Etusivu / Standardisarjan rakenne
Osa 01 · Kuvaus
IEC 62443 -standardisarjan rakenne
Missä sarja syntyi, mitä se kattaa, mitkä sen osat ovat ja kenen vastuulla mikäkin on. Tämä on standardin kuvaus — ei vaatimusten korvike.
Tausta ja historia
Työ alkoi Yhdysvalloissa ISA99-komiteassa, joka määritteli teollisten ohjausjärjestelmien kyberturvallisuuden periaatteet. Tuloksena syntyi ISA-62443-sarja, joka on sittemmin omaksuttu IEC:n puolella saman sisältöisinä dokumentteina: ISA julkaisee osan muodossa ISA-62443-x-y ja IEC saman tekstinä IEC 62443-x-y.
- 2002– ISA99-komitea aloittaa teollisen ohjausjärjestelmien turvallisuustyön.
Lähtökohtana on, ettei ICT-standardeja voida soveltaa suoraan ohjaustekniikkaan.
- 2009 Ensimmäiset osat julkaistaan: IEC/TS 62443-1-1 (käsitteet ja mallit) sekä IEC/TR 62443-3-1 (tietoturvateknologiat).
- 2013 Järjestelmätason ydin IEC 62443-3-3 julkaistaan: 51 vaatimusta seitsemän perusvaatimuksen alle ja tasoitus 1-4.
- 2018–2019 Komponenttiosat 4-1 (turvallinen tuotekehitys) ja 4-2 (komponenttitekniset vaatimukset) julkaistaan.
- 2020 IEC 62443-3-2 julkaistaan: riskiarviointi sekä vyöhykkeiden ja yhteyksien jako-menettely tavoitetasojen määrittämiseksi.
- 2021 IEC nimeää sarjan horisontaaliseksi standardiksi — sitä sovelletaan kaikilla toimialoilla, ei pelkästään prosessiteollisuudessa.
- 2023–2024 Päivittyvät osat: 2-4:2023 (palveluntarjoajat), 2-1:2024 (omistajan turvallisuusohjelma, uusi SPE-rakenne ja kypsyyshallintamalli) sekä TS 62443-6-1:2024 (arviointimenetelmä).
- 2026 Sarjaa täydennetään osilla 1-x (sanasto, mittarit, elinkaari) ja 6-x (arviointimenetelmiä) sekä 2-5:n (toteutusohjeistus) kautta.
Laajuus: mitä sarja kattaa
Kohdekohteena on IACS (Industrial Automation and Control Systems) eli kaikki prosessien ohjaukseen, valvontaan ja automaatioon liittyvä: PLC- ja DCS-järjestelmät, SCADA, kenttälaitteet, ohjausverkot ja niihin liittyvä henkilöstö, toimintatavat ja huolto.
Sarja on holistinen: se ei vaadi vain teknisiä turvatoimia, vaan myös organisaation toimintatapoja, koulutusta ja sopimusehtoja koko elinkaarrella — suunnittelusta tuotannon loppuun vievään tuotteen käyttöönottoon ja käytöstä poistamiseen.
IT-ympäristö ja OT-ympäristö poikkeavat toisistaan: laitteiden käyttöikä voi ylittää 20 vuotta, saatavuusvaatimukset ovat tiukat, päivitykset vaativat tuotantokatkon ja moni järjestelmä ei enää tuota tietoturvapäivityksiä. 62443 tunnustaa tämän ja tarjoaa kompensoivia toimia vanhalle kalusteelle. 62443 täydentää ISO/IEC 27000-sarjaa, ei poista sitä.
Sarjan rakenne ja osat
Osat on ryhmelty neljään sarjaan (1-x yleiset, 2-x toimintatavat, 3-x järjestelmä, 4-x komponentit) sekä arviointimenetelmiin (6-x). Lajityyppi on merkityksellinen: IS = kansainvälinen vaatimustandardi, TR = tekninen raportti (ohjeistava, ei vaatimus), TS = tekninen erityismääräys.
| Osa | Nimi / aihe | Tyyppi | Painos | Kohde | Ydin |
|---|
Taulukko kuvaa sarjan rakenteen ja keskeisimmät painokset. Tarkista aina IEC Webstoresta, mikä painos on ajantasainen ja voimassa.
Kolme pääroolia
Turvallisuusohjelma ja riskit
Käyttöjärjestelmän omistaja (ja operaattori) kartoittaa omaisuuden, tekee riskiarvioinnin, asettaa SL-tavoitteet, ylläpitää turvallisuusohjelmaa ja vaatii sitä sopimuksissa. Keskeiset osat: 2-1, 2-3, 3-2.
Toteutus ja huolto
Integraattori ja huoltopalvelu toteuttavat vaatimusselostuksen, konfiguroivat vyöhykkeet ja yhteydet sekä dokumentoivat saavutetun tilan. Keskeinen osa: 2-4 + 6-1.
Tuotekehitys ja komponentti
Valmistaja noudattaa turvallista kehitysprosessia ja toimittaa komponentin, jonka kykytaso (SL-C) riittää vyöhykekohtaiseen tavoitteeseen. Keskeiset osat: 4-1, 4-2.
Suhde muihin standardeihin ja sertifiointiin
- ISO/IEC 27001 / 27002 — yleinen tietohallinnon ohjausjärjestelmä. 62443 sitoo samat käytännöt teolliseen ympäristöön ja lisää vyöhykejakoa, SL-tasoja ja komponenttivaatimuksia.
- IEC 62264 / ISA-95 — tuotannon hallintatasot. 62443 jakaa vyöhykkeet riskin mukaan, ei tuotannon hierarkian mukaan, vaikka rakenne muistuttaakin samaa jaottelua.
- NIS2, EU CRA, küberresilience-laki — lainsäädäntö vaatii riskipohjaista käsittelyä ja toimittajien turvallisuutta; 62443 toimii näissä usein todistuskehyksenä. 62443:aa käytetään myös hankinnoissa vaatimustekstinä.
- Sertifiointi — IECEE Industrial Cyber Security Programme sekä ISASecure-hanke (SDLA = 4-1, ICSA = 4-2) tarjoavat riippumattoman vahvistuksen. Arviointimenetelmiä ovat TS 62443-6-1 ja TS 62443-6-2.
1-1 antaa käsitteet → 2-1 ohjelman → 3-2 riskin ja vyöhykkeet → 3-3 vaatimukset ja tavoitteet → 3-3 / 4-2 toteutus ja ostot → 2-4 / 6-x todennus.