إذا كنت تعمل على تأمين بيئة صناعية، فقد سمعت على الأرجح هذا السؤال في قاعتين للاجتماعات: "هل نحن ملتزمون بمعيار 800-82؟" و "أين نحن في الالتزام بمعيار 62443؟" تعتبر العديد من المؤسسات هذه كمسارات متوازية، وتبدأ في إنشاء مسارات عمل منفصلة تكرر الجهود، وتربك موظفي المصنع، وتستهلك الميزانية والانتباه. لا ينبغي أن يكون الأمر كذلك.  

يشير NIST SP 800-82 Rev. 3، وهو الدليل الفيدرالي الأمريكي الحاسم لأمان تكنولوجيا التشغيل، بشكل صريح إلى ISA-62443-2-1 كمعيار مناسب لبرنامج الأمن السيبراني لأنظمة التحكم والأتمتة الصناعية (IACS). تم تصميم الإطارين ليكونا مكملين وليس منافسين. يعزز 800-82 هندسة إدارة المخاطر وتغطية التحكم بينما يوفر IEC 62443 برنامج الأمن التشغيلي الخاص بك، ومنهجية تصميم النظام، وكبح المخاطر المقاسة، وتسلسل المتطلبات الفنية. سوياً، يشكلان موقف أمان OT الأكثر دفاعًا وقابلية للتدقيق الذي يمكنك بناؤه.

تقدم مقالة اليوم إرشادات في مستوى التنفيذ، ورسم الخرائط، والتسلسل لجعلها تعمل كجزء من برنامج موحد يتوافق مع احتياجاتك الفريدة من الأمان والامتثال.

قبل أن نتقدم، لا تنس الاطلاع على مقالة المدونة السابقة عن حادثة الاختراق الأمني لشركة Adidas هنا.

NIST SP 800-82 Rev. 3: الدليل الميداني

تم إصداره في شهر سبتمبر 2023، يمثل Rev. 3 إعادة تجديد جوهرية لطبعة عام 2015. تشمل التغييرات الرئيسية تغطية موسعة لـ IIoT و OT المتصلة بالسحابة، مواءمة أكثر تجانساً مع NIST CSF و SP 800-53 Rev. 5، إرشادات أمان سلسلة التوريد، وتشديد التركيز على المراقبة المستمرة المصممة خصيصاً لقيود OT. يتم هيكلتها حول:

• تصنيف نظام OT (مثل مستويات التأثير: منخفض، متوسط، عالي) بناءً على السرية والنزاهة والتوافر

• تغطيات التحكم التي تتكيف مع SP 800-53 Rev. 5 لتطابق الحقائق الخاصة بـ OT مع الاعتراف بأنه لا يمكنك تصحيح تفاعل نووي جاري أو إعادة تشغيل نظام مؤمن بالسلامة أثناء المناوبة

• إدارة المخاطر باستخدام نهج مكون من ثلاث مراحل: المستوى التنظيمي، مستوى العملية/المهمة التجارية، ومستوى أنظمة المعلومات/OT لعرض إطار عمل تحكم أكثر تدريجياً

• إرشادات الهندسة المعمارية بما في ذلك الدفاع العمقي، وتجزئة الشبكة التي تتوافق تمامًا مع نموذج بوردو، وتصميم المناطق المعزولة (DMZ)

هو بالأصل وثيقة إرشادية تخبرك بما يجب تحقيقه. أما IEC 62443 فيخبرك كيف تبني برنامجك للوصول إلى هناك.

IEC 62443: هندسة البرنامج

تمثل سلسلة IEC 62443 (التي يتم الاحتفاظ بها بالتعاون مع ISA كمعيار ANSI/ISA-62443) المعيار العالمي لأمان IACS. وهي منظمة في أربع مجموعات:

المفاهيم الأساسية للإطار العمل هي مستويات الأمان (Security Levels, SL) ونموذج المنطقة والممرات.

