IEC 62443 là gì: zone, conduit, mức an ninh SL và mô hình Purdue cho nhà máy

IEC 62443 là gì

IEC 62443 là bộ tiêu chuẩn về an ninh mạng cho hệ thống điều khiển và tự động hóa công nghiệp (IACS): PLC, DCS, SCADA, hệ an toàn và mạng nối chúng với nhau. Bộ tiêu chuẩn do ủy ban ISA99 soạn dưới tên ISA-62443 rồi chuyển sang IEC; bản ISA và bản IEC của từng tài liệu giống hệt nhau và được phát hành gần như cùng lúc. Năm 2021, IEC công nhận bộ này là tiêu chuẩn ngang (horizontal standard), tức áp dụng cho nhiều ngành chứ không riêng một ngành.

Đây không phải một tài liệu mà là cả một bộ, viết cho nhiều bên cùng lúc. Vì vậy một dòng trong hồ sơ thầu như "hệ điều khiển phải tuân thủ IEC 62443" gần như chưa nói gì, cho tới khi ghi rõ phần nào, cho bên nào và ở mức an ninh nào.

Bốn nhóm tài liệu, nhiều bên tham gia

Các phần được đánh số theo bốn nhóm (1-x đến 4-x); các phần chính là:

Bộ tiêu chuẩn viết cho nhiều bên cùng lúc: Dragos kể chủ đầu tư — chủ sở hữu hệ thống (asset owner), tức nhà máy — nhà tích hợp hệ thống và hãng cung cấp thành phần trong số các bên liên quan. Đọc theo tên: phần 2-1 viết cho chủ đầu tư, phần 2-4 cho nhà cung cấp dịch vụ, phần 4-1 và 4-2 cho hãng làm sản phẩm.

Mô hình Purdue: các cấp từ đâu ra

Phần lớn sơ đồ mạng nhà máy bắt đầu từ mô hình Purdue — Purdue Enterprise Reference Architecture, do Theodore J. Williams và liên minh công nghiệp – Đại học Purdue xây dựng vào thập niên 1990. Mô hình chia cấp 0 đến 4: bản thân quá trình, thiết bị hiện trường đo và tác động lên quá trình, hệ điều khiển (DCS, HMI, SCADA), vận hành sản xuất (MES, batch, historian) và hậu cần kinh doanh (ERP). ISA-95 dùng cùng các cấp này.

Hướng dẫn thiết kế an ninh của Rockwell (SECURE-RM001J) dựa trên các cấp này trong kiến trúc Converged Plantwide Ethernet (CPwE) và áp dụng ISA/IEC 62443 bằng cách gom các cấp thành vùng (chương 3). Thiết bị nêu dưới đây là ví dụ thường gặp, không phải danh sách của tài liệu:

• Vùng cell/area, cấp 0–2: quá trình (cấp 0), bộ điều khiển (cấp 1) và giám sát khu vực như HMI (cấp 2);
• Vùng công nghiệp, cấp 3 (vận hành nhà máy): ví dụ máy chủ SCADA, historian, trạm kỹ thuật;
• IDMZ (Industrial Demilitarized Zone), vùng đệm giữa vùng công nghiệp và vùng doanh nghiệp, là đường duy nhất giữa hai bên — hay được vẽ là "cấp 3.5", dù tài liệu Rockwell không đánh số;
• Vùng doanh nghiệp, cấp 4–5: ví dụ ERP, email và mạng tập đoàn.

Với IDMZ, cùng tài liệu đặt nguyên tắc: mọi lưu lượng kết thúc tại IDMZ, không có lưu lượng nào đi thẳng qua, và lưu lượng điều khiển EtherNet/IP ở lại trong vùng công nghiệp (chương 3, mục "Industrial Demilitarized Zone").

Các tài liệu xếp thiết bị vào cấp hơi khác nhau: CPwE đặt bộ điều khiển ở cấp 1 và HMI ở cấp 2, còn phần mô tả ISA-95 trong OPC 10030 của OPC Foundation đặt PLC và DCS ở cấp 2. Với thiết kế an ninh, điều quan trọng là tài sản được gom vào vùng nào, không phải con số cấp chính xác.

