Erfüllung der IEC 62443

Die Norm IEC 62443 definiert funktionale Anforderungen bezüglich der Security industrieller Steuerungs- und Automatisierungssysteme (IACS = Industrial Control and Automation Systems) hinsichtlich folgender Punkte:

Identifizierungs- und Authentifizierungskontrolle
Nutzungskontrolle
Systemintegrität
Vertraulichkeit der Daten
Eingeschränkter Datenfluss
Rechtzeitige Reaktion auf Ereignisse
Verfügbarkeit der Ressourcen

Aus diesen funktionalen Anforderungen lassen sich applikationsspezifische Systemanforderungen ableiten und entsprechend implementieren.

Darüber hinaus definiert die Norm IEC 62443 drei verschiedene Rollen. Abhängig von Ihrer Rolle sind unterschiedliche Security-bezogene Anforderungen gültig um eine Zertifizierung gemäß IEC 62443 erlangen zu können.

Rolle 1: Hersteller oder Produktlieferant - hinsichtlich der PLCnext Technology-Steuerungen und PLCnext Engineer ist dies Phoenix Contact.
Rolle 2: Systemintegratoren
Als Systemintegrator sind Sie für die normkonforme Integration und Inbetriebnahme der PLCnext Technology-Steuerungen sowie der angeschlossenen Geräte in einer Automatisierungslösung verantwortlich.
Rolle 3: Betreiber oder Anlagen-/Systemeigentümer
Als Betreiber oder Eigentümer einer Anlage sind Sie verantwortlich für die Implementierung und die Erfüllung der normkonformen Richtlinien, Fähigkeiten und Prozeduren, welche den Betrieb und die Wartung der Automatisierungslösung vor Ort absichern.

Ziehen Sie die folgenden Security-bezogenen Maßnahmen zum Schutz von PLCnext Engineer, den damit erzeugten Daten und Solutions sowie der PLCnext Technology-Applikation in Betracht.

Security-Stufe Beschreibung

Schutz des PC, auf dem PLCnext Engineer läuft. Die Implementierung einer geeigneten Anwender-Authentifizierung auf dem Windows-PC stellt sicher, dass der Anwender bekannt ist und PLCnext Engineer verwenden darf.

Anwender müssen sich bei Windows anmelden (Standard-Login-Mechanismus).

Ein separater Account pro Nutzer (kein"Gruppen-Login").

Es müssen Firmenrichtlinien bezüglich Anwenderverwaltung, Kennwortregeln, etc. definiert sein.

Der angemeldete Windows-Anwender muss berechtigt sein, PLCnext Engineer zu starten und zu verwenden.

Die Standard-Windows-Anmeldung muss durch ein Tool zur Multifaktor-Authentifizierung ergänzt werden: Verifizierung der Identität des Anwenders, z.B. über eine Mobil-App (Push-Benachrichtigung, Biometrische Erkennung usw.), eine PIN oder den Fingerabdruck oder ein Hardware-/Software-Token.

Es sollte ein geeignetes und aktuelles Programm zur Erkennung von Viren und Schadsoftware verwendet werden und eine Firewall muss aktiviert und konfiguriert sein.

Weitere Informationen zur PC-Härtung und organisatorischen Maßnahmen finden Sie im Abschnitt "Empfohlene allgemeine Maßnahmen für PC-basierte Software".

Prüfung der Integrität der heruntergeladenen PLCnext Engineer-Installationsdatei Nach dem Herunterladen und vor dem Ausführung des Setup müssen Sie verifizieren, dass die heruntergeladene PLCnext Engineer-Installationsdatei nicht verfälscht ist oder manipuliert wurde.
Zu diesem Zweck vergleichen Sie die SHA256-Prüfsumme, die für jede Software im PHOENIX CONTACT Download Center hinterlegt ist, mit der Prüfsumme der heruntergeladenen Datei übereinstimmt.
Beispiel

Nach dem Herunterladen der Installationsdatei berechnen Sie mit einem geeigneten Tool die SHA256-Prüfsumme über die heruntergeladene Datei. Wenn die berechnete SHA256-Prüfsumme identisch wie die im PHOENIX CONTACT Download Center gezeigte Prüfsumme ist, darf die Installationsdatei ausgeführt werden.
Beispiel

Falls Sie 7-Zip installiert haben, rechtsklicken Sie im Windows-Datei-Explorer auf die heruntergeladene Installationsdatei und wählen den Kontextmenübefehl 'CRC > SHA 256'.