مستويات الأمان تبدأ من SL 1 وحتى SL 4:

• SL 1: الحماية ضد الاستخدام غير المتعمد أو العرضي

• SL 2: الحماية ضد الهجمات المتعمدة باستخدام وسائل بسيطة، دافع منخفض

• SL 3: الحماية ضد الهجمات المتعمدة باستخدام وسائل متطورة، موارد متوسطة، معرفة خاصة بالأتمتة

• SL 4: الحماية ضد الدول أو المعتدين الممولين جيدًا مع معرفة خاصة بالأتمتة.

تجمع المناطق الأصول ذات المتطلبات الأمنية والحرجية المشابهة بينما تكون الممرات هي طرق الاتصال الخاضعة للتحكم بين المناطق. يشكل هذا النموذج العمود الفقري المعماري لكل شيء في سلسلة 62443 ويقدم تحكمًا أكثر دقة على تدابير الأمان الخاصة بك.

تحديث مهم: IEC 62443-2-1:2024 (صدر في أغسطس 2024) أعادت هيكلة متطلبات مالك الأصول إلى عناصر برنامج الأمان (Security Program Elements, SPEs) وطرحت نموذج النضج. كما تتناول بصورة صريحة الأنظمة القديمة مع الاعتراف بأن أعمار IACS يمكن أن تتجاوز عشرين سنة وأن الضوابط التعويضية، وليس فقط القدرات الفنية الأصلية، مقبولة عندما لا تدعم الأنظمة الأساسية المتطلبات الأمنية الحديثة.

رسم الخرائط الهيكلية: كيف يدعم IEC 62443 امتثال 800-82

العلاقة ليست على مستوى واحد لواحد. بدلاً من ذلك، هي هندسية. فكر في 800-82 كتعريف لمتطلبات الامتثال و IEC 62443 كتوفر البرنامج والآلات التقنية لتحقيقها.

800-82 القسم 4: إدارة المخاطر OT → IEC 62443-3-2 + 62443-2-1

يحدد NIST SP 800-82 Rev. 3 القسم 4 إدارة مخاطر OT باستخدام نهج متدرج. IEC 62443-3-2 هو المكافئ الموظف: فهو يحدد العملية لتقييم المخاطر الأمنية وتصميم النظام، منتجًا نموذج منطقة وممرات وهدف مستويات الأمان (TSLs) كمواد مجمعة في مواصفات متطلبات الأمن السيبراني (CRS).

كيف يتم تنفيذ هذا في الممارسة:

• استخدم إطار المخاطر 800-82 (تحديد أنظمة OT، التصنيف حسب التأثير) كنقطة بداية لك. وهذا يمنحك سياق الأعمال والمهمة.

• استخدم 62443-3-2 لإجراء تقييم المخاطر على مستوى النظام. اعمل مع مهندسي الأمان العمليين - توثيق HAZOP هو منجم ذهب لفهم شدة العواقب. قم بتوجيه المخاطر العملية إلى سيناريوهات التهديد السيبراني (فقدان السيطرة، الحرمان من الخدمة لوظيفة السلامة، حقن الأوامر غير المصرح به).

• قم بتعيين مستويات الأمان المستهدفة لكل منطقة استناداً إلى سيناريوهات التهديد وتحليل العواقب. يجب أن تستهدف منطقة النظام المؤمن بالسلامة التي تحمي عملية عالية الخطورة SL 2 أو SL 3. قد تكون مؤرخ الشركة SL 1 مع ديويد بيانات أحادي الاتجاه كممر.

• وثق كل شيء في CRS. يصبح هذا العنوان الرئيسي لتدقيق الامتثال للقسم 4 في 800-82.

خطأ شائع: معالجة نموذج المنطقة والممر كممارسة رسمية للشبكة. ليس كذلك. هو تمرين لتصنيف المخاطر الذي يتحكم في اختيار التحكم. ابدأ بتحليل العواقب، ثم ارسم المناطق.

