IEC 62443
आई. ई. सी. 62443 मानकों की एक अंतरराष्ट्रीय श्रृंखला है जो स्वचालन और नियंत्रण प्रणालियों में परिचालन प्रौद्योगिकी के लिए साइबर सुरक्षा को संबोधित करती है। मानक को विभिन्न वर्गों में विभाजित किया गया है और स्वचालन और नियंत्रण प्रणाली साइबर सुरक्षा के तकनीकी और प्रक्रिया से संबंधित दोनों पहलुओं का वर्णन करता है। यह साइबर सुरक्षा विषयों को हितधारक श्रेणी/भूमिकाओं द्वारा विभाजित करता है जिसमें शामिल हैंः प्रचालक, सेवा प्रदाता (एकीकरण और रखरखाव के लिए सेवा प्रदाता) घटक/प्रणाली निर्माता। विभिन्न भूमिकाएँ प्रत्येक अपनी गतिविधियों में सुरक्षा जोखिमों को रोकने और प्रबंधित करने के लिए एक जोखिम-आधारित दृष्टिकोण का पालन करती हैं। एक अंतर्राष्ट्रीय मानक के रूप में, मानकों का आई. ई. सी. 62443 परिवार अंतर्राष्ट्रीय विद्युत तकनीकी आयोग (आई. ई. सी.) मानक निर्माण प्रक्रिया का परिणाम है जिसमें शामिल सभी राष्ट्रीय समितियाँ एक सामान्य मानक पर सहमत होती हैं। कई संगठनों और समितियों ने आई. ई. सी. कार्य समूहों को इनपुट प्रस्तुत किया और मानक के आई. ई. सी. 62443 परिवार को आकार देने में मदद की। 2002 में, इंटरनेशनल सोसाइटी ऑफ ऑटोमेशन (आई. एस. ए.), एक पेशेवर ऑटोमेशन इंजीनियरिंग सोसाइटी और ए. एन. एस. आई.-मान्यता प्राप्त मानक विकास संगठन (एस. डी. ओ.) ने औद्योगिक ऑटोमेशन और नियंत्रण प्रणाली सुरक्षा मानक समिति (आई. एस. ए. 99) की स्थापना की। आई. एस. ए. 99 समिति ने औद्योगिक स्वचालन और नियंत्रण प्रणाली (आई. ए. सी. एस.) साइबर सुरक्षा के बारे में मानकों और तकनीकी रिपोर्टों की एक बहु-भाग श्रृंखला विकसित की। ये कार्य उत्पाद आई. एस. ए. द्वारा अनुमोदन के लिए प्रस्तुत किए गए थे और फिर उत्तरी अमेरिकी ए. एन. एस. आई. मानकों के रूप में प्रकाशित किए गए थे। आई. एस. ए. मानक दस्तावेजों को मूल रूप से ए. एन. एस. आई./आई. एस. ए.-99 या आई. एस. ए. 99 मानकों के रूप में संदर्भित किया गया था जिन्हें 2010 में ए. एन. एस. आई./आई. एस. ए.-62443 श्रृंखला के रूप में पुनर्नामित किया गया था। इस श्रृंखला की सामग्री आई. ई. सी. कार्य समूहों को प्रस्तुत की गई थी और उनका उपयोग किया गया था। समानांतर में, जर्मन इंजीनियरिंग संघों वी. डी. आई. और वी. डी. ई. ने 2011 में वी. डी. आई./वी. डी. ई. 2182 दिशानिर्देश जारी किए। दिशानिर्देशों में वर्णन किया गया है कि औद्योगिक स्वचालन वातावरण में सूचना सुरक्षा को कैसे संभाला जाए और आई. ई. सी. कार्य समूहों को भी प्रस्तुत किया गया और उनका उपयोग किया गया। 2021 में, आई. ई. सी. ने मानकों के आई. ई. सी. 62443 परिवार को 'क्षैतिज मानकों' के रूप में मंजूरी दी। इसका मतलब है कि जब विषय वस्तु विशेषज्ञों द्वारा परिचालन प्रौद्योगिकी के लिए क्षेत्र विशिष्ट मानकों को विकसित किया जा रहा है, तो उन मानकों में साइबर सुरक्षा को संबोधित करने वाली आवश्यकताओं के लिए आई. ई. सी. 