إن تنفيذ ضوابط الأمن السيبراني الفعّالة في أنظمة الأتمتة والتحكم الصناعي (IACS) هو عنصر أساسي لضمان المرونة التشغيلية، والامتثال الأمني، والسلامة. وبينما توجد العديد من الأطر، تبرز سلسلة معايير IEC 62443 كالمعيار الذهبي البارز لأمن IACS. ما يعجبني في IEC 62443 هو مستوى التركيز الذي توفره لأمن OT في مجالات مثل رؤية الأصول، وتطبيق طبقات الأمان لحماية الأحجار الكريمة التاجية، وضمان أمان سلسلة التوريد، وتحديد الأدوار والمسؤوليات الواضحة لأصحاب الأصول، ورسم المبادئ الأساسية لبرنامج إدارة أمن المعلومات.

لقد كنا ندير سلسلة معرفة حول IEC 62443 لبعض الوقت. يمكنك قراءة منشوراتنا السابقة عبر هذه الروابط:

·      توضيح الامتثال لـ IEC 62443: دليل لتأمين الأنظمة السيبرانية الفيزيائية

·      تأمين IIoT مع IEC 62443: دليل تقني للهياكل المقاومة للخرق

·      كيفية التنقل في متطلبات IEC 62443 4-1 و 4-2: دليل لمصنعي مكونات السكك الحديدية

·      دليل شامل وقابل للتنفيذ لتقييمات الأمن OT بناءً على IEC 62443

منشور اليوم عن IEC 62443 يقدم دليلًا تفصيليًا وقابلًا للتنفيذ لنشر ضوابط IEC 62443 وضمان موقف أمني قوي للأصول والبنية التحتية الحيوية لديك. هذا ليس مجرد نظري بأي شكل. بدلاً من ذلك، سنركز على خطوات التنفيذ العملية بناءً على خبرة الخبراء.

قبل أن نتقدم، لا تنسى الاطلاع على منشورنا السابق حول تحديات تنفيذ NIS2 هنا.

المرحلة 1: الأساس وتقييم المخاطر (IEC 62443-2-1, 62443-3-2)

قبل تنفيذ ضوابط IEC 62443، يجب أن تفهم نظامك والمخاطر الفريدة الخاصة به.

1.1. جرد النظام وإدارة الأصول (IEC 62443-2-1)

• خطوات قابلة للتنفيذ:

  • إجراء جرد شامل للأصول. يشمل ذلك الأجهزة (PLC ، SCADA ، RTU ، إلخ)، البرمجيات، البرمجيات الثابتة، أجهزة الشبكة، والاعتمادات النظامية.

  • تصنيف الأصول بناءً على درجة الأهمية (التأثير على الأمان، البيئة، الإنتاج).

  • توثيق المخاطر المتوقعة لكل أصل.

  • الحفاظ على مستودع أصول ديناميكي وتحديثه بانتظام.

يمكن لأدوات اكتشاف الأصول الآلية أن تكون فعّالة للغاية في الأنظمة الكبيرة والمعقدة. استخدم مزيجًا من الكشف النشط والسلبي للحصول على نتائج شاملة.

1.2. تعريف المناطق والقنوات (IEC 62443-3-2)

• خطوات قابلة للتنفيذ:

  • قسم شبكة IACS الخاصة بك إلى مناطق أمان منطقية. تجمع المنطقة الأصول التي لديها متطلبات أمان مماثلة و/أو أهمية للأعمال.

  • تحديد مسارات الاتصال، أو القنوات، بين هذه المناطق.

  • تطبيق متطلبات أمان دقيقة بناءً على الخطر والتأثير المحتمل داخل كل منطقة.

  • على سبيل المثال، عزل أنظمة التحكم الحرجة عن الأنظمة الأقل حرجًا مثل واجهات المستخدم (HMI) أو خوادم المؤرخ.

  • تعيين مالك منطقة لكل منطقة أمان.

يمكنك الرجوع إلى نموذج الإشارة ISA-99 / IEC 62443-1-1 لتنظيم مناطقك. الهدف هو تقليل الإمكانيات للحركة الجانبية (واحتواء التهديدات) من الأنظمة المخترقة إلى الأنظمة الحرجة.

1.3. تقييم المخاطر (IEC 62443-3-2)

• خطوات قابلة للتنفيذ:

  • قم بإجراء تقييم لمخاطر الأمن لكل منطقة وقناة. ضع في اعتبارك التهديدات المحتملة، الثغرات، والتأثيرات (الأمان، البيئة، التشغيل، السمعة، البيانات، المالية).

  • حدد مستوى الأمان المستهدف (SL) لكل منطقة، بناءً على شهية المخاطر والأهمية التشغيلية. تعرف IEC 62443 SL-1 (منخفض) إلى SL-4 (مرتفع).

  • الاستفادة من النتائج لتحديد أولويات تنفيذ الضوابط (ابدأ بالأكثر أهمية ثم اتجه إلى الأخرى).