Prüfung der Integrität der PLCnext Engineer-Installation Verwenden Sie in erster Linie ein Standard-Windows-Tool, um zu verifizieren, dass die PLCnext Engineer-Installation nicht manipuliert/verfälscht wurde.
Alternativ bietet PHOENIX CONTACT zu diesem Zweck das Tool ChecksumCalculator an.
Bei der Installation von PLCnext Engineer werden Prüfsummen über die Installation berechnet. Durch Verifizieren dieser Prüfsummen können Manipulationen und Datenbeschädigungen erkannt werden.
Zu diesem Zweck kann ChecksumCalculator regelmäßig zur Überwachung der Integrität der PLCnext Engineer-Installation ausgeführt werden. Weitere Informationen finden Sie im Thema "Security-Anweisungen für PLCnext Engineer".

Schutz von Projektdaten PLCnext Engineer implementiert Features zum Schutz der Projektdaten:

Manipulationsschutz für Bibliotheken

Know-How-Schutz für Bibliotheken

Schutz der Integrität/Konsistenz sicherheitsbezogener Daten

Die Integrität und die Urheberschaft von sicherheitsbezogenen nachladbaren C-Funktionen werden geschützt.

Lesen Sie hierzu den Abschnitt "Security-Features in PLCnext Engineer".
Neben der korrekten Verwendung dieser Features müssen Sie zusätzlich Ihre Projektdaten auf der Festplatte und während einer Datenübertragung schützen. Der Grund dafür ist, dass PLCnext Engineer Klardaten auf der Festplatte Ihres Computers speichert, d.h. nicht verschlüsselte Daten. Dies gilt auch für Projektarchive und exportierte Bibliotheken. Die Daten sind damit nicht geschützt gegen Manipulation und Diebstahl.
Sie müssen deshalb die Daten auf Ihrer Festplatte und während der Übertragung durch den Einsatz geeigneter Verschlüsselungstools schützen.
Lesen Sie hierzu den Abschnitt "Schutz von Projektdaten auf der Festplatte und während der Übertragung".

Gesicherte Datenübertragung zwischen PLCnext Engineer und PLCnext Technology-Steuerung PLCnext Engineer implementiert Features zur Absicherung der Datenverbindung zwischen der Engineering-Software und der Steuerungsfirmware: Nur autorisierte Anwender können über eine gesicherte Verbindung mit der Steuerung kommunizieren.

Die Datenübertragung ist mittels TLS gesichert. Transport Layer Security ist ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet.

Beim Anmelden auf der Steuerung werden sowohl die Identität der PLCnext Engineer-Instanz als auch die der PLCnext Technology-Steuerungs-ID auf Übereinstimmung verifiziert. Dies erfolgt mit Hilfe von Zertifikaten.
Um sicherzustellen, dass Ihr Automatisierungssystem ausschließlich durch Ihre PLCnext Engineer-Instanz gesteuert werden kann, muss das (vorinstallierte) Standard-Zertifikat von Phoenix Contact in der PLCnext Technology-Steuerung durch Ihr benutzerspezifisches Zertifikat ersetzt und PLCnext Engineer entsprechend angepasst werden.
Weitere Details finden Sie unter "Netzwerk-Security: Zertifikate ermöglichen gesicherte Verbindungen".

Das Einloggen in die PLCnext Technology-Steuerung mit einer bestimmten Benutzerrolle stellt sicher, dass der Anwender bekannt ist und die Autorisierung besitzt, auf die Steuerung zuzugreifen und diese zu steuern.
Sie müssen dazu die Benutzer- und Rollenverwaltung entsprechend konfigurieren. Weitere Details dazu finden Sie unter "Netzwerk-Security: Authentifizierung mit Benutzerrolle und Kennwort".

Security-bezogenes Logging auf der PLCnext Technology-Steuerung: Der angemeldete Benutzer, Datum und Zeit des Login auf der Steuerung sowie die ausgeführten Befehle, Zustandswechsel, etc. werden protokolliert.
Werten Sie diese Protokolle regelmäßig aus.

Gesicherte Datenübertragung zwischen dem integrierten OPC UA-Server und seinen Clients. PLCnext Engineer implementiert Features zur Absicherung der Datenverbindungen zwischen dem in der PLCnext Technology-Steuerung integrierten OPC UA-Server und den damit verbundenen OPC UA-Clients.
Weitere Details finden Sie unter "Netzwerk-Security: OPC UA-Server-Sicherheitseinstellungen".

