn)在：

• 簡化采購規(guī)范化要求和程序
• 基于國際標(biāo)準(zhǔn)，易于理解產(chǎn)品、系統(tǒng)的網(wǎng)絡(luò)安全能力
• 獲得外部實體提供的獨立安全認(rèn)證
• 提升安全能力可隨時間推移不斷發(fā)展的信心
• 采用開放、公正的標(biāo)準(zhǔn)和實施流程
• 實現(xiàn)標(biāo)準(zhǔn)安全要求和企業(yè)具體安全需求的融合，形成最佳安全實踐。

服務(wù)提供商可以采用的子標(biāo)準(zhǔn)包括: IEC 62443-2-1，IEC 62443-2-3，IEC 62443-2-4，IEC 62443-3-2，IEC 62443-3-3。服務(wù)供應(yīng)商的收益體現(xiàn)在：

• 建立并維持自動化解決方案安全計劃
• 設(shè)計和實施符合具體網(wǎng)絡(luò)安全要求的自動化解決方案
• 具備提供符合資產(chǎn)所有者制定的IACS安全政策和程序的服務(wù)能力

產(chǎn)品供應(yīng)商可以采用的子標(biāo)準(zhǔn)包括:IEC 62443-4-1，IEC 62443-4-2，IEC 62443-3-3，IEC 62443-3-2。產(chǎn)品供應(yīng)商的收益體現(xiàn)在：

• 清晰定義產(chǎn)品的安全性能，并符合IEC 62443要求
• 增強系統(tǒng)/產(chǎn)品健壯性、安全性、可靠性，有效解決已知網(wǎng)絡(luò)安全漏洞，抵御安全威脅
• 提供系統(tǒng)/產(chǎn)品全生命周期的安全能力保證

第三章：SGS工業(yè)服務(wù)提供的工控網(wǎng)絡(luò)安全服務(wù) ?

SGS 作為網(wǎng)絡(luò)安全的認(rèn)證機構(gòu)，支持您的開發(fā)、實施和集成安全功能和應(yīng)用程序，通過各種建議和測試來保護(hù)產(chǎn)品和通信安全。SGS工業(yè)服務(wù)可針對制造、軌交，能源，石化等多個領(lǐng)域，提供預(yù)評估，測試，評估，認(rèn)證等全面的網(wǎng)絡(luò)安全服務(wù)。基于工控網(wǎng)絡(luò)安全全球最佳應(yīng)用和實踐標(biāo)準(zhǔn)IEC 62443，我們可提供標(biāo)準(zhǔn)培訓(xùn)，工業(yè)網(wǎng)絡(luò)認(rèn)證工程師（CICSP）人員資質(zhì)培訓(xùn)認(rèn)證，組件級系統(tǒng)產(chǎn)品認(rèn)證，安全生命周期認(rèn)證，安全咨詢，網(wǎng)絡(luò)安全測試等一站式服務(wù)。

我們的優(yōu)勢：

• SGS是國際公認(rèn)的檢測、檢驗和認(rèn)證機構(gòu)。
• 依靠SGS 全球功能安全和網(wǎng)絡(luò)安全的技術(shù)支持中心，SGS擁有60~70名功能安全專家，10名以上網(wǎng)絡(luò)安全專家，超過百名的測試工程師，具有豐富的專業(yè)知識及實操案例。
• SGS工業(yè)服務(wù)部能為您提供快捷的服務(wù)，及時反饋您的需求。
• SGS作為整體服務(wù)供應(yīng)商，能在全球市場支持產(chǎn)品開發(fā)，為產(chǎn)品整個系統(tǒng)和部件提供全生命周期服務(wù)。

關(guān)于SGS 工業(yè)服務(wù)功能安全和工控網(wǎng)絡(luò)安全團(tuán)隊

依托于強大的SGS全球功能安全能力和工控網(wǎng)絡(luò)安全支持中心和SGS強大的品牌公信力，SGS工業(yè)服務(wù)部建立了一支龐大的、技術(shù)底蘊深厚、在各行業(yè)均有豐富經(jīng)驗的功能安全和工控網(wǎng)絡(luò)安全專家團(tuán)隊。為電力能源、石油化工、軌道交通、工業(yè)自動化、儲能等多個領(lǐng)域客戶提供一站式專業(yè)安全解決方案，充盈客戶安全產(chǎn)品的研發(fā)實力的同時助力提升企業(yè)在國際市場中的競爭力。

SGS是國際公認(rèn)的檢測、檢驗和認(rèn)證機構(gòu)，是全球公認(rèn)的質(zhì)量和誠信的基準(zhǔn)。成立于1878年，總部位于日內(nèi)瓦，至今SGS集團(tuán)在世界各地共有98,000多名員工，分布在2,650多個分支機構(gòu)和實驗室，構(gòu)成了全球性的服務(wù)網(wǎng)絡(luò)。