IEC 62443 OT安全終極指南

從辦公系統跳到工廠區域的網路事件可能會使生產停滯，削弱安全邊際，並損害客戶信任，一切都在您的監督下。無論您是從高階管理層管理企業風險，還是在生產線上調整控制迴路，您都需要依循重視即時約束和用了數十年設備的安全指導。IEC 62443 提供以OT為重點的細節，但也清晰地映射到更廣泛的框架，例如NIST網路安全框架、ISO/IEC 27001和特定行業的要求。

本部落格文章將IEC 62443轉化為保單擁有者和控制系統工程師的後續實際步驟。無論您從哪個基準開始，您都會看到分層防禦、區域和管道劃分，以及持續改進週期如何適應您現有的計畫。我們將探討方法以確定風險範圍、設定預算驅動的優先事項、編寫採購要求和協調認證工作，以便每項控制措施都能提高整個工業營運的可衡量彈性。

什麼是 IEC 62443?

IEC 62443 規定為工業自動化和控制系統(IACS)以及其他形式的營運技術(OT)創建的網路安全規則。將其視為運行發電廠、組裝車輛、凈化飲用水或引導通勤列車之設備的防禦性手冊。

雖然NIST網路安全框架或ISO/IEC 2700x等框架涵蓋廣泛的領域，但IEC 62443側重於廠區的現實情況。其直接說明無法容忍停機的泵、驅動器和PLC的特殊狀況和風險。

 IEC 62443 解決的挑戰 

• 保護資料機密性
• 降低網路實體故障的機率
• 支援老舊或專有設備
• 在事件發生時保持生產運轉

該標準始於國際自動化協會的ISA99小組，之後國際電工委員會採用該標準。全球專家仍在完善文本，因此無論您是維護遠端泵站還是智慧工廠單元，都非常有用。

核心原則是分層防禦。設施劃分為多個安全區域，這些區域藉由受監控的管道進行連結。本文件也說明如何構建網路安全管理系統(CSMS)，並執行符合真實世界OT約束的風險審查。使用這些步驟來衡量成熟度、選擇可靠的供應商，並在任務需要額外細節時深入研究技術附加元件。

IEC 62443 系列標準

完整的資料庫分為四個高階部分：

IEC 62443 不會取代ISA-95或Purdue參考層次結構等架構模型。反之，它為這些框架增加一個安全視角，當工業物聯網(IIoT)設備進入雲端或其他外部網路時尤其有用。結合使用這兩種觀點可以讓團隊所涵蓋的領域變得更廣，而不會丟棄熟悉的營運模式。

專注於基礎:  IEC 62443 「起始」檢查清單

由於一整組可能感覺很廣泛，因此許多組織從一小組文件開始，這些文件涉及術語、風險和安全開發。以下資源為新的或擴展的OT安全計畫提供堅實基礎：

查看這些標題，並將指南應用於您自己的風險概況，為更廣泛的IEC 62443程式創造一個實用的跳板。從此您可以隨著成熟度和資產組合的發展，摺疊剩餘的文件。

利用 IEC 62443的多功能性

IEC 62443 從「產業準則」穩步轉變為確保工業營運的「全球參考點」。現在幾乎全球政府和標準機構都使國家政策與其原則保持一致，將該框架用作關鍵基礎設施保護的通用語言。

由於該系列是為工業控制系統(ICS)、工業自動化和控制系統(IACS)，以及更廣泛的營運技術(OT)編寫，因此可以良好擴充。小型市政水廠、跨國煉油廠和多樣的生產線，都可以根據自己的風險偏好和資源程度訂製指南。

應用 IEC 62443 的實用方法包括：

• 執行OT專屬的網路安全風險評估
• 建立以IACS為重點的網路安全領導團隊
• 引入保護例程，例如嚴格的修補程式管理和配置強化
• 將安全要求嵌入到產品設計和支援生命週期中
• 從傭金到退休追蹤資產安全
• 將網路劃分為多個區域和管道，以遏制潛在威脅
• 制定將工程、IT和工廠領導層聯繫起來的治理政策
• 闡明事件回應的角色、職責和升級路徑
• 衡量並持續改進網路風險降低係數(CRRF)

效益和應用

The IEC 62443 套件既是知識庫，又是動態工具集。組織可以將其建議映射到現有計畫，填補內部政策不足的缺口，或引用單個條款以加速新計畫。由於標準是通過全球協作發展而得，因此使用者也有機會將吸取到的經驗教訓，反饋到下一個修訂週期中。