800-82 القسم 5: الضوابط الأمنية الموصى بها: IEC 62443-3-3 + 62443-4-2

يذكر القسم 5 من 800-82 عائلات السيطرة الخاصة بـ SP 800-53 Rev. 5 ويوفر تغطيات معينة للتكنولوجيا التشغيلية. يوفر IEC 62443-3-3 110 متطلبات تأسيسية (FRs) منظمة في سبع فئات - التحكم في الوصول (IAC)، التحكم في الاستخدام (UC)، تكامل النظام (SI)، سرية البيانات (DC)، تدفق البيانات المقيد (RDF)، الاستجابة السريعة للأحداث (TRE)، وتوافر الموارد (RA) - كل منها مرتبط بمتطلبات مستويات الأمان المحددة.

يمثل الرسم بين هذين النوعين أحد أكثر الأدوات فائدة المتاحة لممارس أمان OT. على سبيل المثال:

التحكم في الوصول (عائلة 800-82/800-53 AC). متطلبات IEC 62443-3-3 IAC/UC:

• يتطلب 800-82 الوصول بأقل امتيازات وتسجيل الدخول بالتحقق المتعدد للهوية للوصول عن بعد. يتطلب 62443-3-3 عند مستوى الأمان 2 التحقق من هوية المستخدم البشري والتصديق عليها، وعند مستوى الأمان 3 يتطلب التحقق المتعدد لجميع الحسابات — مما يمنحك الحد الفني القابل للاختبار.

• عندما يجادل مورد أنظمة OT بأن التحقق المتعدد "لا يمكن القيام به" على مركز التحكم الرئيسي القديم، يسمح 62443-2-1:2024 بشكل صريح بالضوابط التعويضية. وثق الضابط التعويضي، وقبول المخاطر المتبقية، والإجراءات التعويضية (مضيف القفزة المنفصلة مع التحقق المتعدد، تسجيل الجلسات، نوافذ الوصول المحددة زمانياً). هذه هي دفاعك في التدقيق.

تكامل النظام (عائلة 800-82 SI) متطلبات IEC 62443-3-3 SI:

• يتطلب 800-82 الحماية من البرمجيات الخبيثة، التحقق من سلامة البرمجيات، والتنبيهات الأمنية. تتضمن متطلبات SI في 62443-3-3 على مستوى الأمان 2 الحماية ضد البرمجيات الضارة، ومنع التعديل غير المصرح به، وتقرير عن انتهاكات السلامة.

• التنفيذ: الحماية القائمة على قوائم التطبيقات على نقاط النهاية (وليس مكافحة الفيروسات التقليدية) على محطات العمل الهندسية ومراكز التحكم الرئيسية؛ ضوابط الإعلامات القابلة للقراءة فقط؛ التحقق من البرامجي الثابت حيث يتم دعمها من قبل الشركة المصنعة للتحكم.

التدقيق والمحاسبة (عائلة 800-82 AU) ومتطلبات IEC 62443-3-3 TRE:

• تتطلب كلا الإطارين تسجيل الأحداث، مسارات التدقيق، والقدرة على اكتشاف الأحداث الأمنية. في تكنولوجيا التشغيل، يعني هذا نشر مراقبة الشبكة السلبية التي تفهم بروتوكولات التحكم الصناعية مثل Modbus، DNP3، EtherNet/IP، PROFINET، IEC 61850 دون إدخال حركة نشطة يمكن أن تعطل الحلقات التحكمية الحتمية. أي أداة مراقبة تقوم باستفسار الأجهزة OT بفعالية لا مكان لها داخل المنطقة التحكمية الخاصة بك.

800-82 القسم 6: هندسة الشبكات والدفاع في العمق: نموذج المنطقة/الممارسات في IEC 62443

يعتمد NIST 800-82 Rev. 3 على هندسة الدفاع في العمق استنادًا إلى نموذج بوردو مع الاعتراف بالتكيفات الحديثة للاتصال السحابي و IIoT. يعد نموذج المنطقة والممارسات في IEC 62443 الإطار التنفيذي.

