IEC 62443 ja NIS2 – tööstusvõrkude küberturvalisus

Miks OT-turvalisus erineb IT-turvalisusest

Kontori-IT-s on sageli esikohal konfidentsiaalsus. Juhtsüsteemis on kõige tähtsamad käideldavus ja ohutus: protsess ei tohi seiskuda ja vale inimene ei tohi klappi avada. Seadmed on sageli kasutuses 15–30 aastat, uuendused nõuavad planeeritud seisakuid ning vanematel protokollidel, näiteks Modbusil, puudub autentimine. Samal ajal ühendatakse kaughoolduse jaoks võrku üha rohkem masinaid.

Mis on IEC 62443?

IEC 62443 on rahvusvaheliste standardite sari, mis käsitleb tööstusautomaatika ja juhtsüsteemide küberturvalisust. See põhineb USA organisatsiooni ISA tööl, mistõttu kohtab mõnikord ka nimetust ISA/IEC 62443.

Kolm rolli

Omanik (asset owner) omab ja käitab rajatist ning vastutab riskide eest. Integraator projekteerib, ehitab ja hooldab süsteemi. Tootetarnija arendab komponente, näiteks kommutaatoreid, ruutereid, PLC-sid ja tarkvara.

Turvatasemed SL 1–4

• SL 1 – kaitse tahtmatute vigade ja juhuslike rikkumiste eest.
• SL 2 – kaitse tahtlike rünnakute eest, mis kasutavad lihtsaid vahendeid ja üldisi oskusi.
• SL 3 – kaitse keerukate rünnakute eest, millel on mõõdukad ressursid ja juhtsüsteemide tundmine.
• SL 4 – kaitse keerukate rünnakute eest, millel on ulatuslikud ressursid ja kõrge motivatsioon.

Tsoonid ja kanalid

Tsoon on samade turvanõuetega seadmete rühm, näiteks tootmisliin või alajaam. Kanal (conduit) on tsoonide vaheline kontrollitud sidetee, tavaliselt tulemüüri või turvaruuteri kaudu. Mõte on selles, et ühte tsooni tunginud ründaja ei pääseks vabalt ülejäänud rajatisse.

Mida NIS2 nõuab – ja kellele see kehtib?

NIS2 ehk direktiiv (EL) 2022/2555 asendas esimese NIS-direktiivi ja liikmesriigid pidid selle üle võtma 2024. aasta oktoobriks. Näiteks Rootsis kehtib küberturvalisuse seadus (2025:1506) alates 15. jaanuarist 2026 ja selle alla kuuluvad organisatsioonid peavad end registreerima Rootsi tsiviilkaitseametis (MCF). Teised riigid on eri etappides ja Ühendkuningriigil on oma reeglid. Eestis tasub nõudeid kontrollida küberturvalisuse seadusest ja Riigi Infosüsteemi Ameti (RIA) juhistest.

Direktiiv kehtib üldjuhul määratud sektorite keskmistele ja suurtele organisatsioonidele, alates 50 töötajast või 10 miljoni euro suurusest aastakäibest. Nende hulka kuuluvad energeetika, transport, tervishoid, vesi ja digitaristu, aga ka meditsiiniseadmete, elektroonika, masinate ja sõidukite ning toiduainete ja kemikaalide tootmine. Mõned organisatsioonid kuuluvad direktiivi alla suurusest sõltumata.

• Riskijuhtimine – meetmed muu hulgas intsidentide käsitlemiseks, talitluspidevuseks, tarneahela turvalisuseks, juurdepääsu kontrolliks ja krüpteerimiseks.
• Juhtkonna vastutus – juhtkond peab olema turvameetmete alal koolitatud ja vastutab nende rakendamise eest.
• Intsidentidest teatamine – varajane hoiatus 24 tunni jooksul, intsidenditeade 72 tunni jooksul ja lõpparuanne ühe kuu jooksul.
• Sanktsioonid – oluliste üksuste puhul trahvid kuni 10 miljonit eurot või 2 % ülemaailmsest aastakäibest.

Direktiivi kohaldamisalast välja jäävaid ettevõtteid puudutab see siiski, sest selle alla kuuluvad kliendid peavad esitama nõudeid oma tarnijatele. Digitaalsete elementidega toodete tootjatele kehtib lisaks ELi küberkerksuse määrus (CRA), määrus (EL) 2024/2847, mida kohaldatakse täies ulatuses alates 2027. aasta detsembrist.