المرحلة 2: اختيار وتنفيذ الضوابط (IEC 62443-3-3, 62443-2-3)

اختر ونشر ضوابط IEC 62443 المتماشية مع مستويات الأمان المحددة. يبرز هذا الدليل المجالات الرئيسية، ولكن يُوصى بأن تشير إلى المعايير والبروفيلات المحددة ذات الصلة بمجالك.

2.1. سلامة النظام (IEC 62443-3-3)

• التقطيع الشبكي وأمن المحيط:

  • قم بتطبيق جدران نارية قوية مع قواعد التحكم في الوصول الدقيقة بين المناطق. استخدم جدران نارية صناعية تفهم برامج التحكم في العمليات (OT).

  • فرض سياسات اتصال صارمة عبر القنوات. حظر جميع الحركة غير المصرح بها.

  • استخدم الشبكات المحلية الافتراضية (VLANs) للتقطيع المنطقي داخل المناطق.

• التحكم في الوصول:

  • فرض مصادقة وترخيص قوي لكل المستخدمين والأجهزة. استخدم المصادقة متعددة العوامل (MFA) حيثما كان ذلك مناسبًا (خاصة للوصول البعيد).

  • قم بتنفيذ تمرين تدقيق لتحديد الامتيازات الزائدة.

  • استخدم التحكم في الوصول بناءً على الدور (RBAC) لمنح الأذونات بناءً على الأدوار المهنية. اتبع مبدأ الأقل امتياز على النطاق الواسع.

  • تعطيل الحسابات غير الضرورية وكلمات المرور الافتراضية.

  • يجب أن تكون الامتيازات محددة بزمن أو مهمة، حيثما أمكن ذلك.

• تقوية النظام:

  • تطبيق التصحيحات الأمنية لأنظمة التشغيل، البرمجيات الثابتة، والتطبيقات. (ملحوظة: الاختبار الدقيق ضروري لأنظمة OT قبل النشر).

  • تعطيل الخدمات، المنافذ، والميزات غير الضرورية.

  • تنفيذ حلول مكافحة البرمجيات الضارة بشكل مضبوط للبيئات الصناعية (تجنب الفحص النشط (والبائعين الذين يقدمون حلولًا تعمل حصريًا باستخدام الفحص النشط) التي قد تعطل الاتصال في الوقت الحقيقي).

  • فرض معايير التكوين الآمن (مثل معايير مركز امن الإنترنت (CIS) Benchmarks).

2.2. أمن المنتج (IEC 62443-4-2)

• الانخراط مع البائعين: مطالبات أن يتوافق بائعو المعدات مع معايير IEC 62443 ذات الصلة (مثل -4-1 للتطوير الآمن للمنتجات و -4-2 لمتطلبات أمن المنتج).

• سلامة سلسلة التوريد: تنفيذ عمليات للتحقق من سلامة البرمجيات والبرامج الثابتة أثناء الشراء والنشر.

• المراجعة: إجراء مراجعات للتأكد من امتثال البائعين.

2.3. إدارة التصحيحات (IEC 62443-2-3)

• خطوات قابلة للتنفيذ:

  • تطوير وتنفيذ برنامج إدارة تصحيحات رسمي مصمم خصيصًا لـ IACS. يجب أن يتضمن هذا البرنامج اختبارًا دقيقًا للتصحيحات في بيئة غير الإنتاج قبل النشر.

  • تنسيق نوافذ نشر التصحيحات خلال فترات التوقف المخطط لها أو الفترات غير الحاسمة.

  • النظر في تحديد أولويات التصحيحات بناءً على المخاطر، مع التركيز على الثغرات الأمنية الهائلة في الأصول الحيوية.

2.4. أمن الوصول عن بُعد

• خطوات قابلة للتنفيذ:

  • السيطرة الصارمة على جميع الوصول إلى الشبكة ورصدها.

  • استخدام بوابات آمنة للوصول البعيد مع MFA. تجنب السماح بالوصول المباشر إلى الأنظمة الحرجة.

  • فرض وصول محدود زمنياً وتسجيل الجلسات للاتصالات البعيدة.

المرحلة 3: عمليات الأمن والمراقبة (IEC 62443-3-3, 62443-2-1)

يتطلب IACS المرن مراقبة أمنية مستمرة.

3.1. مراقبة النشاطات الخبيثة

• خطوات قابلة للتنفيذ:

  • تنفيذ حلول إدارة معلومات الأمان والأحداث (SIEM) وأتمتة الاستجابة للتنسيق الأمني (SOAR) للجمع المركزي للسجلات، والترابط، والتحليل.

  • جمع السجلات ذات الصلة من الأجهزة الشبكية، والخوادم، ومتحكمات PLC، والتطبيقات.

  • دمج نظام كشف التسلل (IDS) أو نظام منع التسلل (IPS) قادر على فحص البروتوكولات الصناعية للأنماط الشاذة وتوقيعات التهديدات.

  • وضع إجراءات واضحة للاستجابة للحوادث.