Schutz der Daten, die via HMI und WBM (Webbasiertes Management) übertragen werden. Die HMI-Daten ihres Projekts sind im internen Webserver der Steuerung gespeichert. Über einen Webbrowser, der als Client fungiert, können diese Daten und die (im Global Data Space (GDS) der Steuerung) abgelegten Variablenwerte über das Internet übertragen werden. Beim Öffnen der HMI-Seiten wird diese Datenübertragung mit Hilfe von Zertifikaten und Standard-Web-Technologien abgesichert. Aus diesem Grund ist eine Anmeldung mit Benutzername und Kennwort implementiert.
Dabei gilt Folgendes:

Es muss eine HMI-Benutzer und -Rollenverwaltung gemäß Ihren Security-Anforderungen definiert sein.

Die Security muss für die HMI-Applikation eingeschaltet sein.

Beim Aufruf der HMI-Applikation muss als Erstes eine Login-Seite geöffnet werden. PLCnext Engineer bietet eine entsprechende Seitenvorlage an.

Die Zugriffsrechte auf HMI-Seiten/HMI-Objekte müssen umgesetzt sein.

Lesen Sie hierzu die Informationen im Kapitel " Security für HMI".

Security-Stufe	Beschreibung
Schutz des PC, auf dem PLCnext Engineer läuft.	Die Implementierung einer geeigneten Anwender-Authentifizierung auf dem Windows-PC stellt sicher, dass der Anwender bekannt ist und PLCnext Engineer verwenden darf. Anwender müssen sich bei Windows anmelden (Standard-Login-Mechanismus). Ein separater Account pro Nutzer (kein"Gruppen-Login"). Es müssen Firmenrichtlinien bezüglich Anwenderverwaltung, Kennwortregeln, etc. definiert sein. Der angemeldete Windows-Anwender muss berechtigt sein, PLCnext Engineer zu starten und zu verwenden. Die Standard-Windows-Anmeldung muss durch ein Tool zur Multifaktor-Authentifizierung ergänzt werden: Verifizierung der Identität des Anwenders, z.B. über eine Mobil-App (Push-Benachrichtigung, Biometrische Erkennung usw.), eine PIN oder den Fingerabdruck oder ein Hardware-/Software-Token. Es sollte ein geeignetes und aktuelles Programm zur Erkennung von Viren und Schadsoftware verwendet werden und eine Firewall muss aktiviert und konfiguriert sein. Weitere Informationen zur PC-Härtung und organisatorischen Maßnahmen finden Sie im Abschnitt "Empfohlene allgemeine Maßnahmen für PC-basierte Software".
Prüfung der Integrität der heruntergeladenen PLCnext Engineer-Installationsdatei	Nach dem Herunterladen und vor dem Ausführung des Setup müssen Sie verifizieren, dass die heruntergeladene PLCnext Engineer-Installationsdatei nicht verfälscht ist oder manipuliert wurde. Zu diesem Zweck vergleichen Sie die SHA256-Prüfsumme, die für jede Software im PHOENIX CONTACT Download Center hinterlegt ist, mit der Prüfsumme der heruntergeladenen Datei übereinstimmt. Beispiel Nach dem Herunterladen der Installationsdatei berechnen Sie mit einem geeigneten Tool die SHA256-Prüfsumme über die heruntergeladene Datei. Wenn die berechnete SHA256-Prüfsumme identisch wie die im PHOENIX CONTACT Download Center gezeigte Prüfsumme ist, darf die Installationsdatei ausgeführt werden. Beispiel Falls Sie 7-Zip installiert haben, rechtsklicken Sie im Windows-Datei-Explorer auf die heruntergeladene Installationsdatei und wählen den Kontextmenübefehl 'CRC > SHA 256'.
Prüfung der Integrität der PLCnext Engineer-Installation	Verwenden Sie in erster Linie ein Standard-Windows-Tool, um zu verifizieren, dass die PLCnext Engineer-Installation nicht manipuliert/verfälscht wurde. Alternativ bietet PHOENIX CONTACT zu diesem Zweck das Tool ChecksumCalculator an. Bei der Installation von PLCnext Engineer werden Prüfsummen über die Installation berechnet. Durch Verifizieren dieser Prüfsummen können Manipulationen und Datenbeschädigungen erkannt werden. Zu diesem Zweck kann ChecksumCalculator regelmäßig zur Überwachung der Integrität der PLCnext Engineer-Installation ausgeführt werden. Weitere Informationen finden Sie im Thema "Security-Anweisungen für PLCnext Engineer".
