Die IEC 62443 befasst sich hauptsächlich mit der OT-Security. Sie wurde ursprünglich als Standard für die Automatisierungstechnik in der Prozessindustrie entwickelt und deckt heute alle Industriebereiche ab. Genannt werden außerdem die Kompatibilität mit internationalen IT-Securitystandards wie ISO 27001 und ISO 27002, umfangreiche und konkrete Maßnahmen für IACS sowie die Adressierung aller Rollen von Maschinen- und Anlagenbauern, Komponentenherstellern und Betreibern.
Die Hauptziele der IEC 62443 sind die Etablierung eines Defense-in-Depth-Konzepts durch die Bildung von Zonen und Conduits, die Priorisierung der Zonen, die Erstellung einer Risikoanalyse, die Definition des Security Levels für die einzelnen Zonen einer Anlage und für die Komponenten sowie die Umsetzung organisatorischer Prozesse.
Die Priorisierung kann meist nicht für die gesamte Automatisierungslösung einheitlich vorgenommen werden. Sie hängt von der Grundfunktion einer Zone und von der Risikoanalyse ab. Für eine Safety-Zone sollte die Integrität oberste Priorität haben, damit die Safetyfunktionen korrekt funktionieren. Für einen IT-Standardbereich wird als hohe Priorität die Vertraulichkeit genannt, für Standard-Automatisierung die Verfügbarkeit und für Fail-Safe-Automatisierung die Integrität. Auf mittlerer und niedriger Ebene verschieben sich diese Gewichtungen entsprechend zwischen Integrität, Vertraulichkeit und Verfügbarkeit.
Der Schutz vor Cyber-Risiken in einer Anlage muss ganzheitlich erfolgen. Er ist nicht mit einer einzigen Maßnahme zu erreichen. Alle Beteiligten müssen an der Umsetzung der Maßnahmen mitwirken. Genannt werden Sensibilisierung von Mitarbeitern und Führungskräften, physische Security durch Geräte, Leitlinien, Risikoanalyse und OT-Securitymanagement sowie die drei Grundbereiche Menschen, Technologie und Prozesse.
Die IEC 62443 ist als Normenreihe in sechs Teile gegliedert. Teil 1 umfasst allgemeine Konzepte für industrielle Kommunikationsnetze. Dazu gehören Begriffe, Definitionen, Glossare und Konzepte. Teil 2 behandelt das OT-Security-Management-System. Dazu zählen Anforderungen für die sichere Implementierung von Managementprozessen wie CSMS oder IACS-SP sowie der Integrationsprozess einer Automatisierungslösung. Teil 3 umfasst Security Level und Systemanforderungen und beschreibt Anforderungen und Maßnahmen für die OT-Security des IACS-Systems. Teil 4 betrifft eingebettete Securitykomponenten und damit Anforderungen oder Maßnahmen für die OT-Security industrieller Komponenten wie Firewall, Switch oder andere IACS-Komponenten. Teil 5 betrifft Security Profile und wird in der Unterlage als in Arbeit bezeichnet. Teil 6 behandelt die Methodik der Securityevaluation, also Securitybewertungsmethoden für IACS-Komponenten und für das CSMS.
Innerhalb dieser Struktur werden zentrale Teilnormen genannt. In Teil 1-1 geht es um allgemeine Konzepte. Dieser Teil wird als Grundlage beschrieben und umfasst allgemeine Konzepte, Terminologien, Security-Lebenszyklus, allgemeine Methoden und den IT- und OT-Securitykontext.
In Teil 2-1 geht es um den Aufbau eines Security Programms beziehungsweise eines Cyber-Security-Management-Systems für Betreiber und gegebenenfalls Integratoren. Dazu gehören organisatorische Maßnahmen wie die Einrichtung interner Zuständigkeitsketten für IT und OT, die Definition interner OT-Richtlinien für Inbetriebnahme, Betrieb und Wartung, die Festlegung des Maturity Levels sowie die Implementierung eines IACS-Security-Programms über interne IT-Prozesse wie Patch- und Schwachstellenmanagement, Risikomanagement, Changemanagement und Auswahl von Komponenten.
Teil 2-2 beschreibt das IACS Security Protection Scheme. Es enthält Leitlinien für Entwicklung, Validierung, Betrieb und Wartung einer strukturierten Reihe technischer, physischer und prozessbezogener Sicherheitsmaßnahmen und bietet einen systematischen Ansatz zur Verringerung von Cybersicherheitsrisiken während der Betriebsphasen.
