Defense in depth, trusselmodellering, penetrationstest og meget mere - lær hvad IEC 62443-4-1 kræver af udviklingsprocessen. Denne artikel opsummerer hovedkoncepterne, kravene og hvordan standarden relaterer til andre reguleringer.
Koncepter og struktur i IEC 62443-4-1
IEC 62443-4-1 er baseret på konceptet "security by design". Målet er at integrere cybersikkerhed fra starten af i alle udviklingsfaser - fra kravanalyse gennem design og implementering til test, frigivelse og vedligeholdelse.
Standardens krav er grupperet i otte hovedpraksisser:
- Sikkerhedsledelse (Security Management)
- Specifikation af sikkerhedskrav (Specification of Security Requirements)
- Sikkert design (Secure Design)
- Sikker implementering (Secure Implementation)
- Sikkerhedsverificering og validering (Security Verification and Validation)
- Håndtering af sikkerhedsrelaterede problemer (Management of Security-Related Issues)
- Sikkerhedsopdateringsstyring (Security Update Management)
- Sikkerhedsretningslinjer (Security Guidelines)
Hver af disse praksisser indeholder flere detaljerede krav, der beskriver processer og aktiviteter for sikker produktudvikling.
Defense in depth
Et centralt koncept i IEC 62443-4-1 er "Defense in Depth" (forsvar i dybden). Dette princip kræver implementering af flere lag af sikkerhed for at beskytte et system. Ideen er, at hvis en sikkerhedsforanstaltning fejler eller omgås, forbliver yderligere beskyttende lag på plads.
I praksis betyder dette, at udviklere ikke bør stole på en enkelt sikkerhedsforanstaltning, men kombinere forskellige mekanismer på tværs af forskellige systemlag. Eksempler inkluderer netværkssegmentering, adgangskontrol, kryptering og logføring.
Modenhedsniveau
IEC 62443-4-1 introducerer konceptet modenhedsniveauer. Disse beskriver, hvor godt en organisation implementerer standardens krav. Der er fire niveauer:
- Indledende: Processer er ad hoc og ofte udokumenterede.
- Styret: Processer er dokumenterede og anvendt konsekvent.
- Defineret: Processer er standardiserede og anvendt på tværs af organisationen.
- Forbedring: Processer forbedres kontinuerligt baseret på målinger og feedback.
Disse niveauer giver virksomheder mulighed for at måle deres fremskridt i implementeringen af en sikker udviklingsproces og at forbedre trin for trin.
I forbindelse med certificeringer under IEC 62443-4-1 vurderes disse modenhedsniveauer og angives på certifikater.
Krav i IEC 62443-4-1
IEC 62443-4-1 organiserer krav i de otte praksisser, der er anført ovenfor:
Sikkerhedsledelse (Security Management)
Denne praksis danner grundlaget for hele den sikre udviklingsproces. Den inkluderer etablering og vedligeholdelse af en overordnet sikkerhedsledelses tilgang inden for organisationen. Dette dækker definition af roller og ansvar for sikkerhedsopgaver, sikring af tilstrækkelig sikkerhedsekspertise i teamet, fastlæggelse af sikkerhedspolitikker og processer, og kontinuerlig forbedring af disse processer. Beskyttelse af selve udviklingsmiljøet og sikker håndtering af kryptografisk materiale falder også under dette område.
Specifikation af sikkerhedskrav (Specification of Security Requirements)
Denne praksis fokuserer på at definere klare og omfattende sikkerhedskrav for det produkt, der skal udvikles. Den inkluderer oprettelse af en trusselmodel, der identificerer potentielle angreb og sårbarheder, samt definition af sikkerhedskonteksten, hvori produktet vil blive brugt. Baseret på dette formuleres specifikke sikkerhedskrav, som produktet skal opfylde. Disse krav gennemgår grundig gennemgang for at sikre fuldstændighed og gennemførlighed.
Sikkert design (Secure Design)
Denne praksis handler om at anvende sikkerhedsprincipper i produktdesign. Et nøglekoncept er "defense in depth" strategien, der giver flere beskyttelseslag. Designet skal overveje alle produktgrænseflader og definere sikkerhedsaspekter for hver grænseflade såsom adgangskontrol og datavalidering. Regelmæssige sikkerhedsgennemgange af designet hjælper med at sikre, at alle sikkerhedskrav er korrekt implementeret, og at ingen nye sårbarheder introduceres.
Sikker implementering (Secure Implementation)
Denne praksis handler om sikkert at omsætte designet til kode. Den inkluderer definition og anvendelse af sikre kodningsstandarder, der undgår kendte sårbarheder og usikre praksisser. Regelmæssige kodegennemgange og brug af statiske kodeanalyseværktøjer er beregnet til at sikre, at disse retningslinjer følges, og at der ikke eksisterer sikkerhedsfejl i koden.
Sikkerhedsverificering og validering (Security Verification and Validation)
Denne praksis har til formål at verificere effektiviteten af implementerede sikkerhedsforanstaltninger. Den inkluderer forskellige typer sikkerhedstest, såsom funktionelle test af sikkerhedskrav, test for at verificere trusselsbegrænsninger, sårbarheds testning og penetrationstest. Et vigtigt aspekt er uafhængighed af testere fra udviklere for at sikre en objektiv vurdering.
