ГОСТ Р МЭК 62443: защита АСУ ТП, часть 3-3 и уровни безопасности SL 1–4

ГОСТ Р МЭК 62443 — российская адаптация международной серии стандартов IEC 62443 «Промышленные коммуникационные сети — Защищённость сети и системы», разработанной техническим комитетом IEC/TC 65 для систем промышленной автоматизации и контроля (IACS): АСУ ТП, SCADA, распределённые системы управления (DCS), программируемые логические контроллеры. Каждая российская часть утверждена отдельным приказом Росстандарта, подготовлена на основе перевода НОЧУ «Новая Инженерная Школа» и внесена техническим комитетом по стандартизации ТК 306 «Измерения и управление в промышленных процессах».

Официальные названия серии в русских переводах расходятся между частями — более ранние версии (2014–2015) используют формулировку «Промышленные коммуникационные сети. Защищённость сети и системы», часть 3-3-2016 — «Сети промышленной коммуникации. Безопасность сетей и систем». Это не разные стандарты, а разночтения перевода родового заголовка серии между годами выпуска оценка.

В открытом каталоге национальных стандартов подтверждено принятие как минимум четырёх частей серии:

↔ таблицу можно прокрутить вбок

Обозначение части 1-1 — частый источник путаницы: в поисковых запросах и в проектной документации её называют «ГОСТ Р МЭК 62443-1-1», но официальный регистрационный номер стандарта — ГОСТ Р 56205-2014, без индекса «МЭК» в обозначении. То же верно и для части 3: она зарегистрирована как ГОСТ Р 56498-2015, тоже без «МЭК» в номере, и основана на более раннем международном документе IEC/PAS 62443-3:2008 (Publicly Available Specification), предшествовавшем текущей структуре подсерии 3-1/3-2/3-3 — в России этот предшественник остаётся действующим ГОСТ Р, не отменённым и не заменённым.

Все четыре части — идентичное (IDT) принятие соответствующих международных документов, то есть не адаптированный, а дословный по содержанию перевод.

ГОСТ Р МЭК 62443-3-3-2016 задаёт детальные системные требования (SR) к техническим средствам системы управления и привязывает их к четырём уровням безопасности SL 1–4 — от базового набора мер до максимального, рассчитанного на противодействие подготовленному злоумышленнику с существенными ресурсами. Это самая искомая часть серии, потому что именно она переводит семь фундаментальных требований (раздел ниже) в проверяемые технические критерии.

У уровня безопасности SL есть три разных смысловых среза, и их не стоит путать:

Логика стандарта — иерархическая: каждое системное требование (SR) первого уровня (SL 1) дополняется усилениями требования (RE — requirement enhancements) на более высоких уровнях. Например, для требования «Идентификация и аутентификация людей-пользователей» (SR 1.1) уровни SL-C выглядят так: SL 1 — только базовое требование SR 1.1; SL 2 — требование плюс первое усиление; SL 3 — требование плюс усиления 1 и 2; SL 4 — требование плюс все три усиления.

Аналогичная логика применена ко всем требованиям стандарта.

Все требования серии 62443 группируются вокруг семи фундаментальных требований (Foundational Requirements, FR), которые определены в терминологической части (ГОСТ Р 56205-2014) и детализированы в части 3-3. Это скелет, на который навешаны все конкретные меры защиты АСУ ТП:

Зоны безопасности и связующие тракты — базовая архитектурная модель серии 62443. Зона безопасности (security zone) — совокупность логических или физических объектов с общими требованиями безопасности и чёткой границей с другими зонами; зоны могут иметь иерархическую структуру и состоять из подзон. Связь между зонами идёт через связующие тракты (conduits) — выделенные коммуникационные пути со своей политикой безопасности; внутри тракта может быть выделен более узкий канал (channel) — конкретная связная линия.

Ту же модель, под названием «зоны и каналы», часто упоминают в неформальных обзорах стандарта — в тексте самого ГОСТа базовым является термин «связующий тракт», канал — более частный случай внутри тракта оценка.

ГОСТ Р МЭК 62443-2-1-2015 отвечает не на технический, а на организационный вопрос — как выстроить систему управления кибербезопасностью (CSMS) вокруг АСУ ТП: политику, процедуры, практики и роли персонала. Если часть 3-3 говорит, каким техническим требованиям должна отвечать сама система управления, то часть 2-1 — о том, как организация, эксплуатирующая эту систему, выстраивает вокруг неё процесс защиты: от анализа риска до пересмотра и совершенствования программы.

Стандарт включает приложение с практическим руководством по разработке CSMS — оно приведено как пример одного из возможных подходов, а не как единственно верный шаблон: организация обязана адаптировать политики и процедуры под свою специфику, а не копировать приложение дословно.

ГОСТ Р МЭК 62443 — стандарт добровольного применения и методическая база, а обязательные требования к защите информации в АСУ ТП на критически важных, потенциально опасных и особо опасных объектах в России устанавливает приказ ФСТЭК России от 14.03.2014 № 31 — это два независимых, не связанных прямой ссылкой документа с разными классификациями.

↔ таблицу можно прокрутить вбок

Прямой юридической связи между документами нет: приказ ФСТЭК № 31 не содержит отсылок к ГОСТ Р МЭК 62443, и наоборот. На практике организации, эксплуатирующие АСУ ТП, часто используют модель зон и трактов и семь FR из 62443 как методическую рамку при построении архитектуры защиты, а формальные обязательные меры и классы защищённости берут из приказа № 31 — эти два трека дополняют, а не заменяют друг друга оценка.

Полный разбор обязательных требований, классов К1/К2/К3 и 17 групп мер — на странице «Приказ ФСТЭК № 31: защита АСУ ТП».

Для сравнения — в финансовом секторе похожую роль национального стандарта, вокруг которого выстроена обязательная регуляторика, играет ГОСТ Р 57580: там связь с регулятором прямая — положения Банка России ссылаются на ГОСТ по номеру и делают его выполнение обязательным. В случае 62443 и приказа № 31 такой прямой отсылочной конструкции нет, и это ключевое отличие двух моделей регулирования.

С точки зрения продуктового покрытия зоны и тракты из 62443, как и требования 17 групп мер приказа № 31, закрываются классом специализированных СЗИ для АСУ ТП — промышленными межсетевыми экранами, системами обнаружения аномалий в промышленных протоколах и средствами защиты контроллерного уровня.