معرفی استاندارد ISA/IEC 62443؛ امنیت سیستم های اتوماسیون و کنترل صنعتی

با عنایت به نقش اساسی و عملکردی اتوماسیون صنعتی در مدیریت و کنترل زیرساختهای حیاتی کشور بالاخص در صنعت انرژی، علیرغم حساسیت بالا و اهمیت ویژه حوزه اتوماسیون و کنترل صنعتی از منظر امنیت اطلاعات، به نظر می رسد نگاه استاندارد امنیتی به این حوزه نسبت به فضای فناوری اطلاعات از بلوغ کمتری برخوردار است. از سوی دیگر انتشار بدافزار استاکس نت که درسالهای اخیر در سیستم های صنعتی رخ داد، اهمیت این موضوع را دو چندان نموده است. در این مقاله به معرفی استاندارد ISA/IEC 62443 امنیت سیستم های اتوماسیون و کنترل صنعتی می پردازیم.

در گذشته دستور العمل جامعی برای ایمن سازیindustrial automation and control system (IACS) که به معنای اتوماسیون و کنترل صنعتی می باشد ایجاد نشده بود به همین دلیل لزوم ایجاد یک استاندارد برای امنیت اتوماسیون صنعتی احساس شد. در این مقاله قصد داریم استاندارد ISA/IEC 62443 را معرفی کنیم که برای سیستم های اتوماسیون صنعتی می باشد.

بسته به نوع سازمان، اتوماسیون صنعتی می تواند با آسیب پذیری های متعددی همراه باشد که مسبب مخاطرات امنیتی متعددی نیز است. علاوه بر این هر سازمانی که دارای اتوماسیون صنعتی می باشد آستانه تحمل متفاوتی را نسبت به ریسک های امنیت اطلاعات در این حوزه دارد.

استاندارد ISA/IEC 62443 مجموعه ای از اقدامات مهندسی را تعریف می کند که سازمان را در فرآیند شناسایی و ارزیابی ریسک و اعمال اقدامات متقابل امنیتی جهت کاهش ریسک ها به سطوح قابل پذیرش در اتوماسیون صنعتی راهنمایی می کند.

این استاندارد با همکاری ISA99 تهیه شده است که ISA99 کمیته امنیتی اتوماسیون صنعتی و سیستم های کنترل می باشد لازم به ذکر است ISA مخفف International Society of Automation می باشد.

نکته ای که باید به آن اشاره کرد این است که ISA Security Compliance Institute (ISCI) مالک و توسعه دهنده طرح صدور گواهینامه ISA Secure می باشد که شامل مجموعه قوانین و رویه‌هایی است که انواع محصولات و فرآیندهای آنها و نیازمندی‌های سیستم های اتوماسیون صنعتی را شناسایی می‌کند. به عبارت دیگر این استاندارد سیستم های DCS , SCADA را در می گیرد که شامل ابزارهای میزبان، ابزارهای شبکه و برنامه های کاربردی صنعتی می شود.

1-دامنه و اهداف

دامنه استاندارد ISA/IEC 62443 امنیت سیستم های اتوماسیون و کنترل های صنعتی می باشد.

IACS مجموعه‌ای از پرسنل، سخت‌افزار، نرم‌افزار و سیاست‌ها در عملیات فرآیند صنعتی است که می تواند بر عملکرد ایمن و مطمئن فرآیند صنعتی تاثیر گذار باشد به عبارت دیگر IACS فراتر از تکنولوژی کنترل صنعتی است‌که حوزه های امنیتی شامل محرمانه بودن، یکپارچگی و در دسترس بودن را در بر می گیرد.

بدون افرادی که آموزش کافی دیده باشند، اقدامات امنیتی مناسب و فرآیند های کاری در طول چرخه حیات امنیت می تواند IACS را در برابر حملات سایبری آسیب پذیر کند.

قسمت های استاندارد ISA/IEC 62443 در شکل زیر نمایش داده شده است.

Part 1-1: اصلاحات، مفاهیم و مدل های مورد استفاده در این قسمت معرفی می شوند. مخاطب اصلی کسانی هستند که می خواهند با مفاهیم اساسی آشنا شوند.