Praktilised esimesed sammud

1. Tee inventuur. Pane kirja seadmed, püsivara versioonid ja ühendused. Sa ei saa kaitsta seda, millest sa ei tea.
2. Segmenteeri. Jaga võrk tsoonideks hallatavate kommutaatorite VLAN-idega ja paigalda nende vahele tulemüürid. Eralda kontorivõrk OT-võrgust DMZ-iga.
3. Kontrolli liiklust. Pakettide süvakontrolliga (DPI) tööstuslikud tulemüürid ja turvaruuterid mõistavad selliseid protokolle nagu Modbus ja suudavad volitamata käsud blokeerida.
4. Turva kaugjuurdepääs. Internetti avatud porte ei tohi olla. Tarnijad ühenduvad VPN-iga kontrollitud punkti kaudu, isiklike kontode ja kaheastmelise sisselogimisega.
5. Uuenda ja karasta. Planeeri püsivara uuendused, muuda vaikeparoolid ja lülita välja kasutamata teenused ja pordid.
6. Logi ja jälgi. Kogu logid kesksesse kohta ja anna kõrvalekallete korral häire, et intsidendid avastataks õigel ajal.
7. Planeeri taastamine. Varunda konfiguratsioonid ja programmid ning kontrolli, et taastamine ka tegelikult töötab.

Näited eri valdkondadest

• Energeetika – turvaruuterid alajaamade ja juhtimiskeskuse vahel ning tulemüürid, mis mõistavad IEC 61850 protokolle.
• Vesi ja kanalisatsioon – pumbajaamad, millega ühendutakse avatud portide asemel mobiilsidevõrgu ja VPN-i kaudu.
• Tehased ja masinaehitajad – NAT-seadmed, mis eraldavad masina võrgu kliendi võrgust, ja VPN-ruuterid kaughoolduseks.
• Raudtee – turvaruuterid ja tulemüüriga lüüsid, mis eraldavad rongisiseseid alamsüsteeme.
• Haiglad ja kaitsevaldkond – meditsiiniseadmed eraldi tsoonides ning range eraldatus eri salastatusastmega võrkude vahel.

Mida tarnijatelt nõuda?

• Standardi IEC 62443-4-2 järgi sertifitseeritud tooted koos märgitud turvatasemega, näiteks SL 2.
• Arendus standardi IEC 62443-4-1 järgi, sealhulgas haavatavuste käsitlemine.
• Selge teave selle kohta, kui kaua turvauuendusi pakutakse.
• Turvalised vaikeseaded: ühiseid vaikeparoole pole, püsivara on allkirjastatud ja kasutusel on turvaline alglaadimine. Soovitatavalt ka tarkvara koostisosade loend (SBOM).
• Integraatoritelt ja teenusepakkujatelt: töömeetodid standardi IEC 62443-2-4 järgi.

Levinud vead

1. Lame võrk. Ühes lames võrgus võib hooldussülearvutis olev pahavara jõuda iga PLC-ni. Segmenteerimine on sageli kõige tõhusam meede.
2. Õhuvahe, mida tegelikult pole. USB-mälupulgad, hooldussülearvutid ja kellegi lisatud 4G-modemid rikuvad isolatsiooni. Kaardista kõik sissepääsuteed.
3. Kaugjuurdepääs kõrvalt. Kiirlahendusena tehtud pordisuunamised ja kaugjuhtimistööriistad jäävad sageli alles. Koonda kogu kaugjuurdepääs ühte kontrollitud lahendusse.
4. Sertifikaat muutub alibiks. IEC 62443-4-2 järgi sertifitseeritud komponent ei muuda süsteemi turvaliseks. See sõltub sellest, kuidas tsoonid, kanalid ja protseduurid on üles ehitatud.

Turvalised võrgutooted SCN-ilt

Meie valikus on muu hulgas Moxa, Axiomteki, INSYS icomi, HMS Networksi ja Yaskawa turvaruuterid, tööstuslikud tulemüürid, NAT-seadmed, VPN-ruuterid ja hallatavad kommutaatorid. Osa valiku tooteid on sertifitseeritud standardi IEC 62443-4-2 järgi, näiteks Moxa jadaliidese seadmeserver NPort 6600-G2 tasemel SL 2.

Näited meie valikust

Korduma kippuvad küsimused

Kas IEC 62443 on kohustuslik?

Standard ise on vabatahtlik, kuid seda kasutatakse sageli NIS2 nõuete täitmise tõendamiseks ja üha rohkem kliente nõuab seda hangetes.

Mis vahe on standarditel IEC 62443 ja ISO/IEC 27001?

ISO/IEC 27001 kirjeldab kogu organisatsiooni infoturbe juhtimissüsteemi. IEC 62443 on kirjutatud tööstuslikele juhtsüsteemidele ning sisaldab tehnilisi nõudeid süsteemidele ja komponentidele. Paljud kasutavad mõlemat.

Kas minu ettevõte kuulub NIS2 alla?

See sõltub sektorist ja suurusest. Kontrolli siseriiklikku seadust ja järelevalveasutuse juhiseid. Kohaldamisalast välja jäävad ettevõtted saavad nõudeid sageli klientidelt, kes direktiivi alla kuuluvad.

Mida tähendab IEC 62443 puhul SL 2?

Turvatase 2 tähendab kaitset tahtlike rünnakute eest, mis kasutavad lihtsaid vahendeid ja üldisi oskusi. See on sertifitseeritud tööstuslike võrgutoodete puhul levinud tase.