الآن دعونا نحول هذا إلى بنية ملموسة:

• المستوى 0-1 (الأجهزة الميدانية مثل أجهزة الاستشعار، المفعلات، أجهزة التحكم المنطقية القابلة للبرمجة): لا بروتوكول IP قابل للتوجيه إذا كان يمكن تجنبها. قم بتطبيق أدلة تشديد البائع، قم بتغيير جميع بيانات الاعتماد الافتراضية، وتعطيل المنافذ والخدمات الاتصالية غير المستخدمة. عادةً لا يمكن تحديث هذه الأجهزة في دورة طبيعية؛ ضع في اعتبارك ذلك في سجل المخاطر الخاص بك والضبط التعويضي.

• المستوى 2 (التحكم/واجهة التحكم البشري): قم بتجزئة دقيقة حسب خط العملية أو الخلية حيثما كان ذلك ممكناً. قم بتطبيق قوائم التطبيقات المسموح بها. يجب ألا تحتوي محطات العمل الهندسية على وصول للإنترنت مطلقاً. الضوابط الإعلامية القابلة للإزالة ضرورية. قد يتذكر العديد منا أن هجوم Stuxnet في 2010 انتشر عبر USB.

• المستوى 3 (العمليات الميدانية/نظام إدارة التصنيع): تصفية شاملة لحركة المرور الشمال-الجنوب. يجب أن تدفع المؤرخين البيانات للأعلى من خلال فرض اتجاه واحد حيثما أمكن؛ لا تسمح بسحب من المستوى 4 إلى المستوى 3. هذا قرار تصميم للممرات، وليس فقط قاعدة جدار حماية.

• المناطق المعزولة (حدود تكنولوجيا المعلومات/تكنولوجيا التشغيل): يجب أن تمر حركة المرور التي تعبر حدود تكنولوجيا المعلومات/التكنولوجيا التشغيلية من خلال المناطق المعزولة. مضيفات قفزة للوصول عن بعد، خوادم تجزئة التصحيح، خوادم تحديث مكافحة الفيروسات، وخدمات تجميع البيانات موجودة هنا. لا تسمح مطلقاً بالاتصالات المباشرة بين تكنولوجيا المعلومات في المستوى 4 وأنظمة التحكم في المستوى 2.

• المستوى 4/5 (تقنية المعلومات، السحابة): تحتوي السحابة SIEM، SOAR، مزود الهوية، وبحيرات البيانات هنا. يجب أن تكون هويات تكنولوجيا التشغيل مواطنين من الدرجة الأولى في بنية الهوية الخاصة بك وليس فكرة لاحقة تُدار بواسطة حساب مدير محلي مشترك.

إدارة المخاطر الخاصة بسلسلة التوريد 800-82: IEC 62443-2-4

يخصص 800-82 Rev. 3 اهتمامًا كبيرًا لأمن سلسلة التوريد — وهو ترقية كبيرة من Rev. 2. يعد IEC 62443-2-4 (متطلبات برنامج الأمان لمقدمي خدمات IACS) الأداة المقابلة. استخدمه في:

• تحديد المتطلبات الأمنية التعاقدية لمقدمي خدمات تكامل الأنظمة، ومقدمي خدمات الوصول عن بعد الخاصين بالشركات المصنعة للأجهزة الأصلية، ومقدمي خدمات IACS

• طلب دليل الامتثال لـ 62443-2-4 في عقود الموردين

• فرض استخدام الموردين للمضيفات القفزة المخصصة بدلاً من الاتصالات المباشرة إلى نظام التحكم

• تعليق تسجيل الجلسات لجميع الوصول عن بعد من الطرف الثالث — يعتبر هذا خط الحياة لتحقيق التحقيق عندما يصبح اتصال المورد ناقلاً للتهديد

الحقيقة المزعجة حول وصول الموردين: تتضمن غالبية حوادث أمان OT اتصالًا مع طرف ثالث مثل اتصال VPN المباشر إلى وحدة التحكم المنطقية القابلة للبرمجة، مودم خلوي غير مؤمن تم تثبيته بواسطة مورد مبرد، كمبيوتر محمول لمتكامل الأنظمة يحتوي على بيانات اعتماد قديمة. يمنحك 62443-2-4 القوة التعاقدية والبرامجية لمعالجة هذا.