62443 मानकों का उपयोग किया जाना चाहिए। यह दृष्टिकोण उद्योग क्षेत्रों में परिचालन प्रौद्योगिकी की साइबर सुरक्षा को संबोधित करने के लिए आंशिक और/या परस्पर विरोधी आवश्यकताओं के प्रसार से बचने का काम करता है जहां समान या समान प्रौद्योगिकी या उत्पादों को परिचालन स्थलों पर तैनात किया जाता है। संरचना आई. ई. सी. 62443 औद्योगिक संचार नेटवर्क-मानकों की नेटवर्क और प्रणाली सुरक्षा श्रृंखला को चार भागों में व्यवस्थित किया गया हैः सामान्यः इस भाग में वे विषय शामिल हैं जो पूरी श्रृंखला के लिए सामान्य हैं। नीतियाँ और प्रक्रियाएँः यह भाग आई. ए. सी. एस. सुरक्षा से जुड़े तरीकों और प्रक्रियाओं पर केंद्रित है। प्रणालीः यह भाग प्रणाली स्तर पर आवश्यकताओं के बारे में है। घटक और आवश्यकताएँः यह भाग आई. ए. सी. एस. उत्पादों के लिए विस्तृत आवश्यकताएँ प्रदान करता है। निम्नलिखित तालिका आई. ई. सी. 62443 श्रृंखला के मानकों के कुछ हिस्सों को उनकी स्थिति और शीर्षक के साथ सूचीबद्ध करती है। भाग 2-1: मानक का यह भाग स्वचालन समाधानों के संचालकों के उद्देश्य से है और संयंत्रों के संचालन के दौरान सुरक्षा पर विचार करने के लिए आवश्यकताओं को परिभाषित करता है (आईएसओ/आईईसी 27001 देखें)। भाग 2-4: यह भाग इंटीग्रेटर्स के लिए आवश्यकताओं ("क्षमताओं") को परिभाषित करता है। इन आवश्यकताओं को 12 विषयों में विभाजित किया गया हैः आश्वासन, वास्तुकला, वायरलेस, सुरक्षा इंजीनियरिंग प्रणाली, विन्यास प्रबंधन, रिमोट एक्सेस, घटना प्रबंधन और लॉगिंग, उपयोगकर्ता प्रबंधन, मैलवेयर संरक्षण, पैच प्रबंधन, बैकअप और पुनर्प्राप्ति, और परियोजना स्टाफिंग। भाग 4-1: यह भाग परिभाषित करता है कि एक सुरक्षित उत्पाद विकास प्रक्रिया कैसी होनी चाहिए। इसे आठ क्षेत्रों ("प्रथाओं") में विभाजित किया गया हैः विकास का प्रबंधन, सुरक्षा आवश्यकताओं की परिभाषा, सुरक्षा समाधानों का डिजाइन, सुरक्षित विकास, सुरक्षा सुविधाओं का परीक्षण, सुरक्षा कमजोरियों से निपटना, अद्यतन का निर्माण और प्रकाशन और सुरक्षा सुविधाओं का प्रलेखन। भाग 4-2: यह भाग उत्पादों या घटकों के लिए तकनीकी आवश्यकताओं को परिभाषित करता है। प्रणालियों की आवश्यकताओं की तरह (धारा-3-3), आवश्यकताओं को 12 विषय क्षेत्रों में विभाजित किया गया है और उन्हें संदर्भित किया गया है। तकनीकी आवश्यकताओं के अलावा, सामान्य घटक सुरक्षा बाधाओं (सी. सी. एस. सी.) को परिभाषित किया गया है, जिन्हें आई. ई. सी. 62443-4-2 के अनुरूप होने के लिए घटकों द्वारा पूरा किया जाना चाहिएः सी. सी. एस. सी. 