Zone và conduit

Hai khái niệm làm thay đổi sơ đồ mạng nhiều nhất là zone (vùng) và conduit (kênh dẫn):

• Zone là một nhóm tài sản — liên quan với nhau về vật lý hoặc chức năng — có cùng yêu cầu an ninh. Mọi tài sản của hệ điều khiển đều thuộc một zone.
• Conduit là nhóm các kênh truyền thông nối hai zone trở lên và có cùng yêu cầu an ninh.

Trong thực tế, zone được vẽ quanh những thiết bị cần bảo vệ ở cùng một mức: một dây chuyền, các máy chủ SCADA, hệ an toàn. Conduit là đường nối có kiểm soát giữa các zone — thường là tường lửa hoặc switch quản lý có danh sách truy cập — cùng với danh sách bằng văn bản các luồng được phép đi qua. Hai zone không có conduit nào giữa chúng thì đơn giản là không nói chuyện với nhau.

Hình trên là ví dụ, không phải quy tắc. Điều tiêu chuẩn yêu cầu là phương pháp: chia hệ thống thành zone và conduit, rồi đặt cho từng zone, từng conduit một mức an ninh mục tiêu từ đánh giá rủi ro.

Mức an ninh: SL 1 đến SL 4

IEC 62443-3-3 định nghĩa mức an ninh theo loại bên tấn công mà mỗi mức phải chống được:

Cùng một con số được dùng theo ba cách:

• SL-T (mục tiêu): mức chủ đầu tư muốn cho một zone hoặc conduit, đặt ra từ đánh giá rủi ro và ghi vào bản đặc tả yêu cầu an ninh mạng.
• SL-C (năng lực): mức một hệ thống (phần 3-3) hoặc một thành phần (phần 4-2) tự làm được, không cần thêm biện pháp.
• SL-A (đạt được): mức hệ đã lắp đặt thực sự đạt, thường được đánh giá khi hệ đã vận hành.

Khi năng lực của hệ được chọn thấp hơn mục tiêu, khoảng thiếu được bù bằng biện pháp bù trừ (compensating countermeasures) — thêm quy trình hoặc giải pháp kỹ thuật khác đáp ứng đúng ý của yêu cầu.

Bảy yêu cầu nền tảng

Phần 3-3 gom các yêu cầu cho hệ thống thành bảy yêu cầu nền tảng (FR). Cột bên phải là cách hiểu đơn giản, không phải lời văn của tiêu chuẩn:

Đánh giá rủi ro trước khi thiết kế (phần 3-2)

Phần 3-2 mô tả cách đi tới các mức mục tiêu; các bước chính là:

1. Xác định phạm vi hệ thống được xét và các tài sản quan trọng.
2. Đánh giá ban đầu để ưu tiên, và chia hệ thống thành zone và conduit.
3. Đánh giá chi tiết cho từng zone và conduit: chọn cách xử lý từng rủi ro (tránh, chuyển giao, chấp nhận hoặc giảm thiểu), đặt SL-T và chọn biện pháp đối phó.

Tiêu chuẩn không bắt buộc một phương pháp đánh giá rủi ro cụ thể, nên có thể làm theo quy trình rủi ro sẵn có của nhà máy.

Áp dụng IEC 62443 trong một dự án nâng cấp

• Hỏi mức mục tiêu. Nếu đặc tả chỉ ghi "tuân thủ IEC 62443", nên gửi câu hỏi làm rõ: những zone nào, SL-T của từng zone và conduit là bao nhiêu, và bên nào làm đánh giá rủi ro.
• Lập danh sách tài sản và luồng dữ liệu trước. Danh sách các luồng phải đi qua giữa các zone sẽ trở thành rule trên tường lửa của conduit; với hệ Rockwell, xem cổng FactoryTalk và Logix cần mở qua tường lửa.
• Kiểm năng lực của từng thành phần. So SL-C mà mỗi hãng công bố với SL-T của zone chứa thiết bị đó; ghi lại biện pháp bù trừ ở chỗ còn thiếu.
• Cho truy cập từ xa đi qua IDMZ, theo phiên được duyệt, có thời hạn và ghi log, thay vì một đường nối thường trực vào mạng điều khiển.
• Lên kế hoạch vá lỗi và sao lưu như một phần của vận hành, không để làm sau; phần 2-3 là báo cáo kỹ thuật về quản lý bản vá.

Về làm cứng chính bộ điều khiển, xem an ninh OT cho PLC Rockwell.