الاستجابة للحوادث والانتعاش 800-82: IEC 62443-2-3 + 62443-2-4

يتناول القسم 4.5 من 800-82 الاستجابة للحوادث الخاصة بـ OT مع اعتبارات مهمة خاصة بـ OT: الأولوية للسلامة، الحفاظ على استمرارية العملية الفيزيائية، والواقع أنه قد تحتاج إلى الاستمرار في تشغيل نظام جزئي مخترق لأن البديل — وهو الإيقاف — لديه عواقب سلامة أسوأ من الحدث الإلكتروني المحتوى.

يوفر IEC 62443-2-3 (إدارة التصحيحات في بيئة IACS) وأجزاء إدارة الحوادث في 62443-2-4 إطار عمل للإجراءات التشغيلية.

التنفيذ العملي:

• خطة الاستجابة للحوادث الخاصة بـ OT ليست هي خطة الاستجابة للحوادث الخاصة بـ IT مع إضافة "OT" في الأعلى. اكتب كتب التشغيل لكل فئة رئيسية من الأصول: التلاعب في وحدة التحكم المنطقية القابلة للبرمجة، الفدية في المؤرخ، البرمجيات الضارة على واجهة التحكم البشري، الوصول غير المصرح به لمحطة العمل الهندسية.

• حدد مسار التصعيد الخاص بك الذي يتضمن مهندسي السلامة العملية، وليس فقط أمن تقنية المعلومات. لا يأخذ فريق أمن التكنولوجيا التشغيلية العملية الجارية بلا هوادة — هذا قرار مشترك مع القيادة العملياتية والهندسة الزراعية.

• قم بإجراء تدريبات على سطح الطاولة مع موظفي أرضية المصنع، وليس فقط موظفي تقنية المعلومات. يعتبر فنيو الصيانة الخاص بك هم المستجيبون الأوائل في الحوادث الحقيقية.

• وثق الإجراءات اليدوية للتراجع. إذا تم عزل شبكة التشغيل الخاصة بك بسبب حادث، هل يمكن للمشغلين تشغيل العملية يدويًا؟ إذا لم يكن الأمر كذلك، فهذه فجوة يجب معالجتها قبل أن يطرح حادث السؤال.

 تسلسل التنفيذ: من أين نبدأ؟

تحاول معظم المنظمات القيام بكل شيء دفعة واحدة ولا تنجز شيء بشكل متقن. إليك تسلسلًا يعكس كيفية تراكم تقليل المخاطر بالفعل:

المرحلة 1: اعرف ما لديك (الشهور 1-3)

قم بإجراء اكتشاف سلبي للأصول عبر شبكة التشغيل الخاصة بك. لا تقم بنشر أدوات المسح النشطة في بيئة التشغيل الإنتاجية بدون تفويض خاص من المورد واختبار في بيئة مكررة أولًا. أدوات مثل Claroty، Dragos، Nozomi Networks، وMicrosoft Defender for IoT مصممة لاكتشاف التشغيل السلبي. المخرج: جرد الأصول المسمى حسب المنطقة، الأهمية، وقابلية الدعم (مدعوم مقابل نهاية الحياة مقابل غير مدعوم). هذا يغذي كلاً من القسم 4 في 800-82 (جرد النظام) و62443-3-2 (مدخل إلى تصميم المنطقة وتقييم المخاطر).

المرحلة 2: تقسيم وحماية ما يهم أكثر (الشهور 2-6)

استنادًا إلى تقييم المخاطر الخاص بك ونموذج المنطقة/الممرات، قم بتنفيذ التقسيم الشبكي الخاص بك. ابدأ بحدود تقنية المعلومات/التكنولوجيا التشغيلية — المناطق المعزولة إذا لم يكن لديك واحدة، أو تشديد التي لديك إذا كانت موجودة. اقتلع الشبكات التشغيلية المسطحة. قم بتطبيق ضوابط الممرات بين المناطق ذات العواقب الأعلى أولاً. هذا يحقق أكبر انخفاض في سطح الهجوم سريعاً.

