Desmontando a IEC 62443
Primeiro artigo de uma série de três sobre a norma IEC 62443
O paradigma da indústria 4.0 e IoT oferece às empresas ICS muitas oportunidades, mas também ameaças de cibersegurança. Os ambientes industriais e de infraestruturas críticas devem preparar-se para o crescente número de ciberataques, a fim de evitar problemas de qualidade, segurança das pessoas/ambiente ou diminuição da produtividade.
A IEC 62443 é um conjunto de normas para oferecer uma abordagem sistemática à cibersegurança industrial: desde a auditoria de riscos até às operações.
Utilizando as técnicas explicadas na IEC 62443, os responsáveis pela segurança podem enfrentar os riscos para cada sistema e decidir como atuar em conformidade.
Neste artigo, explicaremos quais são os conceitos principais da norma que utilizaremos como base para construir, em publicações posteriores, uma arquitetura de referência para Wonderware.
Estrutura da IEC62443
O conjunto de documentos que fazem parte da IEC62443 está classificado em 4 categorias:
- Geral: Conceitos fundamentais, modelos de referência e terminologia
- Políticas e procedimentos: Detalha-se um guia para construir e manter um programa de gestão de cibersegurança e reforça a importância de ter políticas.
- Sistema: Tecnologias de proteção e requisitos para alcançar um nível de segurança determinado.
- Componentes: Requisitos técnicos de cibersegurança no ciclo de vida de desenvolvimento de produtos.
Objetivos
O objetivo principal da norma é reduzir os riscos que possam afetar os ativos que geram valor num ambiente industrial ou de infraestruturas críticas.
Para alcançar este objetivo, deve entender-se que:
- Ativo = físico (equipamentos, máquinas), lógicos (informação), pessoas (know-how) cuja existência e funcionamento agregam valor ao processo. Para avaliar o impacto de uma ameaça, devem ser avaliados tanto quantitativa como qualitativamente.
- Risco = a probabilidade de que uma ameaça ocorra devido à existência de vulnerabilidades que o permitem, produzindo um efeito negativo sobre os ativos do processo
- Ameaça = evento ou ação prejudicial para um ativo ou sistema.
- Vulnerabilidade = fraqueza inerente de um ativo ou sistema que pode ser aproveitada, intencionalmente ou não, para que uma ameaça se concretize.
- Contramedida = ação ou sistema destinado a eliminar vulnerabilidades ou os efeitos das ameaças associadas. Podem ser técnicas (autenticação, IDS, anti-malware, …), administrativas (políticas, procedimentos) ou físicas (barreiras, portas, …)
Conceitos básicos
O procedimento básico de segurança de uma infraestrutura industrial, segundo a IEC 62443, consiste (de forma resumida e simplificada) nos seguintes passos:
1. Identificar as zonas, condutas e canais.
- Zona
Agrupamento lógico de ativos que partilham os mesmos requisitos de segurança. Podem ter subzonas que herdam as suas características e permitem desenvolver estratégias de defesa em profundidade.
- Conduta
Agrupamento lógico de ativos que partilham os mesmos requisitos de segurança. Podem ter subzonas que herdam as suas características e permitem desenvolver estratégias de defesa em profundidade.
- Canal
Agrupamento lógico de ativos que partilham os mesmos requisitos de segurança. Podem ter subzonas que herdam as suas características e permitem desenvolver estratégias de defesa em profundidade.
2. Identificar o nível de proteção desejado de cada zona e conduta.
A IEC 62443 indica que, para cada zona, conduta, se deve decidir qual é o nível de proteção desejado para cada um dos requisitos fundamentais de proteção.
Os níveis de segurança definidos na norma são:
Os requisitos fundamentais de segurança definidos pela IEC 62443 são:
Portanto, o nível de segurança desejado é representado por:
SL-T(Zona) = {AC UC DI DC RDF TRE RA}
onde cada elemento do vetor é um número de 1 a 4.
3. Avaliar o nível de proteção atual
De forma análoga, para cada uma das zonas e/ou condutas, será avaliado o nível de segurança em função de se cumprirem os requisitos de sistema e de melhoria de cada um dos requisitos fundamentais mencionados anteriormente.
Desta forma:
SL-T(Zona) = {AC UC DI DC RDF TRE RA}
4. Aplicar contramedidas necessárias para que SL-A (Zona) >= SL-T (Zona)
Modelos de referência
Nos diferentes modelos que a IEC 62443 apresenta, pode dar-nos uma ideia de como definir as zonas na nossa infraestrutura, embora, como se pode observar, a dimensão das zonas seja arbitrária, podendo ser criadas tão grandes ou tão pequenas quanto se considere oportuno, de acordo com as características de cada uma.
Recomenda-se manter um grau de “paranoia” baixo no início e ir criando subzonas à medida que o processo iterativo de melhoria vai sendo executado.
