IEC 62443-3-2-2020 PDF

Полное наименование и описание

IEC 62443-3-2:2020 — Security for industrial automation and control systems — Part 3-2: Security risk assessment for system design. Стандарт задаёт методику и требования для проведения кибербезопасностной оценки рисков при проектировании систем автоматизации и управления (IACS), включая определение System Under Consideration (SUC), разбиение на зоны и каналы (zones and conduits), оценку рисков и установление целевых уровней безопасности (SL‑T).

Аннотация

Стандарт описывает структурированный процесс оценки киберрисков на этапе системного проектирования: идентификация границ SUC и точек доступа, начальная оценка риска, разделение системы на зоны и каналы, детальная оценка угроз и уязвимостей, определение последствий и вероятностей, сопоставление с приемлемым уровнем риска и установление целевых уровней безопасности (SL‑T). В документе приведены требования к документации результатов и примеры матриц риска и рабочих потоков.

Общая информация

• Статус: Публикован.
• Дата публикации: 24 июня 2020 г.
• Организация-издатель: Международная электротехническая комиссия (IEC), разработан техническим комитетом TC 65; документ также опубликован и распространяется через ANSI/ISA как ANSI/ISA‑62443‑3‑2‑2020.
• ICS / категории: 25.040.40 (Industrial process measurement and control) и 35.030.
• Редакция / версия: Издание 1.0 (2020).
• Количество страниц: 31.

Область применения

IEC 62443-3-2:2020 применяется при проектировании и интеграции промышленных автоматизированных систем (SCADA, DCS и иных IACS) для формализации требований к кибербезопасности, определения границ системы и зон/каналов, и установления целевых уровней безопасности для отдельных зон/каналов. Стандарт пригоден для владельцев активов, системных интеграторов, поставщиков продуктов и услуг, а также для органов контроля и аудита при оценке соответствия проектных решений требованиям кибербезопасности.

Ключевые темы и требования

• Идентификация System Under Consideration (SUC) и точек доступа.
• Проведение начальной и детальной оценки киберрисков (выявление угроз, уязвимостей, оценка последствий и вероятностей).
• Разбиение SUC на зоны и каналы (zones and conduits) с описанием характеристик и границ.
• Сопоставление рассчитанного (негашённого) риска с приемлемым уровнем и определение целевого уровня безопасности SL‑T для каждой зоны/канала.
• Формирование документации: спецификация требований к кибербезопасности для системы, графические схемы зон/каналов, предположения об угрозной среде и утверждение заказчиком.
• Предоставление рабочих примеров, матриц риска и рекомендованных рабочих процессов для повторяемого и аудируемого подхода.

Применение и пользователи

Основные пользователи — владельцы активов (asset owners), инженеры по системному проектированию, системные интеграторы, поставщики компонентов и поставщики услуг по кибербезопасности OT. Стандарт используется при проектных работах, при подготовке тендерной документации и как часть доказательной базы при аудите соответствия требованиям безопасности IACS.

Связанные стандарты

IEC 62443‑3‑2 является частью серии IEC 62443. На практике тесно связана с частями 3‑3 (System security requirements and security levels), 4‑1 (Secure product development lifecycle requirements) и 4‑2 (Technical security requirements for components), а также с публикуемыми руководствами и национальными/функциональными адаптациями (ANSI/ISA и национальные EN/DIN издания).

Ключевые слова

IACS, SUC, zone, conduit, SL‑T, security level, risk assessment, OT security, cybersecurity requirements specification, zones and conduits.

FAQ

В: Что это за стандарт?

О: Стандарт определяет процесс и требования для проведения оценки киберрисков при проектировании промышленных систем автоматизации — от определения границ системы до установления целевых уровней безопасности для зон и каналов.

В: Что он регулирует?

О: Он регламентирует методы идентификации SUC, начальную и детальную оценку риска, разбиение на зоны/каналы, определение последствий и вероятностей, сравнение риска с приемлемым уровнем и выбор целевых уровней безопасности, а также требования к документации и утверждению результатов.

В: Кто обычно использует?

О: Владельцы активов, проектные команды, системные интеграторы, поставщики продуктов и услуг по кибербезопасности для OT, а также аудиторы и регуляторы при проверках проектной документации.

В: Он актуален или заменён?

О: На момент публикации и в настоящее время IEC 62443‑3‑2:2020 является действующим стандартом; в метаданных IEC указана стабильность документа до 2027 года. При необходимости актуальности и совместимости с национальными версиями рекомендуется проверять официальные реестры стандартов.

В: Это часть серии?

О: Да — это часть серии IEC 62443, комплекса стандартов по кибербезопасности промышленных систем, и логически дополняет части, которые задают технические требования к компонентам, жизненный цикл разработки и системные требования.

В: Какие ключевые слова?

О: SUC, zone, conduit, SL‑T, risk assessment, IACS, OT security, cyber security requirements specification.