1 वर्णन करता है कि घटकों को उस प्रणाली की सामान्य सुरक्षा विशेषताओं को ध्यान में रखना चाहिए जिसमें उनका उपयोग किया जाता है। सी. सी. एस. सी. 2 निर्दिष्ट करता है कि जिन तकनीकी आवश्यकताओं को घटक स्वयं पूरा नहीं कर सकता है, उन्हें प्रणाली स्तर पर प्रतिकारक उपायों की भरपाई करके पूरा किया जा सकता है (आई. ई. सी. 62443-3-3 देखें)। इस उद्देश्य के लिए, घटक के प्रलेखन में प्रति-उपायों का वर्णन किया जाना चाहिए। सी. सी. एस. सी. 3 के लिए आवश्यक है कि घटक में "न्यूनतम विशेषाधिकार" सिद्धांत लागू किया जाए। सी. सी. एस. सी. 4 के लिए आवश्यक है कि घटक आई. ई. सी. 62443-4-1 अनुपालन विकास प्रक्रियाओं द्वारा विकसित और समर्थित हो। परिपक्वता और सुरक्षा स्तर आई. ई. सी. 62443 प्रक्रियाओं और तकनीकी आवश्यकताओं के लिए परिपक्वता के विभिन्न स्तरों का वर्णन करता है। प्रक्रियाओं के लिए परिपक्वता स्तर क्षमता परिपक्वता मॉडल एकीकरण (सीएमएमआई) ढांचे से परिपक्वता स्तरों पर आधारित होते हैं। सी. एम. एम. आई. पर आधारित परिपक्वता स्तर, आई. ई. सी. 62443 तथाकथित "परिपक्वता स्तरों" के माध्यम से प्रक्रियाओं के लिए विभिन्न परिपक्वता स्तरों का वर्णन करता है। परिपक्वता स्तर के एक निश्चित स्तर को पूरा करने के लिए, उत्पाद विकास या एकीकरण के दौरान सभी प्रक्रिया से संबंधित आवश्यकताओं का हमेशा अभ्यास किया जाना चाहिए, अर्थात। केवल व्यक्तिगत मानदंड ("चेरी पिकिंग") का चयन मानक-अनुपालन नहीं है। परिपक्वता स्तरों को निम्नानुसार वर्णित किया गया हैः परिपक्वता स्तर 1-प्रारंभिकः उत्पाद आपूर्तिकर्ता आमतौर पर उत्पाद विकास तदर्थ करते हैं और अक्सर अनिर्दिष्ट (या पूरी तरह से प्रलेखित नहीं) होते हैं। परिपक्वता स्तर 2-प्रबंधित-उत्पाद आपूर्तिकर्ता लिखित दिशानिर्देशों के अनुसार उत्पाद के विकास का प्रबंधन करने में सक्षम होता है। यह प्रदर्शित किया जाना चाहिए कि प्रक्रिया को पूरा करने वाले कर्मियों के पास उचित विशेषज्ञता है, वे प्रशिक्षित हैं और/या लिखित प्रक्रियाओं का पालन करते हैं। प्रक्रियाएँ दोहरायी जा सकती हैं। परिपक्वता स्तर 3-परिभाषित (अभ्यासित): यह प्रक्रिया आपूर्तिकर्ता के पूरे संगठन में दोहराई जा सकती है। प्रक्रियाओं का अभ्यास किया गया है और इस बात के प्रमाण हैं कि ऐसा किया गया है। परिपक्वता स्तर 4-सुधारः उत्पाद आपूर्तिकर्ता प्रक्रिया की प्रभावशीलता और प्रदर्शन की निगरानी करने और इन क्षेत्रों में निरंतर सुधार प्रदर्शित करने के लिए उपयुक्त प्रक्रिया मेट्रिक्स का उपयोग करते हैं। सुरक्षा स्तर प्रणालियों (आई. ई. सी. 62443-3-3) और उत्पादों (आई. ई. सी. 62443-4-2) के लिए तकनीकी आवश्यकताओं का मूल्यांकन चार तथाकथित सुरक्षा स्तरों (एस. एल.) द्वारा मानक में किया जाता है। विभिन्न स्तर हमलावरों के विभिन्न वर्गों के खिलाफ प्रतिरोध का संकेत देते हैं। मानक इस बात पर जोर देता है कि स्तरों का मूल्यांकन तकनीकी आवश्यकता के अनुसार किया जाना चाहिए (आई. ई. सी. 