Definition ISA-99 Was ist ISA-99?

Anbieter zum Thema

Moxa Europe GmbH

FTAPI Software GmbH

TXOne Networks

ISA-99 ist ein Cybersecurity-Standard für industrielle Automatisierungs- und Steuerungssysteme (IACS). Er wurde 2002 von der International Society of Automation (ISA) entwickelt und ging 2010 in der internationalen Normenreihe IEC 62443 auf. Die Normenreihe verfolgt einen ganzheitlichen Ansatz mit technischen und prozessualen Aspekten der Cybersicherheit. Sie richtet sich an Betreiber, Integratoren und Hersteller und soll helfen, potenzielle Schwachstellen zu identifizieren und zu beheben.

ISA-99 ist die Bezeichnung eines von der International Society of Automation (ISA) entwickelten Cybersecurity-Standards für industrielle Automatisierungs- und Steuerungssysteme (IACS). In ISA-99 fand das Anfang der 1990er-Jahre an der US-amerikanischen Purdue Universität entwickelte Purdue Reference Model Berücksichtigung. Mithilfe des Modells lassen sich Industrie- und Automationsnetze strukturieren. Das Referenzmodell definiert hierfür fünf verschiedene Bereiche (Level).

Im Jahr 2010 wurde ISA-99 in die Normenreihe IEC 62443 überführt. Mithilfe der internationalen Normenreihe sollen sich industrielle Automatisierungs- und Steuerungssysteme sicher implementieren und betreiben lassen. IEC 62443 verfolgt einen ganzheitlichen Ansatz und berücksichtigt sowohl technische als auch prozessualen Aspekte der Cybersicherheit. Der Sicherheitsstandard richtet sich an Betreiber, Integratoren und Hersteller. Er adressiert die spezifischen Belange der IT-Sicherheit industrieller Netze und Systeme. Potenzielle Schwachstellen sollen sich leichter identifizieren und beheben lassen.

Ziele von ISA-99 und der Normenreihe IEC 62443

ISA-99 wurde speziell für die spezifischen Belange der IT-Sicherheit industrieller Automatisierungs- und Steuerungssysteme entwickelt. Die Normenreihe IEC 62443 deckt alle Industriebereiche und kritische Infrastrukturen ab (KRITIS). Ziel ist es, industrielle Anlagen und kritische Infrastrukturen sicher zu implementieren und zu betreiben, um Produktionsausfälle oder die Kompromittierung der Systeme zu verhindern. Unternehmen sollen in die Lage versetzt werden, potenzielle Schwachstellen in der Sicherheit zu identifizieren und zu beheben. Alle Bestandteile inklusive Hard- und Software für einen sicheren und hochverfügbaren Betrieb automatisierter Industrieanlagen werden beschrieben.

Die vier Abschnitte der Normenreihe IEC 62443

Die Normenreihe IEC 62443 ist in vier Abschnitte unterteilt. Jeder Abschnitt enthält mehrere Dokumente. Die vier Abschnitte sind:

• General: grundsätzliche Begriffe, allgemeine Konzepte und Methoden

• Policies and Procedures: Leitlinien und Leitfäden zur Umsetzung organisatorischer Maßnahmen und zum Management der IT-Sicherheit industrieller Systeme

• System: Vorgaben für Sicherheitsfunktionen, technische Aspekte, Sicherheitslevel und Sicherheitsanforderungen.

• Components and Requirements: Anforderungen an Entwicklungsprozesse sicherer Komponenten industrieller Automatisierungs- und Steuerungssysteme

Die Konzepte Defense-in-Depth und Zones & Conduits

ISA-99 beschreibt unter anderem die beiden Konzepte Defense-in-Depth und Zones & Conduits. Defense-in-Depth lässt sich mit "Verteidigung in der Tiefe" ins Deutsche übersetzen. Es handelt sich um ein mehrschichtiges Sicherheitsmodell gegen Cyberangriffe. Sicherheitsvorkehrungen sind über das gesamte System verteilt installiert. Angreifer müssen mehrere Sicherheitsbarrieren überwinden, um erfolgreich zu sein.

Bei Zones & Conduits (Zonen und Verbindungen) handelt es sich um ein Konzept, mit dem sich unterschiedlicher Schutzbedarf verschiedener Komponenten realisieren lässt. Das Konzept definiert Sicherheitszonen als Gruppierungen von logischen oder physischen Komponenten mit gleichem Schutzbedarf. Security Level (SL) legen die Sicherheitsanforderungen der Sicherheitszonen fest. Sicherheitslevel sind Security Level 0 (keine besondere Anforderung oder kein besonderer Schutz), Security Level 1 (Schutz vor unbeabsichtigten Angriffen oder zufälligem Missbrauch), Security Level 2 (Schutz vor vorsätzlichen Angriffen mit einfachen Mitteln, geringem Aufwand, allgemeinen Fähigkeiten und niedriger Motivation), Security Level 3: (Schutz vor vorsätzlichen Angriffen mit fortgeschrittenen Mitteln, moderatem Aufwand, spezifischen Fähigkeiten und mittlerer Motivation), Security Level 4 (Schutz vor vorsätzlichen Angriffen mit anspruchsvollen Mitteln, erheblichem Aufwand, spezifischen Fähigkeiten und hoher Motivation). Der Informationsaustausch zwischen Sicherheitszonen erfolgt über definierte Conduits (Kommunikationsverbindungen). Die Conduits sorgen für die Absicherung der Kommunikation und lassen keinen Informationsfluss außerhalb zu.

(ID:48983131)