ISA/IEC 62443

La norma ISA/IEC 62443 de Ciberseguridad en Sistemas de Control Industrial (ICS), proporciona un marco de referencia para la seguridad en sistemas de control y automatización industrial. Está diseñada para proteger estos sistemas de amenazas cibernéticas y asegurar la continuidad de las operaciones.

Estructura de la Norma

La norma está dividida en cuatro partes principales:

1. Generalidades (Parte 1)

Define términos y conceptos fundamentales.

• 62443-1-1: Definiciones y terminología.
• 62443-1-2: Guía de cumplimiento.
• 62443-1-3: Modelos de madurez para la seguridad de ICS.

2. Políticas y Procedimientos (Parte 2)

Establece requisitos de seguridad organizacional.

• 62443-2-1: Requisitos para los sistemas de gestión de seguridad (SGS).
• 62443-2-2: Definición de roles y responsabilidades de las partes involucradas.
• 62443-2-3: Gestión de servicios de ciberseguridad para ICS.
• 62443-2-4: Requisitos para los proveedores de servicios de seguridad.

3. Requisitos del Sistema (Parte 3)

Describe los requisitos de seguridad para los sistemas.

• 62443-3-1: Tecnologías y metodologías de seguridad para ICS.
• 62443-3-2: Modelo de zonas y conductos (Zonas de Seguridad, IDMZ, DMZ).
• 62443-3-3: Requisitos de seguridad del sistema.

4. Requisitos de Componentes (Parte 4)

Define los requisitos de seguridad para productos y componentes individuales.

• 62443-4-1: Ciclo de vida de desarrollo seguro.
• 62443-4-2: Requisitos técnicos de componentes.

Zonas y Conductos

El modelo de zonas y conductos es un enfoque clave en la norma 62443, utilizado para segmentar y proteger las diferentes áreas de un sistema ICS.

Zonas de Seguridad

• Zona de Operaciones: Contiene los dispositivos que interactúan directamente con procesos físicos.
• Zona de Supervisión: Incluye sistemas SCADA y otros sistemas que monitorizan las operaciones.
• Zona de TI: La parte corporativa del sistema.
• IDMZ (Industrial Demilitarized Zone): Zona de separación entre la red de TI y la red industrial.
• DMZ (Demilitarized Zone): Aisla los sistemas expuestos a Internet, como servidores de acceso remoto.

Conductos

• Representan los caminos de comunicación segura entre diferentes zonas.
• Deben estar protegidos con cifrado, autenticación y otras medidas de seguridad.

Modelo Purdue en la 62443

El Modelo Purdue se utiliza en la norma para dividir los sistemas de control en niveles que separan la TI corporativa de los sistemas industriales. Cada nivel tiene sus propios requisitos de seguridad.

Requisitos de Seguridad

La norma establece varios niveles de Requisitos de Seguridad (SL - Security Levels), que definen el grado de protección necesario.

• SL 1: Protección contra amenazas casuales o no dirigidas.
• SL 2: Protección contra ataques intencionados con bajos recursos.
• SL 3: Protección contra ataques intencionados con recursos moderados.
• SL 4: Protección contra ataques con recursos avanzados.

Requisitos Técnicos (62443-4-2)

Para cada componente del sistema, la norma define requisitos técnicos como:

• Autenticación: Identificación de usuarios y dispositivos.
• Cifrado: Protección de la información en tránsito.
• Gestión de Acceso: Control de permisos y privilegios.
• Registro de Eventos (Logging): Monitoreo y auditoría de actividades.

Ciclo de Vida de Seguridad

La 62443-4-1 se enfoca en el ciclo de vida del desarrollo seguro. Esto incluye:

• Diseño Seguro: Implementación de medidas de seguridad desde las primeras etapas del diseño.
• Pruebas de Vulnerabilidades: Identificación de debilidades antes de la implementación.
• Mantenimiento de Seguridad: Actualizaciones y parches de seguridad post-implementación.

Diagrama del Modelo Purdue y Zonas

graph TD;
    A[Zona de TI] --> B[IDMZ];
    B --> C[Zona de Supervisión];
    C --> D[Zona de Operaciones];
    B --> E[DMZ];

Ejemplo de jerarquías IACS

• Componentes de Campo: Incluyen sensores y actuadores, que son los elementos básicos de la capa de procesos físicos en los sistemas de automatización.
• Sensores: Incluyen dispositivos de medición como transmisores y detectores.
• Actuadores: Incluyen dispositivos que controlan procesos, como válvulas y motores.
• Controladores: Como PLCs y RTUs, que manejan y procesan la información recibida de los sensores y dirigen las acciones de los actuadores.
• Sistemas de Control de Red: Incluyen SCADA y DCS, que supervisan y controlan los procesos industriales a un nivel más amplio.

graph LR;
    A[Componentes de Campo] --> B[Sensores];
    A --> C[Actuadores];
    
    B --> D[Dispositivos de Medición];
    C --> E[Dispositivos de Control de Procesos];
    
    D --> F[Transmisores];
    D --> G[Detectores];
    
    C --> H[Válvulas];
    C --> I[Motorización];

    E --> J[PLCs];
    E --> K[RTUs];
    
    J --> L[Controladores Programables];
    J --> M[Controladores Lógicos];
    
    K --> N[Control Remoto];
    K --> O[Comunicaciones en Campo];
    
    E --> P[Controladores de Red];
    
    P --> Q[SCADA];
    P --> R[DCS - Distributed Control Systems];

    Q --> S[Supervisión de Procesos];
    R --> T[Control Distribuido];