62443-1-1 देखें) और उत्पादों के सामान्य वर्गीकरण के लिए उपयुक्त नहीं हैं। सुरक्षा स्तर 0: कोई विशेष आवश्यकता या सुरक्षा की आवश्यकता नहीं है। सुरक्षा स्तर 1: अनजाने में या आकस्मिक दुरुपयोग के खिलाफ सुरक्षा। सुरक्षा स्तर 2: कुछ संसाधनों, सामान्य कौशल और कम प्रेरणा के साथ सरल साधनों द्वारा जानबूझकर दुरुपयोग के खिलाफ सुरक्षा। सुरक्षा स्तर 3: मध्यम संसाधनों, आई. ए. सी. एस.-विशिष्ट ज्ञान और मध्यम प्रेरणा के साथ परिष्कृत साधनों द्वारा जानबूझकर दुरुपयोग के खिलाफ सुरक्षा। सुरक्षा स्तर 4: व्यापक संसाधनों, आई. ए. सी. एस.-विशिष्ट ज्ञान और उच्च प्रेरणा के साथ परिष्कृत साधनों का उपयोग करके जानबूझकर दुरुपयोग से सुरक्षा। अवधारणाएं मानक विभिन्न बुनियादी सिद्धांतों की व्याख्या करता है जिन पर सभी गतिविधियों में सभी भूमिकाओं के लिए विचार किया जाना चाहिए। गहराई में रक्षा एक अवधारणा है जिसमें सुरक्षा (रक्षा) के कई स्तर पूरे सिस्टम में वितरित किए जाते हैं। लक्ष्य किसी सुरक्षा उपाय के विफल होने या किसी भेद्यता का दोहन होने की स्थिति में अतिरेक प्रदान करना है। क्षेत्र और संवाहक क्षेत्र सामान्य सुरक्षा आवश्यकताओं के साथ (तार्किक या भौतिक) परिसंपत्तियों को समूहीकृत करके एक प्रणाली को सजातीय क्षेत्रों में विभाजित करते हैं। सुरक्षा आवश्यकताओं को सुरक्षा स्तर (एस. एल.) द्वारा परिभाषित किया जाता है। एक क्षेत्र के लिए आवश्यक स्तर जोखिम विश्लेषण द्वारा निर्धारित किया जाता है। क्षेत्रों की सीमाएँ होती हैं जो क्षेत्र के अंदर के तत्वों को बाहर के तत्वों से अलग करती हैं। जानकारी क्षेत्रों के भीतर और उनके बीच चलती है। क्षेत्रों को उप-क्षेत्रों में विभाजित किया जा सकता है जो विभिन्न सुरक्षा स्तरों (सुरक्षा स्तर) को परिभाषित करते हैं और इस प्रकार रक्षा को गहराई से सक्षम करते हैं। संवाहिका उन तत्वों को समूहित करती है जो दो क्षेत्रों के बीच संचार की अनुमति देते हैं। वे सुरक्षा कार्य प्रदान करते हैं जो सुरक्षित संचार को सक्षम करते हैं और विभिन्न सुरक्षा स्तरों वाले क्षेत्रों के सह-अस्तित्व की अनुमति देते हैं। मानकों के लिए प्रमाणन औद्योगिक स्वचालन वातावरण में उपयोग की जाने वाली प्रक्रियाओं, प्रणालियों और उत्पादों को आई. ई. सी. 62443 के अनुसार प्रमाणित किया जा सकता है। कई परीक्षण, निरीक्षण और प्रमाणन (टी. आई. सी.) कंपनियां आई. ई. सी. 62443 के आधार पर उत्पाद और प्रक्रिया प्रमाणन प्रदान करती हैं। मानकों की आई. एस. ओ./आई. ई. सी. 17000 श्रृंखला के अनुसार मान्यता प्राप्त करके, कंपनियां आई. ई. सी. 