IEC 62443
En egen zon runt utrustningen utan att bygga om nätverket
IEC 62443 är en serie standarder för säkerhet i industriella styrsystem. Standarden beskriver hur du delar in anläggningen i zoner med kontrollerade förbindelser mellan dem. Indelningen kan vara svår att genomföra.
Zoner
Därför är det svårt att dela in anläggningen i zoner
Del 3-2 av standarden beskriver hur anläggningen ska delas in i zoner utifrån risk. Den beskriver också hur förbindelserna mellan zonerna ska skyddas. Standarden kallar förbindelserna för kanaler.
Problemet är att indelningen kräver att du känner till alla beroenden i nätverket. Ändringar i nätverket kan dessutom kräva stopp i driften.
Ett lås kan bilda en zon runt en maskin eller en grupp maskiner. Förbindelsen in till zonen skyddas med kryptering och certifikat. Du behöver inte kartlägga hela anläggningen först. Du behöver bara bestämma vem som ska få ansluta till just den zonen.
Grundkraven
De sju grundkraven och vad XoT hjälper till med
Standarden ställer sju grundläggande krav. De kallas FR 1 till FR 7, efter engelskans foundational requirements. Tabellen visar vilka av dem XoT hjälper till med.
| Grundkrav | Område | XoT |
|---|---|---|
| FR 1 | Identifiering och autentisering | Ja |
| FR 2 | Kontroll av vad användare får göra | Ja |
| FR 3 | Skydd mot obehöriga ändringar i systemet | Delvis |
| FR 4 | Sekretess för data | Ja |
| FR 5 | Begränsat dataflöde | Ja |
| FR 6 | Snabb hantering av händelser | Delvis |
| FR 7 | Att systemet är tillgängligt | Nej |
XoT hjälper helt till med fyra krav och delvis med två. FR 7 handlar om att själva styrsystemet ska vara tillgängligt. Det kan en produkt för åtkomst inte garantera.
Krav för krav
Så hjälper XoT till
FR 1 – identifiering och autentisering
Behörigheten bygger på certifikat, inte på adresser. Användaren och låset kontrollerar varandra två gånger i minuten.
FR 2 – kontroll av vad användare får göra
Regeln anger vem som får ansluta, till vilken utrustning, varifrån och när. Låset stoppar allt som regeln inte tillåter.
FR 3 – skydd mot obehöriga ändringar, delvis
Kravet gäller bland annat att kommunikationen inte ska kunna ändras på vägen. Det skyddar krypteringen i WireGuard. Skyddet av själva styrsystemet påverkar XoT inte.
FR 4 – sekretess för data
Trafiken mellan användaren och låset krypteras med WireGuard.
FR 5 – begränsat dataflöde
Trafiken går bara mellan en behörig användare och den utrustning som regeln gäller. Låset stoppar all annan trafik.
FR 6 – snabb hantering av händelser, delvis
Med Remote Access loggas varje anslutning. Loggen kan skickas till ett SIEM-system, som samlar loggar från hela verksamheten. XoT kan också kopplas till system som upptäcker intrång. Det är de systemen som upptäcker intrång. Åtgärderna vidtar din organisation.
Säkerhetsnivåer
Om säkerhetsnivåerna SL 1 till SL 4
Del 3-3 av standarden beskriver fyra säkerhetsnivåer, SL 1 till SL 4. SL står för security level. Nivån beror på hur kunniga och resursstarka angripare systemet ska stå emot.
Vilken nivå en anläggning når avgörs av hela systemet, inte av en enskild produkt. Därför påstår vi inte att XoT ger en viss nivå. Vi kan däremot beskriva exakt vad XoT gör. Det är det underlag som din systemintegratör behöver.
Vanliga frågor
Är XoT certifierat enligt IEC 62443?
Vi beskriver vad XoT gör i förhållande till grundkraven. Kontakta oss om du har frågor om certifiering.
Kan vi börja utan en färdig indelning i zoner?
Ja. Du kan börja med en maskin eller en grupp maskiner och fortsätta därifrån.
Hur beskriver vi XoT i dokumentationen?
Beskriv låset som gränsen till en zon och förbindelsen in som en skyddad kanal. Vi beskriver gärna hur förbindelsen är skyddad.
Det vi skriver här är vår tolkning av standarden. Det är ingen certifiering.
Be om underlag
Vi berättar gärna hur XoT förhåller sig till grundkraven i IEC 62443.