IEC 62443 系列教學 (三):七大基礎要求 (FR) 詳解與實踐心法

寫在前面:拿到藥方後,該如何精準用藥? 在前面的文章中,我們學會了如何「診斷病情」(風險評估)並開立「藥方」(選擇目標安全等級 SL-T)。現在,我們手上拿著一張寫著「SL2」或「SL3」的藥方,接下來最關鍵的問題是:這張藥方對應的具體藥物和劑量是什麼? 這篇文章,就是這份「用藥說明書」。我們將逐一拆解七大基礎要求(Foundational Requirements, FR),詳細說明在不同的安全等級(SL)下,每一個要求需要做到什麼程度。 可以這樣比喻: 這 7 個 FR 就像學校裡的 7 個科目(國文、數學、英文…),而安全等級 SL 就像是你需要達成的成績目標(及格、良好、優秀)。想拿到「優秀 (SL3)」的成績,你在每個科目上需要付出的努力和達到的標準,自然遠高於「及格 (SL1)」。 七大基礎要求的 SL 等級演進 以下,我們將深入探討每個 FR 從 SL1 到 SL4 的要求是如何層層遞進的。 FR 1 - 識別與認證控制 (Identification and Authentication Control) 核心精神:「確認你是誰,並驗證你的身份。」 SL 1 (基本要求): 為每位使用者(包含操作員、維護人員)提供唯一的帳號。 使用密碼進行身份驗證。 SL 2 (強化要求): 實施強密碼原則(例如:長度、複雜度、定期更換)。 導入角色為基礎的存取控制 (RBAC),不同角色(如操作員 vs. 工程師)擁有不同帳號。 SL 3 (專業要求): 強制使用多因子認證 (MFA),例如:密碼 + 手機驗證碼。 具備集中式的帳號管理機制(如:整合 Active Directory)。 SL 4 (最高要求): 使用更先進的 MFA(如:生物辨識、智慧卡)。 對所有遠端連線強制執行 MFA。 嚴格的連線逾時與工作階段管理。 FR 2 - 使用控制 (Use Control) 核心精神:「即使你進了門,也只能做你被允許做的事。」 ...

IEC 62443 系列教學 (二):風險評估與安全等級的選擇藝術

寫在前面:拿到地圖後,如何決定目的地? 在上一篇文章中,我們一起認識了 IEC 62443 這張工控資安的「世界地圖」,了解了它的基本構成、七大基礎要求 (FR) 以及四個安全等級 (SL)。 現在,我們手握地圖,但問題來了:我的系統究竟該前往哪個目的地?是需要輕裝簡行的 SL1,還是固若金湯的 SL4? 這篇文章的核心任務,就是教您如何像一位專業的領航員,透過「風險評估」這項工具,為您的系統選擇出最恰當、最不浪費資源的目標安全等級 (Security Level Target, SL-T)。這不僅是技術,更是一門權衡的藝術。 一、風險導向:工控資安的核心哲學 在開始之前,我們必須先建立一個核心觀念:沒有所謂「100% 的安全」。 資安的目標不是打造一個絕對無法入侵的系統 (那不切實際且成本極高),而是將風險降低到一個可接受的程度。這就是「風險導向 (Risk-Based)」方法的精髓。 想像一下醫生看診:一位病人只是輕微感冒,另一位是心臟病發。醫生絕不會給兩者開立相同的藥方。他會先診斷病情 (評估風險),然後對症下藥 (給予相應的防護)。 在工控資安中,這個「診斷」過程,就是風險評估。一個基本的風險概念可以這樣理解: 風險 = 衝擊 (Impact) × 可能性 (Likelihood) 衝擊 (Impact):如果壞事發生了,後果有多嚴重?(例如:產線停擺、工安意外、環境污染) 可能性 (Likelihood):這件壞事發生的機率有多高?(取決於威脅來源與系統的脆弱性) 我們的目標,就是找出那些「高衝擊、高可能性」的環節,並投入最多的資源去保護它。 二、第一步:劃分區域,精準防護 (Zoning) 在評估整個工廠的風險之前,直接把整座工廠當成一個單位來分析,會非常困難且不精確。IEC 62443 提供了一個聰明的方法:區域與管道 (Zones and Conduits)。 區域 (Zone):將功能類似、資安需求相近的設備圈在一起,形成一個個獨立的「安全區域」。 管道 (Conduit):連接不同區域的網路通訊路徑,就像是區域之間的「橋梁」或「通道」。 生活化比喻:設計一棟安全的豪宅 整棟豪宅:就是你的整個工廠系統 (System under Consideration, SUC)。 區域 (Zones): 臥室/書房 (Zone 1):存放個人貴重物品,需要較高的安全防護。 客廳/廚房 (Zone 2):訪客可以進入,安全需求相對較低。 車庫 (Zone 3):有獨立的出入口,需要特別的管理。 管道 (Conduits):連接各個房間的走廊、門、窗戶。你需要確保門是鎖好的,窗戶是堅固的。 為什麼要這麼做? 因為你可以為「臥室」設定 SL3 的高防護等級,同時為「客廳」設定 SL1 的基本防護。這樣既能確保重點區域的安全,又不會把成本浪費在不必要的地方。分區管理,是實現成本效益最大化的關鍵第一步。 ...