ISA/IEC 62443-4-1 standardi : turvallisen tuotekehityksen elinkaari

Abstract

Kyber- ja tietoturvallisuus ovat osa jokapäiväistä elämää ja niiden rooli yhteiskunnalle kriittisten järjestelmien ja toimintojen turvallisuudessa on merkittävä. Täten kyber- ja tietoturvallisuus onkin syytä huomioida tuotekehitysprosessin varhaisessa vaiheessa. Turvallisen tuotekehityksen elinkaari on viitekehys, jossa tietoturvallisuus rakennetaan osaksi tuotteen ominaisuuksia. Kehitysprosessi sisältää turvallisuusvaatimukset, turvallisen suunnittelun ja toteutuksen, verifioinnin ja validoinnin, vika- ja korjaushallinnan sekä tuotteen elinkaaren lopun. Lisäksi viitekehyksessä huomioidaan sitä tukevat toiminnot.

ISA/IEC 62443 -standardikokoelma käsittää teollisuusautomaatio- ja ohjausjärjestelmien koko elinkaaren aikaisen tietoturvan ja sen tavoitteena onkin lisätä niiden turvallisuutta, luotettavuutta ja eheyttä elinkaaren aikana. Näiden järjestelmien kehittyminen eristyneistä verkoista standardeihin perustuviksi verkoiksi on lisännyt niiden uhkien määrää ja niihin kohdistuvien kyberhyökkäysten todennäköisyyttä.

Standardikokoelman osa 4-1 määrittelee turvallisen tuotekehityksen elinkaariprosessin vaatimukset teollisuusautomaatio- ja ohjausjärjestelmissä käytettäville tuotteille. Tuotetoimittaja voi soveltaa standardin vaatimuksia olemassa oleviin tai uusiin elinkaariprosesseihin olemassa olevassa tai uudessa tuotteessa. Standardin tarkoituksena onkin tarjota turvallisen suunnittelun ja syväsuojauksen viitekehys, jota tuotetoimittaja voi soveltaa tuotteeseensa. Standardi jakaantuu kahdeksaan turvallisuuskäytäntöön ja niiden sisältämiin vaatimuksiin.

Opinnäytetyöprosessin aikana tutustuttiin turvallisen kehittämisen elinkaareen, ISA/IEC 62443 -standardikokoelmaan ja erityisesti standardiin 4-1. Prosessin aikana tultiin siihen tulokseen, että standardin 4-1 käyttöönotto voidaan tiivistää vaiheisiin: suunnittele, toteuta, verifioi ja validoi sekä ylläpidä ja kehitä. Vaatimusten integrointi vaatii resursseja ja aikaa perehtyä standardiin ja sen soveltamiseen käytännössä. Lisäksi vaaditaan ymmärrystä, mihin standardin käyttöönotolla pyritään ja mitä sen käyttöönotolta toivotaan. Opinnäytetyössä pyrittiin antamaan kokonaiskuva turvallisen kehityksen elinkaaresta, 4-1 standardista ja antamaan näkökohtia standardin käyttöönotosta. Työn motiivina oli tarjota organisaatioille kattava kuvaus aiheesta ja toimia ensiaskeleena standardin käyttöönotolle.

Cyber and information security are part of everyday life and their role in the security of critical systems and functions to society is significant. Thus, cyber and information security should be considered at an early stage of product development. The secure product development lifecycle is a framework in which information security is built into the product's features. The development process includes secure requirements, secure design and implementation, verification and validation, defect and repair management, and the product's end of life. In addition, the framework must consider the functions that support the secure development lifecycle process.

The ISA/IEC 62443 series of standards covers the information security of industrial automation and control systems throughout the entire lifecycle and the goal is to increase their security, reliability, and integrity during the lifecycle. The evolution of these systems from isolated networks to standards-based networks has increased the number of threats they face and the probability of cyber attacks against them.

Part 4-1 of the series of standards defines the requirements of the secure product development lifecycle process for products used in industrial automation and control systems. The product supplier can apply the requirements of the standard to existing or new lifecycle processes in an existing or new product. The purpose of the standard is to provide a secure design and defense-in-depth framework, which product supplier can apply to their product. The standard is divided into eight security practices and the requirements they contain.

During the thesis process, the secure development lifecycle, the ISA/IEC 62443 series of standards and especially the standard 4-1 were introduced. It was concluded that the implementation of the standard 4-1 can be summarized into phases: planning, implementing, verifying and validating, and maintaining and developing. The integration of requirements requires resources and time to familiarize with the standard and its application in practice. In addition, an understanding is required of what the implementation of the standard aims at and what is expected from its implementation. The thesis aimed to give an overall picture of secure development lifecycle, the 4-1 standard and to give aspects of the implementation of the standard. The objective of the thesis was therefore to provide organizations with a comprehensive description of the subject and act as the first step for the implementation of the standard.