Teil 2-3 behandelt Patch-Management in der IACS-Umgebung für Betreiber und Komponentenhersteller. Beschrieben werden Anforderungen zur Einführung und Pflege eines IACS-Patch-Management-Programms, ein definiertes Format für die Verteilung von Security-Patch-Informationen von Herstellern zu Betreibern sowie Aktivitäten bei Erstellung, Bereitstellung und Installation von Patches.
Teil 2-4 richtet sich an Integratoren. Er spezifiziert Anforderungen an Integration und Instandhaltungsprozesse mit Schwerpunkt auf Recovery Management sowie Patch- und Schwachstellenmanagement von IACS. Teil 2-5 liefert Leitlinien für den Betrieb eines wirksamen IACS-Cyber-Security-Management-Systems und richtet sich an Endnutzer und Betreiber, die für den Betrieb eines solchen Programms verantwortlich sind.
In Teil 3-1 geht es um Security-Technologien für IACS. Genannt werden Kryptographie, Authentifizierung, Netzwerk-Security, Intrusion Detection und Firewalls. Dieser Teil unterstützt Integratoren und Betreiber bei Auswahl und Implementierung geeigneter Security-Technologien.
Teil 3-2 behandelt das Security Risk Assessment und das Systemdesign. Die Risikoanalyse muss das System Under Consideration, Bedrohungen, Schwachstellen, das gewünschte Security Level SL-T, Gegenmaßnahmen und die Verifikation der Gegenmaßnahmen erfassen. Dieser Teil richtet sich an Betreiber und Integratoren.
Teil 3-3 enthält System-Security-Anforderungen und Security Levels. Für die Integration eines Systems bezieht sich der Maschinenhersteller zentral auf die Anforderungen dieses Teils. Auf Basis einer zuvor definierten SL-T werden grundlegende Anforderungen in Form von Foundational Requirements, System Requirements und Requirement Enhancements spezifiziert. Der Integrator muss nachweisen, dass das vom Betreiber geforderte Security Level erfüllt wurde; dies wird als SL-A protokolliert. Die Gegenmaßnahmen in diesem Teil der Norm erfolgen durch technische Maßnahmen.
Teil 4-1 behandelt Anforderungen an den Lebenszyklus der securen Produktentwicklung für Komponentenhersteller. Genannt werden acht Bereiche: Management der Entwicklung, Definition von Security-Anforderungen, Entwurf von Security-Lösungen, sichere Entwicklung im Lebenszyklus, Testen von IT-Security-Eigenschaften, Umgang mit Schwachstellen, Erstellen und Veröffentlichen von Updates sowie Dokumentation der Security-Eigenschaften.
Teil 4-2 behandelt technische Security-Anforderungen für IACS-Komponenten. Dieser Teil befasst sich mit der Entstehung von Schwachstellen bei Komponenten und mit Maßnahmen zur Stärkung ihrer Robustheit gegenüber Cyber-Bedrohungen. Die Maßnahmen werden in drei Bereiche eingeteilt: Security Level für Komponenten (SL-C), Common Component Security Constraint und die Spezifikation von Anforderungen für vier Komponentenklassen: unterstützende Software-Anwendungen, Embedded-Geräte, Netzwerkgeräte und Host-Geräte.
Teil 6-1 und Teil 6-2 betreffen die Methodik der Security-Evaluierung. Teil 6-1 behandelt die Evaluierung für IEC 62443-2-4 und unterstützt Dienstleister sowie Gutachter bei der Durchführung einer Konformitätsbewertung. Teil 6-2 behandelt die Evaluierung für IEC 62443-4-2 und unterstützt Gutachter, Anbieter, Betreiber, Zertifizierungsorganisationen oder andere Parteien bei der Bewertung von IACS-Komponenten anhand der Anforderungen von IEC 62443-4-2.
Die Grundlagen der IEC 62443 bestehen damit aus vier Kernelementen: einer OT-spezifischen Normenreihe mit sechs Teilen, einer risikobasierten Priorisierung von Schutzzielen, einem ganzheitlichen Schutzansatz über Menschen, Technologie und Prozesse sowie einer klaren Aufteilung von Anforderungen für Betreiber, Integratoren und Komponentenhersteller. Zusammen bilden diese Elemente die Grundlogik der Normenreihe.