Håndtering af sikkerhedsrelaterede problemer (Management of Security-Related Issues)
Denne praksis etablerer processer til håndtering af sikkerhedsproblemer opdaget under udvikling eller efter produktlancering. Den inkluderer procedurer for modtagelse og sporing af sikkerhedsrapporter, vurdering og prioritering af sikkerhedsproblemer, og udvikling og levering af rettelser. Ansvarlig offentliggørelse af sikkerhedsproblemer til brugere er også en del af denne praksis.
Sikkerhedsopdateringsstyring (Security Update Management)
Denne praksis fokuserer på sikker styring af produktopdateringer. Den inkluderer processer til kvalificering af sikkerhedsopdateringer for at sikre, at de løser de tilsigtede problemer og ikke introducerer nye problemer. Sikker levering af opdateringer til brugere og dokumentation af ændringer er også dækket. Rettidig levering af kritiske sikkerhedsopdateringer er et vigtigt aspekt.
Sikkerhedsretningslinjer (Security Guidelines)
Den sidste praksis handler om at skabe omfattende sikkerhedsdokumentation for produktbrugere. Disse materialer, såsom manualer, skal muliggøre sikker integration, konfiguration, drift og vedligeholdelse af produktet. De inkluderer information om sikker opsætning, systemhærdning, bruger- og kontostyring, og sikker nedtagning af produktet. Regelmæssige gennemgange sikrer, at disse retningslinjer forbliver opdaterede og fuldstændige.
Når de mappes ind i en logisk oversigt, kan kravene til de individuelle praksisser repræsenteres som følger:
Indhold af IEC 62443-4-1
Relation til IEC 62443-4-2
Mens IEC 62443-4-1 beskriver processen for sikker udvikling, definerer IEC 62443-4-2 de konkrete tekniske sikkerhedskrav for IACS-komponenter. De to standarder supplerer hinanden:
- IEC 62443-4-1 specificerer, hvordan produkter skal udvikles sikkert.
- IEC 62443-4-2 specificerer, hvilke sikkerhedsfunktioner produkterne i sidste ende skal levere.
Et produkt udviklet i overensstemmelse med IEC 62443-4-1 skal være i stand til at opfylde kravene i IEC 62443-4-2. Processerne fra IEC 62443-4-1 sikrer, at de tekniske krav fra IEC 62443-4-2 implementeres og testes systematisk.
Relation mellem IEC 62443-4-1 og Cyber Resilience Act
IEC 62443-4-1 spiller en central rolle i implementeringen af den europæiske Cyber Resilience Act (CRA). Mens CRA sætter brede krav til cybersikkerheden af produkter med digitale elementer, giver IEC 62443-4-1 en detaljeret ramme for en sikker produktudviklingslivscyklus.
De procesrelaterede krav i CRA er i vid udstrækning dækket af IEC 62443-4-1, da standarden adresserer aspekter såsom sikkerhedsledelse, kravanalyse, sikkert design og implementering, samt håndtering af sårbarheder og opdateringer. Selvom IEC 62443-4-1 ikke eksplicit kræver en Software Bill of Materials (SBOM), fører dets konsistente anvendelse ofte til indsamling af den information, der er nødvendig for en SBOM.
For CRA's tekniske krav er IEC 62443-4-1 alene ikke tilstrækkelig og skal suppleres med andre standarder såsom ETSI EN 303 645 og EN 18031 for at dække alle aspekter. Overordnet giver IEC 62443-4-1 et solidt fundament for virksomheder til at opfylde CRA's procesrelaterede krav og til at følge en struktureret tilgang til udvikling af cybersikre produkter.
Mere om dette er tilgængeligt i vores artikel IEC 62443 som grundlag for implementering af Cyber Resilience Act.
Skabeloner til implementering af IEC 62443-4-1
Implementering af en sikker udviklingslivscyklus i overensstemmelse med IEC 62443-4-1 kan gøres betydeligt lettere ved at bruge passende skabeloner. Sådanne skabeloner giver et struktureret grundlag for forskellige aspekter af sikkerhedsledelse, fra kravanalyse til sårbarhedsstyring. De kan hjælpe virksomheder med at spare tid og ressourcer ved at levere bedste praksis og strukturer. Det er dog vigtigt at finde den rette balance mellem standardiserede skabeloner og virksomhedsspecifikke tilpasninger. For et detaljeret overblik over tilgængelige skabelonpakker, deres fordele og ulemper, og anbefalinger til udvælgelse og brug, se vores dybdegående artikel "IEC 62443-4-1 skabeloner en markedsoversigt og vores tilbud".
Konklusion
IEC 62443-4-1 tilbyder en omfattende ramme for udvikling af sikre produkter. Ved konsekvent at anvende kravene og opnå højere modenhedsniveauer kan producenter betydeligt forbedre og demonstrere sikkerheden af deres produkter. Sammen med IEC 62443-4-2 danner IEC 62443-4-1 et solidt grundlag for udvikling af produkter, der opfylder de stigende krav i industrien.