Waarvoor is de norm IEC 62443?

De IEC 62443 is een internationale normenreeks die zich richt op de cybersecurity van industriële automatisering en controlesystemen (IACS). Deze systemen worden vaak aangeduid als Operationele Technologie (OT) en zijn cruciaal voor het functioneren van bijvoorbeeld fabrieken, energiecentrales, waterzuiveringen en transportnetwerken.

Kort gezegd is het doel van IEC 62443 om deze industriële systemen te beschermen tegen cyberaanvallen en andere digitale dreigingen. Dit is van vitaal belang omdat een succesvolle aanval op OT-systemen kan leiden tot:

• Productieverlies: Stilstand van machines en processen.

• Veiligheidsrisico’s: Gevaar voor personeel, het publiek en het milieu.

• Financiële schade: Kosten voor herstel, reputatieschade en boetes.

• Verstoring van kritieke infrastructuur: Uitval van essentiële diensten.

• Waarvoor dient de IEC 62443 normenreeks in meer detail?

• Bieden van een raamwerk: Het biedt een gestructureerde aanpak en een gemeenschappelijke taal voor het adresseren van cybersecurityrisico’s in IACS-omgevingen.

• Risicobeheer: Het helpt organisaties bij het identificeren, analyseren en mitigeren van cybersecurityrisico’s. Dit gebeurt door middel van een risicogebaseerde benadering.

Definiëren van rollen en verantwoordelijkheden: De normenreeks verdeelt de verantwoordelijkheden voor cybersecurity over verschillende betrokken partijen:

• Asset Owners (Eigenaars van de installaties): Verantwoordelijk voor het specificeren en onderhouden van het gewenste beveiligingsniveau.

• System Integrators (Systeemintegratoren): Verantwoordelijk voor het ontwerpen en implementeren van beveiligde systemen.

• Product Suppliers (Productleveranciers): Verantwoordelijk voor het ontwikkelen van veilige componenten en systemen.

• Implementeren van “Defense in Depth”: Het promoot een gelaagde beveiligingsstrategie, waarbij meerdere beveiligingsmaatregelen op verschillende niveaus worden geïmplementeerd.

• Segmentatie (Zones en Conduits): Het introduceert het concept van het opdelen van het industriële netwerk in zones (groepen assets met vergelijkbare beveiligingseisen) en conduits (communicatiekanalen tussen zones) om de impact van een incident te beperken.

• Vaststellen van Security Levels (SLs): Het definieert verschillende beveiligingsniveaus (SL 0 t/m SL 4) die aangeven in welke mate een systeem of component bestand moet zijn tegen specifieke dreigingen.

• Specificeren van Foundational Requirements (FRs): Het beschrijft fundamentele beveiligingseisen waaraan systemen en processen moeten voldoen.

De IEC 62443 helpt organisaties om hun industriële processen en systemen weerbaarder te maken tegen cyberdreigingen door een alomvattende set van richtlijnen, processen en technische specificaties te bieden voor het ontwerpen, implementeren en beheren van veilige IACS-omgevingen. Het is een essentieel instrument geworden voor iedereen die betrokken is bij de beveiliging van operationele technologie. IEC 62443 is een internationale normenreeks die specifiek is ontwikkeld voor de cybersecurity van industriële automatiserings- en controlesystemen (Industrial Automation and Control Systems – IACS), ook wel bekend als Operationele Technologie (OT).

Het hoofddoel van IEC 62443 is om een raamwerk en concrete richtlijnen te bieden om deze industriële systemen te beschermen tegen cyberdreigingen. Deze systemen zijn cruciaal voor de aansturing van fysieke processen in vitale infrastructuren en industrieën, zoals:

• Productiebedrijven (fabrieken, procesindustrie)

• Energievoorziening (elektriciteitscentrales, netbeheer)

• Watermanagement (drinkwaterproductie, afvalwaterzuivering)

• Transport en logistiek

• Gebouwbeheersystemen

Waarvoor dient IEC 62443 concreet?

• Verbeteren van de digitale weerbaarheid: Het helpt organisaties om hun IACS te beveiligen tegen cyberaanvallen, die kunnen leiden tot productieverlies, schade aan apparatuur, milieu-incidenten, of zelfs gevaar voor mensen.

• Beschermen van kritieke infrastructuren: Veel IACS zijn onderdeel van kritieke infrastructuren. IEC 62443 helpt deze te beschermen tegen verstoringen.

• Risicobeheer: De norm promoot een risicogebaseerde aanpak. Organisaties moeten risico’s identificeren, analyseren en passende maatregelen nemen om ze te beperken tot een acceptabel niveau.

• Levenscyclusbenadering: IEC 62443 houdt rekening met cybersecurity gedurende de gehele levenscyclus van een IACS: van ontwerp en ontwikkeling, via implementatie en ingebruikname, tot operationeel beheer, onderhoud en uiteindelijke buitengebruikstelling. Dit wordt ook wel “security by design” genoemd.

• Duidelijke rollen en verantwoordelijkheden: De normenreeks definieert verantwoordelijkheden voor verschillende betrokken partijen:

• Asset Owners (eigenaren/beheerders van installaties): Verantwoordelijk voor de beveiliging van hun operationele systemen.

• Product Suppliers (leveranciers van systemen en componenten): Moeten veilige producten ontwikkelen en leveren.

• Service Providers (dienstverleners, zoals system integrators en onderhoudspartijen): Moeten hun diensten op een veilige manier uitvoeren.

• Definiëren van Security Levels (SLs): De norm introduceert het concept van Security Levels (beveiligingsniveaus), die aangeven welk niveau van beveiliging een systeem of component moet bieden tegen specifieke dreigingen. Dit helpt om de beveiligingsmaatregelen af te stemmen op de kritikaliteit van het systeem.

• Aanvulling op IT-beveiliging: Terwijl normen zoals ISO 27001 zich primair richten op informatiebeveiliging in IT-omgevingen (kantoorautomatisering), vult IEC 62443 deze aan met specifieke eisen voor de OT-wereld. In OT-omgevingen zijn continuïteit, beschikbaarheid en veiligheid (safety) vaak nog kritischer dan vertrouwelijkheid, wat een andere aanpak van cybersecurity vereist.

• Ondersteuning bij wet- en regelgeving: De norm kan organisaties helpen te voldoen aan toenemende wettelijke eisen op het gebied van cybersecurity, zoals de Europese NIS2-richtlijn.

Kortom, IEC 62443 biedt een gestructureerde en internationaal erkende methode om de cyberrisico’s voor industriële systemen aan te pakken en zo de veiligheid, betrouwbaarheid en continuïteit van industriële processen en kritieke infrastructuren te waarborgen.