Part 2-1: ایجاد برنامه امنیتی IACS و آنچه که برای پیاده سازی مدیریت امنیت سایبری لازم است را توصیف می کند. مخاطب این قسمت مالکان دارایی هستند که مسئولیت طراحی و اجرای چنین برنامه ای را دارند.

Part 3-2 : ارزیابی ریسک امنیت سایبری و طراحی سیستم IACS در این قسمت مطرح می شود. خروجی های این قسمت مدل Zone and Conduit ، ارزیابی ریسک و سطوح امنیتی می باشد که در Cybersecurity مستند می شوند. این قسمت برای مالکان دارایی وارائه دهندگان خدمات یکپارچه است

Part 3-3: الزامات امنیتی و سطوح امنیتی سیستم IACS را بیان میکند و مخاطب اصلی آن تامین کننده گان محصولات سیستم IACS، مالکان دارایی، ارائه دهنده گان خدمات یک پارچه است.

Part 4-1 : الزامات چرخه عمر توسعه امنیت محصول را توصیف می کند و مخاطب اصلی آن تامین کننده های سیستم IACS می باشد.

Part 4-2 : الزامات فنی امنیتی را برای مولفه های IACS توصیف می کند لازم به ذکر است اجزاء IACS شامل موارد زیر می شود:

• embedded devices
• host devices
• network devices
• software applications

2-نقش های اصلی

برای درک نحوه استفاده از ISA/IEC 62443 ابتدا لازم است رابطه بین نقش ها، سیستم کنترل و IACS را بیان کرد. شکل زیر این رابطه را به خوبی نمایش داده است

سمت چپ شکل نقش هایی را نشان می دهد که در ISA/IEC 62443 مشخص شده است:

• Asset Owner: سازمان یا فردی است که در قبال IACS پاسخگو و مسئول است. همچنین می توان اپراتور IACS و تجهیزات تحت کنترل آن را هم به عنوان مالک دارایی شناسایی کرد.
• Maintenance Service Provider: فرد یا سازمانی است که خدمات مربوط به پشتیبانی Automation Solution را ارائه می دهد.
• Integration Service Provider: سازمانی است که فعالیت مربوط به یکپارچگی سازمانی را برای Automation Solution ارائه می دهد که شامل طراحی، نصب، پیکربندی و آزمایش می شود.
• Product Supplier: سازمانی است که محصول سخت افزاری و یا نرم افزاری را تولید و پشتیبانی می‌کند این محصولات ممکن است سیستم های IACS و یا اجزای آن باشد.

3-اجزاء سیستم اتوماسیون صنعتی

سمت راست شکل بالا اجزاء IACS را نشان داده شده است که در استاندارد ISA/IEC 62443 تعریف شده است.

• اجزاء IACS که توسط تامین کننده ها ارائه می شود شامل موارد زیر است:
  • Embedded device: دستگاه هایی که با هدف نظارت و کنترل مستقیم فرآیند صنعتی طراحی شده است.
  • Host device: ابزاری که دارای سیستم عامل است و می تواند برنامه ها، داده ها را در خود ذخیره کند
  • Network device: به ابزارهایی اشاره دارد که جریان داده را بین دستگاه ها تسهیل می کنند
  • Software application: برنامه های نرم افزاری که برای ارتباط با سیستم کنترل یا تجهیزات کنترل صنعتی استفاده می شود.
• سیستم IACS شامل مجموعه ای یکپارچه از اجزای IACS است که توسط تامین کننده محصول ارائه می شود.
• Automation Solution شامل توابع ضروری مانند توابع ایمنی (safety functions) و توابع کنترلی(control functions) و سایر توابع پشتیبانی می باشد. Automation Solution توسط مالک دارایی مشخص می شود و توسط ارائه دهنده خدمات یک پارچه ارائه می شود.

4-ارزیابی ریسک

قسمت 2-3 استاندارد الزامات مربوط به ارزیابی ریسک سایبری در IACS را تشریح می‌کند که شامل نواحی و مجاری (Zones and Conduits) و سطوح امنیتی می‌باشد. درحالی‌که قسمت 2-3 الزامات ارزیابی ریسک را تعیین می‌کند اما روش دقیق ارزیابی ریسک را مشخص نمی‌کند.