4. فعالية المراقبة: تعريف مؤشرات الأداء الرئيسية المهمة (KPIs)

تتبع مؤشرات الأداء الرئيسية ضروري لقياس فعالية الضوابط المنفذة وضمان التحسين المستمر. يجب أن تكون هذه المؤشرات ذات صلة بمخاطرك وأهداف عملك المحددة.

• فعالية إدارة الأصول:

  • نسبة الأصول ذات مستوى تصحيح أمني محدّث.

  • متوسط الوقت المستغرق لتصحيح ثغرة أمنية حرجة على أصل حيوي.

• فعالية أمان الشبكة:

  • عدد انتهاكات سياسات الجدار الناري المكتشفة.

  • نسبة محاولات الاتصال غير المصرح بها التي تم حظرها.

• فعالية أمان النقاط النهائية:

  • نسبة أجهزة النقاط النهائية التي لديها توقيعات مكافحة البرمجيات الضارة محدثة.

  • عدد حوادث البرمجيات الضارة المكتشفة والمحتوية.

• فعالية أمان الوصول البعيد:

  • عدد جلسات الوصول البعيد المصرح بها والمراقبة بشكل صحيح.

  • عدد محاولات الوصول البعيد غير المصرح بها التي تم حظرها.

• فعالية عمليات الأمن:

  • متوسط الوقت لاكتشاف (MTTD) حادث أمني.

  • متوسط الوقت للاستجابة (MTTR) لحادث أمني.

التركيز على عدد قليل من مؤشرات الأداء الرئيسية ذات الصلة بشكل كبير وعرضها على لوحة تحكم لمراقبة الأمن والتحسين المستمر. تتبع الاتجاهات بمرور الوقت لتحديد المجالات التي تحتاج إلى تعديل.

الحفاظ على سجلات التدقيق

تعد سجلات التدقيق شاملة وغير قابلة للإنكار ضرورية لتحقيق التحليل للبقاء، والامتثال، والتحليل بعد الحادث.

إدارة السجلات

• خطوات قابلة للتنفيذ:

  • تحديد الأحداث المتعلقة بالأمان التي يجب تسجيلها، وضمان تغطية المناطق الحرجة (الوصول، حركة المرور الشبكية، التغييرات في النظام).

  • تنفيذ تسجيل مركزي. يجب أن تكون السجلات غير قابلة للتغيير ومزمنة باستخدام مصدر زمن موثوق (NTP) ومخزنة بأمان.

  • ضمان سياسات الاحتفاظ بالسجلات المناسبة وفقًا للمتطلبات التنظيمية واحتياجات العمل.

التقاط الأحداث الرئيسية

يجب أن تلتقط سجلات التدقيق تفاصيل دقيقة للأحداث المحورية، بما في ذلك:

• المصادقة والترخيص: تسجيل الدخول الناجح والفاشل، وتغييرات حسابات المستخدمين والأذونات.

• الوصول إلى النظام والتغييرات: اتصالات الوصول البعيد، تغييرات تكوين النظام، تحميل وتنزيل برامج التطبيقات، تثبيت تصحيحات الأمان.

• حركة المرور الشبكية: أحداث الجدار الناري المتعلقة بالأمان، تنبيهات الأمان المحتملة من IDS/IPS.

• الإجراءات التشغيلية: تغييرات في القيم المحددة أو تكوينات التحكم التي قد يكون لها تأثير على الأمان أو التشغيل. (هذا يمكن أن يكون حاسمًا في إعادة بناء الحادث).

لوحة تحكم KPIs: قياس فعالية ضوابط IEC 62443

تأكد من ذكر NTP (بروتوكول وقت الشبكة). يكون سجل التدقيق عديم الفائدة إذا لم تتطابق الطوابع الزمنية عبر متحكمات PLC والجدران النارية وواجهات المستخدم (HMIs). في تدقيق IEC 62443، يُعتبر "الانحراف الزمني" اكتشافًا شائعًا.

نشر ضوابط الأمن IEC 62443 لا يمكن أن يكون مشروع مرة واحدة؛ إنها عملية مستمرة تتطلب التزامًا. باتباع هذا النهج القائم على المخاطر، ودمج أصحاب المصلحة الرئيسيين (تكنولوجيا المعلومات، تكنولوجيا العمليات، الإدارة، البائعين)، واعتماد المراقبة والتقييم المستمرين، يمكن للمنظمات تحسين موقف الأمن السيبراني لأنظمتها الصناعية بشكل كبير. يضمن هذا النهج المنهجي ليس فقط الامتثال، بل أيضًا المرونة التشغيلية الحقيقية.

موارد إضافية

تقرير قابل للتنزيل حول حادثة ستركير السيبرانية
قائمة التحقق من تقييم المخاطر للـ OT/ICS المعتمد على IEC 62443 لقطاع تصنيع الأغذية والمشروبات
قائمة مراجعة لتقييم واختيار مزود حلول المسح للوسائط القابلة للإزالة