verder met ZCR-5, die zoveel werk omvat dat hiervoor een apart stroomschema is gemaakt (reden waarom hierbo- ven ook het ‘Subroutine’ symbool voor ZCR-5 is gebruikt).
De belangrijkste stap: ZCR-5 Indien de in de eerste stappen gevonden risico’s niet ac- ceptabel zijn, dan volgt in ZCR-5 het meeste werk. In maar liefst 13 stappen moeten de volgende activiteiten worden uitgevoerd: - ZCR 5.1 Bepaal de bedreigingen - ZCR 5.2 Bepaal de kwetsbaarheden - ZCR 5.3 Bepaal de consequenties - ZCR 5.4 Bepaal de kans op een bedreiging - ZCR 5.5 Bepaal risico zonder gebruik van tegenmaatregelen
- ZCR 5.6 Bepaal ‘Security Level Target’ (SL-T) - ZCR 5.7 Is het risico acceptabel? - ZCR 5.8 Bepaal bestaande cybersecurity tegenmaatregelen
- ZCR 5.9 Her evalueer kans & impact - ZCR 5.10 Bepaal het residuele risico - ZCR 5.11 Zijn alle residuele risico’s acceptabel? - ZCR 5.12 Bepaal additionele cybersecurity tegenmaatregelen
- ZCR 5.13 Documenteer en communiceer de resultaten Afbeelding 3
Ook hier is het werkproces beschreven in een stroom- diagram (dat hier in 2 delen wordt weergegeven). De eerste zes activiteiten ZCR 5.1 ... 5.6 zijn (afbeelding 3):
Het lijkt redelijk simpel, maar is het niet. Aan welke bedreigingen staat men bloot? Wat gebeurt er dan? En hoe hoog is de kans erop? Dit gaat niet enkel over cybersecurity, het is eigenlijk in ieder geval wel goed om er globaal eens over na te denken wat er allemaal zou kunnen gebeuren en welke impact dat heeft. Maar dat is voor nu verder niet van belang, de IEC 62443 kijkt enkel naar de cybersecurity.
Er wordt niet voorgeschreven welke risicoanalyse- methodologie moet worden gebruikt, zoals (bijvoor- beeld) ISO 31000, NIST SP800-39 of ISO 27005. In het IEC-document wordt (als inleiding) in appendix B nog wat uitgebreider ingegaan op wat een risicomatrix precies is en hoe daarmee omgegaan moet worden.
Na stap ZCR 5.6 (afbeelding 4) wordt pas verder uit- gewerkt welke beveiligingsmaatregelen eventueel nodig zijn. Misschien hoeft er helemaal niets gedaan te worden, als de risico’s laag genoeg zijn, de kans erop ook heel laag en de schade ook beperkt blijft. Anderzijds kan men de risico’s zo hoog inschatten, evenals de kans en de schadepost, dan moet oneven- redig veel in tegenmaatregelen geïnvesteerd worden. De gulden middenweg is om te bepalen welk risico nog acceptabel is. Dit wordt in stap ZCR 5.7 bepaald. Indien de risico’s te hoog zijn moet bedacht worden welke tegenmaatregelen noodzakelijk zijn om het ri- sico lager te krijgen, net zolang tot het residuele risico
Meewerken aan de IEC-62443?
IEC-normen worden geschreven door de deel- nemende landen, die lokale vertegenwoordigers hebben. In Nederland is dat NEN (
www.nen.nl), die over het vakgebied ‘Industrieel meten, rege- len en automatiseren’ normcommissie NEC65 opgesteld heeft. Deze normcommissie is binnen Nederland verantwoordelijk voor normen op het gebied van systemen en apparatuur voor bestu- ring en bewaking van productieprocessen en industriële installaties. Binnen de normcommissie NEC65 is weer het ‘Industrieel Platform Cybersecurity’ (IPCS) actief. De leden hiervan komen 2x per jaar bijeen om kennis uit te wisselen over nieuwe ontwikkelin- gen op het gebied van industriële cybersecurity, en dragen ook bij aan de invulling van de IEC 62443. Lidmaatschap staat voor iedereen open; meer informatie is te vinden op:
www.nen.nl/Normontwikkeling/energy/ Industrieel-Platform-Cyber-Security.htm
Vervolg ZCR 5.7: zie afbeelding 4 8 | nummer 4 | 2018
Page 1 |
Page 2 |
Page 3 |
Page 4 |
Page 5 |
Page 6 |
Page 7 |
Page 8 |
Page 9 |
Page 10 |
Page 11 |
Page 12 |
Page 13 |
Page 14 |
Page 15 |
Page 16 |
Page 17 |
Page 18 |
Page 19 |
Page 20 |
Page 21 |
Page 22 |
Page 23 |
Page 24 |
Page 25 |
Page 26 |
Page 27 |
Page 28 |
Page 29 |
Page 30 |
Page 31 |
Page 32 |
Page 33 |
Page 34 |
Page 35 |
Page 36 |
Page 37 |
Page 38 |
Page 39 |
Page 40 |
Page 41 |
Page 42 |
Page 43 |
Page 44 |
Page 45 |
Page 46 |
Page 47 |
Page 48