متدولوژی ارزیابی ریسک باید توسط مالک دارایی تعیین شود و باید مطابق با روش ارزیابی ریسک سازمان باشد. شکل زیر روند ارزیابی ریسک را نشان می‌دهد.

• Zone and Conduit

یک مرحله کلیدی در فرآیند ارزیابی ریسک تقسیم‌بندی سیستم در حال بررسی به مناطق و مجاری متفاوت است که هدف آن شناسایی دارایی‌هایی است که ویژگی‌های امنیتی مشترک دارند که این امر کمک می‌کند تا مجموعه‌ای از الزامات امنیتی مشترک برای کاهش ریسک‌های امنیتی ایجاد شود

Zone به عنوان گروه بندی  منطقی و یا فیزیکی دارایی ها تعریف می شود و میزان اهمیت این دارایی ها بر اساس معیارهایی مانند ریسک، عملکرد، دسترسی ها و... می باشد.

Conduit به عنوان گروه بندی منطقی کانال های ارتباطی تعریف می شود که الزامات امنیتی مشترکی را برای اتصال دو یا چند zone به اشتراک می گذارد.

لازم به ذکر است که پارتیشن‌بندی سیستم و تعیین ناحیه‌ها و مجاری می‌تواند دامنه حمله سایبری را کاهش دهد

بخش 2-3 توصیه می‌کند دارایی‌ها به دسته‌های زیر تقسیم‌بندی شوند:

• دارایی‌های مربوط به سیستم‌های کنترلی و سیستم‌های کسب‌وکار
• دارایی‌های مربوط به ایمنی
• دستگاه‌های که دارای اتصال موقت هستند
• دستگاه‌های بی‌سیم
• دستگاه‌های متصل از طریق شبکه خارجی

5-سطح امنیتی

سطح امنیتی به‌عنوان معیاری تعریف می‌شود که اطمینان حاصل می‌کند که سیستم مورد بررسی، ناحیه و مجاری عاری از آسیب‌پذیری بوده و عملکرد صحیح داشته باشند. قسمت 3-3 سطح امنیت را در مورد ابزارها، منابع، مهارت‌ها و انگیزه‌های عامل تهدید تعریف می‌کند که در جدول زیر نمایش‌داده‌شده است.

سه سطح امنیتی در استاندارد ISA/IEC 62443 وجود داردکه عبارتند از:

• Capability Security Levels (SL-C)
• Target Security Levels (SL-T)
• Achieved Security Levels (SL-A)

6- چرخه حیات

دو چرخه حیات در این استاندارد تشریح شده است:

• the Product Security Lifecycle
• the Automation Solution Security Lifecycle

چرخه حیات Automation Solution Security به دو فاز زیر تقسیم بندی می شود 

1. یکپارچه‌سازی
2. عملیات، تعمیر و نگهداری

 جدول زیر رابطه بین قسمت‌های مختلف استاندارد ISA/IEC 62443 و چرخه های حیات و فازهای مختلف را نشان می‌دهد.

نتیجه گیری:

 باتوجه‌به توسعه حملات سایبری در بخش صنعتی نیاز است که با استاندارد امنیتی ISA/IEC 62443 آشنا شویم که در بخش اول دامنه و اهداف استاندارد که امنیت سیستم‌های اتوماسیون و کنترل‌های صنعتی می‌باشد معرفی شد و در بخش دوم نقش‌های اصلی در استاندارد که شامل Asset Owner، Maintenance Service Provider، Integration Service Provider، Product Supplier معرفی شدند. در بخش سوم اجزاء سیستم اتوماسیون صنعتی و در بخش چهارم ارزیابی ریسک شرح داده شد. بخش های پنجم و ششم معرف سطح امنیتی و چرخه حیات سیستم اتوماسیون صنعتی هستند که در جدول‌های جداگانه نمایش‌داده‌شده‌اند.

مرجع :

WWW.ISASecure.org