Schutz von Projektdaten	PLCnext Engineer implementiert Features zum Schutz der Projektdaten: Manipulationsschutz für Bibliotheken Know-How-Schutz für Bibliotheken Schutz der Integrität/Konsistenz sicherheitsbezogener Daten Die Integrität und die Urheberschaft von sicherheitsbezogenen nachladbaren C-Funktionen werden geschützt. Lesen Sie hierzu den Abschnitt "Security-Features in PLCnext Engineer". Neben der korrekten Verwendung dieser Features müssen Sie zusätzlich Ihre Projektdaten auf der Festplatte und während einer Datenübertragung schützen. Der Grund dafür ist, dass PLCnext Engineer Klardaten auf der Festplatte Ihres Computers speichert, d.h. nicht verschlüsselte Daten. Dies gilt auch für Projektarchive und exportierte Bibliotheken. Die Daten sind damit nicht geschützt gegen Manipulation und Diebstahl. Sie müssen deshalb die Daten auf Ihrer Festplatte und während der Übertragung durch den Einsatz geeigneter Verschlüsselungstools schützen. Lesen Sie hierzu den Abschnitt "Schutz von Projektdaten auf der Festplatte und während der Übertragung".
Gesicherte Datenübertragung zwischen PLCnext Engineer und PLCnext Technology-Steuerung	PLCnext Engineer implementiert Features zur Absicherung der Datenverbindung zwischen der Engineering-Software und der Steuerungsfirmware: Nur autorisierte Anwender können über eine gesicherte Verbindung mit der Steuerung kommunizieren. Die Datenübertragung ist mittels TLS gesichert. Transport Layer Security ist ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet. Beim Anmelden auf der Steuerung werden sowohl die Identität der PLCnext Engineer-Instanz als auch die der PLCnext Technology-Steuerungs-ID auf Übereinstimmung verifiziert. Dies erfolgt mit Hilfe von Zertifikaten. Um sicherzustellen, dass Ihr Automatisierungssystem ausschließlich durch Ihre PLCnext Engineer-Instanz gesteuert werden kann, muss das (vorinstallierte) Standard-Zertifikat von Phoenix Contact in der PLCnext Technology-Steuerung durch Ihr benutzerspezifisches Zertifikat ersetzt und PLCnext Engineer entsprechend angepasst werden. Weitere Details finden Sie unter "Netzwerk-Security: Zertifikate ermöglichen gesicherte Verbindungen". Das Einloggen in die PLCnext Technology-Steuerung mit einer bestimmten Benutzerrolle stellt sicher, dass der Anwender bekannt ist und die Autorisierung besitzt, auf die Steuerung zuzugreifen und diese zu steuern. Sie müssen dazu die Benutzer- und Rollenverwaltung entsprechend konfigurieren. Weitere Details dazu finden Sie unter "Netzwerk-Security: Authentifizierung mit Benutzerrolle und Kennwort". Security-bezogenes Logging auf der PLCnext Technology-Steuerung: Der angemeldete Benutzer, Datum und Zeit des Login auf der Steuerung sowie die ausgeführten Befehle, Zustandswechsel, etc. werden protokolliert. Werten Sie diese Protokolle regelmäßig aus.
Gesicherte Datenübertragung zwischen dem integrierten OPC UA-Server und seinen Clients.	PLCnext Engineer implementiert Features zur Absicherung der Datenverbindungen zwischen dem in der PLCnext Technology-Steuerung integrierten OPC UA-Server und den damit verbundenen OPC UA-Clients. Weitere Details finden Sie unter "Netzwerk-Security: OPC UA-Server-Sicherheitseinstellungen".
Schutz der Daten, die via HMI und WBM (Webbasiertes Management) übertragen werden.	Die HMI-Daten ihres Projekts sind im internen Webserver der Steuerung gespeichert. Über einen Webbrowser, der als Client fungiert, können diese Daten und die (im Global Data Space (GDS) der Steuerung) abgelegten Variablenwerte über das Internet übertragen werden. Beim Öffnen der HMI-Seiten wird diese Datenübertragung mit Hilfe von Zertifikaten und Standard-Web-Technologien abgesichert. Aus diesem Grund ist eine Anmeldung mit Benutzername und Kennwort implementiert. Dabei gilt Folgendes: Es muss eine HMI-Benutzer und -Rollenverwaltung gemäß Ihren Security-Anforderungen definiert sein. Die Security muss für die HMI-Applikation eingeschaltet sein. Beim Aufruf der HMI-Applikation muss als Erstes eine Login-Seite geöffnet werden. PLCnext Engineer bietet eine entsprechende Seitenvorlage an. Die Zugriffsrechte auf HMI-Seiten/HMI-Objekte müssen umgesetzt sein. Lesen Sie hierzu die Informationen im Kapitel " Security für HMI".