المرحلة 3: النظافة في هوية الوصول (الشهور 3-6)

اقتل حسابات المستخدم المشتركة، خاصة على واجهات التحكم البشري ومحطات العمل الهندسية. قم بتطبيق التحكم في الوصول بناءً على الأدوار. قم بنشر حل الوصول عن بعد الآمن (مضيف القفزة + التحقق المتعدد + تسجيل الجلسات) واقفل الوصول عبر VPN المباشر إلى أجهزة التشغيل. اطلب من موردك استخدامه. قم بتنفيذ إدارة الوصول المتميز لبيانات الاعتماد الهندسية.

المرحلة 4: الرؤية والكشف (الشهور 5-9)

قم بنشر المراقبة السلبية لـ OT. قم بتحديد خط الأساس لسلوك البروتوكول الصناعي الطبيعي وافحص الانحرافات مثل رموز الوظائف غير المتوقعة، ظهور أجهزة جديدة على الشبكة، حركة مرور غير طبيعية إلى المستوى 3/4. قم تغذية الأحداث إلى SIEM الخاص بك. قم بإنشاء قواعد الكشف الخاصة بالتشغيل؛ لا يعرف محللو أمان تقنية المعلومات أن أمر الكتابة Modbus إلى عنوان سجل غير متوقع هو غير عادي بدون توجيه.

المرحلة 5: نضج البرنامج (جارية)

إدارة التصحيحات حسب 62443-2-3 (على أساس المخاطر، تم اختبارها في بيئة تنسيق، تم تنسيقها مع جدول الأعمال)، مراقبة مستمرة، تدريب على الاستجابة للحوادث، تنفيذ الامتثال للمورد، وتحديثات التقييم السنوية للمخاطر باستخدام 62443-3-2 كمنهجية.

إثبات الامتثال: مجموعة أدلة التدقيق

عند طلب جهة تنظيمية، عميل، أو تدقيق داخلي منك إظهار الامتثال لـ 800-82، فإليك ما تنتجه — وأي أثر من 62443 يقوم بتوليده:

مكان الفشل المتكرر لدى المنظمات

في أكثر من عقد من ممارسة أمن التشغيل، تظهر نفس أوضاع الفشل بشكل متكرر. كن واعيًا لهذه عن قصد:

تطبيق جداول زمنية لأمان تقنية المعلومات على إدارة تصحيحات التشغيل. التصحيحات الحرجة على واجهة التحكم البشري المستندة إلى Windows لا يتم تطبيقها خلال 30 يومًا إذا لم يقم مورد واجهة التحكم البشري بالتحقق من التصحيح، لديك جدول إنتاج 24/7، ونافذة الصيانة المجدولة القادمة بعد ستة أشهر. يتناول 62443-2-3 هذا بشكل صريح بنهج إدارة التصحيحات على أساس المخاطر — تقييم إمكانية الفشل وتأثير الثغرة غير المصححة، تطبيق الضوابط التعويضية (العزل الشبكي، المراقبة، القيود المؤقتة على الوصول)، وتوثيق المخاطر المقبولة حتى يمكن تطبيق التصحيح بأمان.

التقسيم الورقي فقط. مخطط المنطقة والممرات الذي لا يتطابق مع التكوين الفعلي للشبكة أسوأ من عدم وجود أي مخطط — فهو يخلق ثقة زائفة. تحقق من تقسيمك من خلال المراجعات الدورية للشبكة والتحليل المروري السلبي. ستخبرك أداة المراقبة الخاصة بك ما إذا كان ذلك المؤرخ يتحدث بالفعل فقط إلى المستوى الثالث، أو ما إذا كان شخص ما فتح اتصالًا مباشرًا إلى محطة العمل الهندسية الشهر الماضي.