62443 प्रमाणन के लिए प्रमाणन आवश्यकताओं का एक एकल, सुसंगत सेट साझा करती हैं जो अनुरूपता के परिणामी प्रमाणपत्रों की उपयोगिता को बढ़ाती हैं। कई वैश्विक परीक्षण, निरीक्षण और प्रमाणन (टी. आई. सी.) कंपनियों द्वारा मान्यता प्राप्त प्रमाणन योजनाएं आई. ई. सी. 62443 प्रमाणन योजनाएं स्थापित की गई हैं। ये योजनाएं संदर्भित मानकों पर आधारित हैं और परीक्षण विधियों, निगरानी लेखा परीक्षा नीतियों, सार्वजनिक प्रलेखन नीतियों और उनके कार्यक्रम के अन्य विशिष्ट पहलुओं को परिभाषित करती हैं। आई. ई. सी. 62443 मानकों के लिए साइबर सुरक्षा प्रमाणन कार्यक्रम विश्व स्तर पर कई मान्यता प्राप्त प्रमाणन निकायों (सी. बी.) द्वारा पेश किए जा रहे हैं, जिनमें ब्यूरो वेरिटास, आई. एम. क्यू., इंटरटेक, एस. जी. एस.-टी. यू. वी. सार, टी. यू. वी. नोर्ड, टी. यू. वी. राइनलैंड, टी. यू. वी. एस. यू. डी. और यू. एल. शामिल हैं। राष्ट्रीय मान्यता निकायों (ए. बी.) का एक वैश्विक बुनियादी ढांचा आई. ई. सी. 62443 का लगातार मूल्यांकन सुनिश्चित करता है। एबीएस आई. एस. ओ./आई. ई. सी. 17011 की आवश्यकताओं के अनुसार काम करते हैं, एक मानक जिसमें अनुरूपता मूल्यांकन निकायों को मान्यता देते समय मान्यता निकायों की क्षमता, स्थिरता और निष्पक्षता की आवश्यकताएं शामिल हैं। एबी प्रबंधन प्रणालियों, उत्पादों, सेवाओं और कार्मिक प्रत्यायन में काम करने के लिए आईएएफ के सदस्य हैं या प्रयोगशाला प्रत्यायन के लिए आईएलएसी के सदस्य हैं। एबी के बीच एक बहुपक्षीय मान्यता व्यवस्था (एमएलए) मान्यता प्राप्त सीबी की वैश्विक मान्यता सुनिश्चित करेगी। टी. आई. सी. कंपनियों को आई. एस. ओ./आई. ई. सी. 17020 के अनुसार निरीक्षण, आई. एस. ओ./आई. ई. सी. 17025 के अनुसार परीक्षण प्रयोगशालाएं और आई. एस. ओ./आई. ई. सी. 17065 के अनुसार उत्पादों, प्रक्रियाओं और सेवाओं का प्रमाणन प्रदान करने के लिए ए. बी. द्वारा मान्यता प्राप्त है। आई. ई. सी. ई. सी. बी. योजना इलेक्ट्रोटेक्निकल उपकरण और घटकों के लिए अनुरूपता मूल्यांकन योजनाओं के लिए आई. ई. सी. प्रणाली (आई. ई. सी. ई. ई.) प्रमाणन निकाय योजना (सी. बी. योजना) एक बहुपक्षीय समझौता है जो विद्युत और इलेक्ट्रॉनिक उत्पादों के निर्माताओं के लिए बाजार पहुंच की सुविधा प्रदान करता है। सी. बी. योजना प्रक्रियाओं के तहत, उत्पादों और प्रणालियों को आई. ई. सी. 62443 के अनुसार प्रमाणित किया जा सकता है। सी. बी. योजना की उत्पत्ति सी. ई. ई. (पूर्व यूरोपीय "विद्युत उपकरण के अनुरूपता परीक्षण आयोग") से हुई है और इसे 1985 में आई. ई. सी. में एकीकृत किया गया था। वर्तमान में, 54 सदस्य निकाय आई. ई. सी. ई. ई., 88 एन. सी. बी. (राष्ट्रीय प्रमाणन निकाय) और 534 सी. बी. परीक्षण प्रयोगशाला (सी. बी. टी. एल.) में हैं। उत्पाद प्रमाणन के क्षेत्र में, इस प्रक्रिया का उपयोग सुसंगत मानकों के अनुसार परीक्षण और प्रमाणित उत्पादों के निर्माताओं के लिए अनुमोदन प्रक्रिया में जटिलता को कम करने के लिए किया जाता है। एक उत्पाद जिसका परीक्षण आई. ई. सी. 