IT-säkerhet i industrin - standarder att bygga på

IT-säkerhet i industrin – standarder att bygga på. Och certifiera mot.

IT-säkerhet är mer än kryptering och lösenordshantering. Hur långt en angripare kan komma beror också på hur systemet är uppbyggt. I datanät i industrin är riskerna – och kraven på skydd – lite andra än i rent administrativa system. I industrisystem kan det vara viktigare att skydda produktionen och miljön, än att omedelbart hindra personuppgifter och andra data från att komma i orätta händer.

En serie standarder

För att ge riktlinjer för hur man bygger upp och hanterar IT-säkerheten i ett system för industriell processtyrning eller teknisk infrastruktur – eller, om man så vill, ett SCADA-system – har den internationella standardiseringsorganisationen IEC gett ut en serie standarder och rapporter i serien IEC 62443. Den bygger vidare på ett amerikanskt arbete, kallat ISA 99.

IEC 62443 fokuserar på hur man gör för att uppnå det önskade skyddet, som förstås beror på vilken nivå som valts för de olika delarna av systemet. Standarden bygger på en uppdelning av systemet i avgränsade zoner och kanaler med olika säkerhetsnivåer och därmed med olika strikta krav. Riskbedömningen är central i sammanhanget, eftersom hotbild, känslighet och möjliga konsekvenser är olika från anläggning till anläggning.

De hela förklaras och beskrivs i den första grundläggande delen, som finns tillgänglig som SEK TS 62443-1-1, se preview på de inledande avsnitten.

IEC 62443-serien fokuserar på industriella automationssystem, alltså det som ibland kallas OT – operational techology – till skillnad från IT (information technology). För det mer övergripande arbetet med informationssäkerhet har IEC och ISO tillsammans tagit fram standarderna i den kända serien ISO/IEC 27000. För andra sektorer kan det finnas särskilda IT-säkerhetsstandarder, som serien IEC 62351 för elkraftsystem. Inom andra pågår arbete, t ex inom det marina området med en kommande IEC 63154 för radio- och navigationssystem.

Klart för certifiering

IEC driver också i IECEE en omfattande internationell verksamhet, som gör det möjligt att få produkter certifierade mot internationella standarder från IEC. IECEE har tagit fram ett program för certifiering mot standarder i serien IEC 62443. För närvarande omfattas delarna -2-4, -3-3, -4-1 och-4-2, läs om dem här och här från vårt nyhetsarkiv.

IEC är sedan 1906 den internationella organisationen för standardisering inom el och elektronik. Den tekniska kommittén IEC TC 65, Industrial-process measurement, control and automation, har en central position i arbetet med standarder för ”industrins digitalisering”. Aktuella projekt i IEC TC 65 är bland andra IEC/IEEE 60802 för TSN (Time sensitive Networking) och IEC 62832 om digitala tvillingar. Motsvarighet hos SEK Svensk Elstandard är SEK TK 65, Industriell processtyrning.

SEK Svensk Elstandard gör det möjligt för svenska företag, myndigheter, högskolor och andra att bidra i arbetet med de här standarderna. De färdiga resultaten fastställs sedan som svensk standard, också av SEK Svensk Elstandard, som är utsett som svensk standardiseringsorganisation av regeringen.