تجاهل الطبقة البشرية. يتضمن IEC 62443-2-1:2024 عناصر برنامج الأمان للوعي الأمني، التدريب، والأدوار التنظيمية. يغطي القسم 4 في 800-82 أيضًا الوعي الأمني. ممارسي الصيانة الذين يقومون بتوصيل محركات USB غير المصرح بها، المشغلين الذين يمنحون الوصول إلى سطح المكتب البعيد للبائعين دون تسجيله، فريق الهندسة الذي يستخدم نفس كلمة المرور عبر جميع وحدات التحكم المنطقية القابلة للبرمجة — هذه ليست فشلًا تقنيًا. إنها فشل في البرنامج. الوعي الأمني وفرض الإجراءات هي ضوابط، ليست ضرورة لطيفة.

معالجة الأنظمة القديمة كاستثناءات للامتثال ليتم تجاهلها. الأنظمة القديمة لـIACS يتم تناولها بصراحة في 62443-2-1:2024 — أنها تتطلب ضوابط تعويضية، مخاطر متبقية موثقة، وخطة طريق. وحدة التحكم المنطقية القابلة للبرمجة القديمة التي تعمل بواسطة نظام تشغيل غير مدعوم بدون ضوابط تعويضية موثقة هي نتيجة مفتوحة. وحدة التحكم المنطقية القابلة للبرمجة القديمة التي تحتوي على عزل شبكي، تصفية بروتوكول عند الممر، مراقبة سلبية على مدار الساعة، وتخطيط استبدال في ميزانية رأس المال هي خطر مُدار. الفرق هو في التوثيق.

حالة استراتيجية: لماذا تربح برامج الإطار المزدوج

تستمر القطاعات المنظمة مثل الطاقة (التجاور مع NERC CIP)، قاعدة التكنولوجيا الدفاعية الصناعية (CMMC)، الكيميائية (مطالب واجبات السلامة الكيميائية لـ CISA)، المياه (قانون البنية التحتية للمياه الأمريكية) بشكل متزايد في الإشارة إلى كل من NIST SP 800-82 وIEC 62443 في الإرشادات التنظيمية ومتطلبات أمان العملاء. اللاحقوق على إطار العملين في نفس الوقت ليس عبء الامتثال بدلاً من ذلك، بل هو تأمين ضد التغييرات التنظيمية المستقبلية، ميزة تنافسية في تقييمات أمان العملاء، وبنية أمنية تقنية أكثر دقة مما يوفر أي من الإطارين بمفرده.

الصيغة العملية هي: استخدم IEC 62443 لبناء البرنامج والحوكمة، استخدم NIST 800-82 لاختيار الضوابط وتغطيتها، واستخدم وظيفة الحوكمة لـ CSF 2.0 من NIST لإنشاء رؤية تنفيذية ومسؤولية على امتداد البرنامج بالكامل.

المنظمات التي بنت على هذا الأساس المتكامل تفوقت باستمرار على نظرائها في كل من نتائج التدقيق ومقاييس الاستجابة للحوادث الفعلية. لأن برنامجها الأمني يعكس كيفية العمل الفعلي للأنظمة الصناعية، وليس كيفية عمل الأنظمة التقنية مع مصطلحات التشغيل المضافة.

تواصل معنا لتتعلم أكثر عن الامتثال لـ IEC 62443 وNIST SP 800-82 من خلال نهج موحد.

الموارد الرئيسية

• NIST SP 800-82 Rev. 3، دليل لأمان التكنولوجيا التشغيلية (OT) — سبتمبر 2023

• دليل بدء سريع ISA/IEC 62443 — ISA

• كتالوج نقاط ضعف المعروفة لـ CISA — لأولوية التصحيح تحت إرشادات NIST SP 800-40 Rev. 4

• التنفيذ الاستراتيجي لـ ISA/IEC 62443-3-2 

• قائمة المراجعة لتنفيذ NIST SP 800-82 Rev. 3