62443 जैसे सुसंगत मानक के अनुसार सी. बी. टी. एल. (प्रमाणित परीक्षण प्रयोगशाला) द्वारा किया गया है, वह सी. बी. रिपोर्ट का उपयोग बाद के राष्ट्रीय प्रमाणन और अनुमोदन जैसे जी. एस., पी. एस. ई., सी. सी. सी., एन. ओ. एम., जी. ओ. एस. टी./आर., बी. एस. एम. आई. के आधार के रूप में कर सकता है। आई. एस. ए. सुरक्षा अनुपालन संस्थान (आई. एस. सी. आई.), आई. एस. ए. की पूर्ण स्वामित्व वाली सहायक कंपनी, ने एक उद्योग सर्वसम्मति अनुरूपता मूल्यांकन योजना बनाई जो आई. एस. ए./आई. ई. सी. 62443 मानकों को प्रमाणित करती है और आई. एस. ए. एस. सुरक्षित ब्रांड के तहत काम करती है। इस योजना का उपयोग स्वचालन नियंत्रण प्रणालियों, घटकों और प्रक्रियाओं को प्रमाणित करने के लिए किया जाता है। दिसंबर 2022 में औद्योगिक आई. ओ. टी. घटक प्रमाणन (आई. सी. एस. ए.) को शामिल करने के लिए आई. एस. ए. एस. सिक्योर प्रमाणन का विस्तार किया गया। आई. एस. ए. एस. सुरक्षित प्रमाणन योजना में प्रमाणन निकाय आई. एस. ओ. 17011 प्रत्यायन निकायों द्वारा आई. एस. ए. एस. सुरक्षित तकनीकी तैयारी आवश्यकताओं और आई. एस. ओ. 17025 और आई. एस. ओ. 17065 मानकों के लिए स्वतंत्र रूप से मान्यता प्राप्त हैं। आई. ए. एफ. के तहत बहुपक्षीय मान्यता समझौते यह सुनिश्चित करते हैं कि आई. एस. ए. एस. सिक्योर प्रमाणन सभी वैश्विक आई. ए. एफ. हस्ताक्षरकर्ताओं द्वारा पारस्परिक रूप से मान्यता प्राप्त हैं। आई. एस. सी. आई. आई. एस. ए. एस. सिक्योर ब्रांड के तहत कई प्रमाणन प्रदान करता हैः आई. ई. सी. 62443-3-3 और आई. ई. सी. 62443-4-1 और आई. ई. सी. 62443-4-2 आई. ई. सी. 62443-4-1 और आई. ई. सी. 62443-4-2 के अनुसार आई. आई. ओ. टी. स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन घटकों के स्वचालन यह प्रमाणन 2010 में पेश किया गया था और चरणबद्ध तरीके से समाप्त कर दिया गया था जब आई. ई. सी. 62443-4-2 मानक को औपचारिक रूप से 2018 में अनुमोदित और प्रकाशित किया गया था। 2023 में, ISASecure ने परिसंपत्ति मालिक स्थलों पर संचालन में स्वचालन और नियंत्रण प्रणालियों का आकलन और प्रमाणन करने के लिए एक नए प्रमाणन के विकास की घोषणा की। इसे स्वचालन और नियंत्रण प्रणाली सुरक्षा आश्वासन (एसीएसएसए) प्रमाणन नाम दिया गया है। इसे 2024 के अंत तक पूरा करने की उम्मीद है। साइबर सुरक्षा मानक कार्यात्मक सुरक्षा अंतर्राष्ट्रीय विद्युत तकनीकी आयोग संदर्भ बाहरी लिंक आई. ई. सी. वेबसाइट आई. ई. सी. ई. ई. वेबसाइट कंप्यूटर सुरक्षा मानक सूचना आश्वासन मानक नियंत्रण प्रणाली 62443 भी देखें।