無論您的團隊是從系統工程角度、基於ISA的方法，還是從IT/OT混合角度處理網路安全問題，IEC 62443都能提供價值。您可以採用整個框架或選擇相關部分，以最適合當前成熟度、人員配置和技術限制的方式。供應商、整合商、工廠工程師和風險分析師等，都可以使用該材料來加強安全態勢，並與廣泛認可的最佳實務保持一致。

了解區域、管道和安全等級

IEC 62443 圍繞三個核心思想構建工業網路安全設計：

總而言之，這些要素實現風險驅動的劃分策略，與失效模式與效應分析(FMEA)、危害和可操作性研究 (HAZOP)和保護層分析(LOPA)等方法相吻合。

安全等級及其類別

資產擁有者首先描述SuC，然後分配三個相關的安全等級標記：

• 目標安全等級(SL‑T (Target)) – 未來期望達成之狀態
• 達成安全等級(SL‑A (Achieved)) – 目前滿足目標之狀態
• 能力安全等級(SL‑C (Capability) – 產品或系統即時可用的最大保護

IEC 62443 定義四個升級的安全等級：

將安全等級應用於區域和管道

透過記錄區域、管道及其相關的安全等級，設計人員可展示所選控制措施如何滿足既定目標，包括計算的網路風險降低係數(CRRF)。

雖然其分層方法類似於ISA-95模型，但IEC 62443側重於適應性保護措施，而不是生產層次結構。該框架的真正優勢在於為資產擁有者提供一致的詞彙和可衡量的保證等級，使他們能夠從單一的台架擴充到工廠企業，同時與既定的工程風險分析實踐保持一致。

一致的網路安全管理系統 (CSMS)

IEC 62443 將「保護工廠」轉化為適合生產線和公用事業電網的可重複管理程式。網路安全管理系統以三個持續的循環運行：

成熟 CSMS 的構成要素

衡量實施進度

該標準列出大約127項CSMS要求，但測量方法尚無定論。許多團隊採用簡單的、用顏色編碼的成熟度量表，來讓領導層了解下一步應該將資金和時間花費在哪：

該標準本身並不強制要求使用這個特定的術語(完整、部份等)，但為在實務中廣泛使用之可視化合規性狀態的方法。

根據此矩陣繪製的每個要求，可提供一頁的優勢和差距熱圖，為下一個預算週期提供資料，並提供向執行發起人展示進度的簡單方法。

靈活性和實施要求

IEC 62443 列出大約127項CSMS要求。這些要求被編寫為具有彈性，因此水處理合作社和多據點煉油廠都可以根據自己的成熟度和風險承受能力，設定時程表和預算。有些行動主要靠紙上談兵，起草政策或分配角色，而另一些則需要實作工程或長期資本支出。一些範例： 

安全性不會永遠維持現狀。領導力、熟練的人員以及與生產目標的緊密結合，CSMS年復一年地發揮作用－無論工作涉及風險評分、資源規劃、政策更新還是性能驗證測試。

引導風險評估

確定決定被考慮的系統(SuC)後，ISA/IEC 62443-3-2將提供分步安全風險評估(SRA)工作流程。該方法可以進行訂製，從快速掃描較小的資產到深入研究高價值的生產線，同時保持足夠的可重複性，以稽核人員遵循。

SRA建立在早期研究(差距分析、成熟度審查、PHAZOP、LOPA)的基礎上，只有在混合五種元素的情況下才能成功：

1. 具有實際OT經驗的合格評估人員
2. 蓋識別、分析、評估和治療的記錄過程
3. 從資產庫存到事件日誌的準確資料
4. 工程團隊可擁有的可據以行動的排名建議
5. 經驗證的跟進－關閉工單、重新測試和記錄證據

省略其中任何一個元素，評估風險有可能失去效用。嚴格執行所有規範，IEC 62443方法將變成可衡量風險降低的實時路線圖。

使用IEC 62443保護產品開發生命週期

IEC 62443 在硬體發貨或軟體啟動很久之前就解決安全性問題。其要求指導工業自動化和控制系統產品開發生命週期的每個階段，包括設計台、集成實驗室，並最終涵蓋運行營運技術(OT)的工廠區域。

NIST Special Publications深入探討各個控制措施(例如，加密密鑰長度或多重身份驗證流程)。相比之下，IEC 62443勾勒出更大的藍圖：必須發生什麼、何時發生，以及重要的是，這些步驟如何映射到工業風險。

