Vaatimustaulukoissa käytetään IEC 62443 -sarjan lyhenteitä vaatimuksille, tarkennuksille sekä tietoturva- ja kypsyystasoille.
1. IEC 62443-3-3 – Tekniset tietoturvavaatimukset
| Lyhenne | Englanniksi | Merkitys |
|---|---|---|
| FR | Foundational Requirement | Tietoturvan perusvaatimusalue |
| SR | System Requirement | Järjestelmätason tietoturvavaatimus |
| RE | Requirement Enhancement | Vaatimuksen lisätarkennus tai tiukennus |
| SL | Security Level | Tietoturvataso (0–4) |
| SL-T | Target Security Level | Tavoiteltu tietoturvataso |
| SL-A | Achieved Security Level | Saavutettu tietoturvataso |
| SL-C | Security Level Capability | Järjestelmän tekninen tietoturvakyvykkyys |
| IACS | Industrial Automation and Control System | Teollisuusautomaatio- ja ohjausjärjestelmä |
Esimerkki: SR 1.1 RE 1
Vaatimustaulukon tunnus SR 1.1 RE 1 tarkoittaa seuraavaa:
- FR 1: Identification and Authentication Control – tunnistaminen ja todentaminen.
- SR 1.1: Human user identification and authentication – käyttäjien tunnistaminen ja todentaminen.
- RE 1: Unique identification and authentication – jokainen käyttäjä on tunnistettava ja todennettava yksilöllisesti.
Käytännössä esimerkiksi WinCC Unified -järjestelmässä tämä tarkoittaa yksilöllisiä käyttäjätunnuksia yhteiskäyttöisten tunnusten sijaan.
2. IEC 62443-3-3 – Tietoturvan seitsemän perusvaatimusaluetta
| FR | Nimi | Merkitys |
|---|---|---|
| FR 1 | Identification and Authentication Control (IAC) | Tunnistaa ja todentaa ihmiset, ohjelmistoprosessit ja laitteet ennen pääsyn sallimista. Käytännössä tähän kuuluvat esimerkiksi käyttäjätunnukset, salasanat, varmenteet ja tunnusten elinkaaren hallinta. |
| FR 2 | Use Control (UC) | Rajaa todennetun käyttäjän tai laitteen toiminnan sille myönnettyihin oikeuksiin. Esimerkiksi operaattori saa käyttää prosessia, mutta ohjelman tai suojausasetusten muuttaminen edellyttää erillistä oikeutta; olennaiset toimet kirjataan lokiin. |
| FR 3 | System Integrity (SI) | Suojaa järjestelmän ohjelmistoja, asetuksia ja tietoja luvattomilta muutoksilta. Käytännön keinoja ovat esimerkiksi haittaohjelmasuojaus, syötteiden tarkistus sekä ohjelmistojen ja tiedonsiirron eheyden varmistaminen. |
| FR 4 | Data Confidentiality (DC) | Estää tietojen paljastumisen luvattomille osapuolille sekä siirron että tallennuksen aikana. Suojattavia tietoja voivat olla esimerkiksi salasanat, reseptit ja tuotantotiedot; keinoja ovat salaus ja tietojen turvallinen poistaminen. |
| FR 5 | Restricted Data Flow (RDF) | Rajoittaa tiedonkulun vyöhykkeiden välillä vain hyväksyttyihin yhteyksiin. Esimerkiksi ohjausverkko erotetaan toimistoverkosta ja palomuuri sallii vain tarvittavat liikennesuunnat, palvelut ja protokollat. |
| FR 6 | Timely Response to Events (TRE) | Mahdollistaa tietoturvatapahtumien havaitsemisen ja oikea-aikaisen käsittelyn. Lokien saatavuus ja jatkuva valvonta auttavat tunnistamaan esimerkiksi toistuvat epäonnistuneet kirjautumiset ja käynnistämään sovitut vastatoimet. |
| FR 7 | Resource Availability (RA) | Ylläpitää olennaisten toimintojen ja resurssien saatavuutta myös kuormitus- ja häiriötilanteissa. Käytännön keinoja ovat palvelunestolta suojautuminen, resurssien hallinta, varmuuskopiointi ja palautus sekä tarvittaessa varavoima. |
3. IEC 62443-2-1 – Organisaation tietoturvaprosessit
Prosessivaatimusten taulukossa käytetään seuraavia lyhenteitä.
| Lyhenne | Englanniksi | Merkitys |
|---|---|---|
| SPE | Security Program Element | Tietoturvaohjelman osa-alue |
| ORG | Organization | Organisaatioon ja tietoturvapolitiikkaan liittyvät vaatimukset |
| ML | Maturity Level | Tietoturvaprosessien kypsyystaso |
| IACS | Industrial Automation and Control System | Teollisuusautomaatio- ja ohjausjärjestelmä |
Esimerkiksi ORG 1 tarkoittaa organisaation tietoturvarakenteeseen ja tietoturvapolitiikkaan liittyvää vaatimuskokonaisuutta.
4. SL ja ML – Mikä on niiden ero?
Nämä menevät helposti sekaisin, vaikka ne mittaavat eri asioita.
| Vertailu | SL – Security Level | ML – Maturity Level |
|---|---|---|
| Standardi | IEC 62443-3-3 | IEC 62443-2-1 |
| Kohde | Järjestelmän tekninen tietoturva | Organisaation tietoturvaprosessit |
| Asteikko | 0–4 | 1–4 |
| Esimerkki | PLC:n ja SCADA:n pääsynhallinta, tietoliikenteen suojaus | Päivitysten, riskien ja poikkeamien hallintaprosessit |
Keskeinen ero: SL kuvaa järjestelmän tietoturvaominaisuuksia suhteessa määriteltyyn uhkatasoon, kun taas ML kuvaa, kuinka järjestelmällisesti organisaatio toteuttaa tietoturvaprosessejaan.
IEC 62443-3-3 -välilehden Level-sarake viittaa tietoturvatasoon, jolla kyseinen SR- tai RE-vaatimus tulee sovellettavaksi. Se ei siis yksin kerro, minkä tietoturvatason järjestelmä on saavuttanut.