基本要求及其增強功能

IEC 62443‑3‑3 設定七項基本要求(ER)，每項都有詳細的要求增強(RE)。共同定義「安全設計」方法的基準：

IEC 62443‑4‑2 更深入一層，將相同的類別轉化為嵌入式裝置、網路設備和軟體的技術檢查。運行網路安全管理系統的團隊可以將每個產品決策(架構、代碼審查或韌體更新)映射到特定的目標安全等級(SLT)。

以SLTs為考量設計

達到目標SLT不僅是紙本上的里程碑。工程師將安全性融入原理圖、介面定義和驗收測試中：

1. 定義SLT -  選擇與預期威脅行為者和營運風險相配的等級(SL 1-SL 4)。
2. 映射FRs 和REs - 將每個要求轉化為可衡量的設計標準。
3. 回饋循環 - 原型、攻擊、修補和重複，直到測試表明目標等級是真實的，而非理論上的。

僅靠合規箱無法撐過一天。穩健流程將每個控制措施與故障模式或威脅場景聯起來，透過證據證明該控制措施在壓力下禁得起考驗。

記住「長尾」

在工業環境中，時間從產品發貨當天開始起算，而不是最後一次設計審查結束。發佈後任務(修補程式分發、弱點揭露、安全更新機制)通常決定資產是在十年內值得信賴，還是在兩年內成為負債。IEC 62443使長尾擁有權變得明確，將維護、事件回應和持續改進加入到安全開發的故事中。

解決常見的開發陷阱

產品設計常被視為滿足發貨日期或滿足銷售預測的競賽。當安全性似乎減緩衝刺的速度，或者看起來像一個昂貴的附加元件時，就會跳過必要的步驟。結果是軟體或硬體將隱藏的弱點帶入該領域。事後快速回顧一再顯示相同的根本原因：

• 設計決策不完整或記錄不佳
• 靜態分析或同儕審查會發現的代碼品質問題
• 在真實世界作業條件下進行有限或不適當的測試
• 維護流程弱、不一致或完全缺失

IEC 62443 提供對策。透過將指南整合到現有的SDLC中，供應商可以：

1. 從第一天開始就嵌入安全編碼實務和威脅建模。
2. 將風險管理與釋放門相連，因此如果不滿足定義的控制措施，功能就無法發佈。
3. 規劃結構化的推出和更新週期，使部署的資產隨著時間的推移保持彈性。

使用 IEC 62443 進行產品挑選和採購

安全性不僅是設計問題；同時也是購買決定。在採購過程中參考IEC 62443有助於團隊：

說明範例：一家計劃新機器單元的製造商選擇SLT-1來滿足基本的安全和資料完整性目標。透過將單元的要求映射到ISA/IEC 62443-3-3，專案團隊可以早在生產開始前，就確認控制器韌體和網路架構都符合目標等級。

經驗豐富的工程師很少一次實施各個IEC 62443條款；反之，他們開闢一個重點子集，為手上的專案提供最大程度的風險降低。在概念設計期間該子集達成一致，有助於減少重工、簡化重工並降低系統生命週期內的總擁有成本。

整合IEC 62443與其他網路安全框架

IEC 62443很少隔絕開來。大多數工業據點已經依賴一個或多個知名框架(NIST CSF、ISO/IEC 27001或特定行業的法規)，來指導政策和監督。由於IEC 62443側重於營運技術，因此控制措施可以插入到這些現有程式中，而不是加以取代。此舉通常涉及三個實際調整：

1. 翻譯用語 - 必須將目標安全等級(IEC 62443)等術語映射到NIST CSF中的保護或檢測活動。
2. 新增OT疊加  - 關於修補程式節奏或網路區隔的控件，需要針對即時、確定性流程進行調整。
3. 依照結果確定優先順序 - 在OT中，遺失封包可能會導致線路停止。使每項控制措施與工廠的營運風險矩陣保持一致，而不只是IT機密性評分。

ISO/IEC 27001 相較於 IEC 62443

ISO 27001在企業IT領域大放異彩，強調製程層級的治理、風險和合規性。其管理系統條款巧妙地融入了公司稽核週期，但該標準沒有規定如何保護運行關鍵泵的可程式設計邏輯控制器。將ISO 27001與IEC 62443結合可以縮小此差距：ISO負責政策和監督，而IEC則為時間敏感型控制網路提供設備級指導。

NIST CSF 和 NIST SP 800‑82

NIST CSF的五項核心功能(識別、保護、偵測、回應、恢復)在NIST SP 800-82 (工業控制系統安全指南)的補充下，可以好好的轉化為工廠術語。簡單的映射練習可以顯示哪些IEC 62443條款滿足每個CSF類別，幫助團隊避免重複的文書工作，並專注於真正的控制覆蓋範圍。

注意界限：網路安全相較於製程安全標準

IEC 62443 並非安全性的聖經。ISA-84、SIL和PHA/HAZOP分析等標準，仍是説明圍堵設施失效或保護人類生命的首選參考。設想：

• 安全標準可控制危險能量
• 可靠性標準確保工廠按應有的時間運行
• 網路安全標準 (IEC 62443) 有助於保護影響兩者的數位路徑。

同時運行(而不是按順序運行)可創建分層防禦，在一個作框架中解決物理危害、機械故障和網路威脅。這種整合是避免因控制器受損而引發的意外停機、監管罰款或健康、安全和環境(HSE)事件的關鍵。

任何公認的框架都是向前邁出一步。訣竅是訂製每個以適應OT的現實情況：確定性流量、較長的設備生命週期和低誤報容忍度。透過將IEC 62443疊加在NIST CSF或ISO 27001之上，並將安全標準保持在迴圈中，組織可以構建完整且與業務一致的防禦，確保資料和生產線安全運行。

IEC 62443 入門

將IEC 62443視為診斷工具和改進指南，而不是淘汰和更換的要求。此條款揭開隱藏的差距，尤其是在數位升級遇上為純機械時代設計之設備的情況下。考慮資產可見性、分段網路以及在事情出現偏差時的快速恢復計畫。

直觀的啟動路線圖

1. 挖掘過去的稽核和評估中未解決的發現
2. 按工作量、成本、營運影響和風險降低對修復進行排序
3. 選擇最能解決這些高價值差距的IEC 62443控制措施(或創建專案特定的工作包)
4. 執行和驗證－測量前後指標以證明更改的重要性

利用IEC 62443作為OT疊加

如果您的組織已經遵循NIST網路安全框架，或其他以IT為中心的模型，則在其上疊加IEC 62443來掌握工廠區域的實際情況：

• 構建使用跨IT和OT共用術語的手冊，並由聯合治理提供支援。
• 編寫嵌入與SLT一致要求的採購規範，並將其整合到工廠和現場驗收測試中。
• 更新內部政策，使其涵蓋OT特定風險和任何新的法規要求。
• 為防火牆、修補程式計畫和與即時作業相關之強化例程的設計選擇提供資訊。
• 建立可重複的OT/IACS風險評估週期，以保持年復一年的改進。

沒有單一的「正確」推出。文化、成熟度和商業驅動因素決定每家工廠的路線。重要的是共享的安全語言，IEC 62443的控制映射到熟悉的框架，促進協作、清晰度和持久的網路韌性。

IEC 62443 認證路徑

IEC 62443為人員、產品和整個設施提供認證計畫，反映ISO/IEC 27001認可從業人員和管理系統的方式。

國際自動化協會(ISA)網站上提供詳細的要求和申請表，會員也可以免費查看標準。

整合全局

IEC 62443 將「安全工業運作」的抽象目標轉變為具體、可重複的路線圖，與NIST CSF、ISO/IEC 27001和其他公認的框架吻合。藉由應用其分層防禦模型、區域和管道劃分以及持續改進迴圈，您可以更清楚了解風險，更嚴格控制老舊資產，並建立實現持續彈性的結構化路徑。

當您準備好從指導轉向執行時，洛克威爾自動化的解決方案和服務可以提供協助：

• Verve®工業網路安全平台將即時資產庫存、威脅偵測和合規性指標整合到一個視圖中，説明您在混合供應商環境中確定IEC 62443 制措施的優先順序。
• 風險評估、修補程式和漏洞管理、配置強化和全天候監控為您的團隊提供隨需的專業知識、縮小技能差距，同時保持生產正常進行。
• 框架協調驗證每個安全措施是否可以映射回IEC 62443、NIST CSF或CIS控制，使稽核更簡單且進度更可衡量。

無論您是為單個機器單元定義目標安全等級，還是部署全公司範圍的網路安全管理系統，洛克威爾自動化都可以協助您將規劃轉化為可衡量的風險降低，而不會中斷營運，讓業務保持運轉。