ГОСТ Р МЭК 62443-2-1—2015
А.3.3.4 Элемент «Сегментация сети»
А.3.3.4.1 Описание элемента
Сегментация сети предполагает разделение ключевых имущественных объектов IACS на зоны с общими
уровнями безопасности в целях управления рисками безопасности для достижения необходимого уровня безо
пасности зоны. Сегментация сети является важной контрмерой безопасности, применяемой совместно с другими
уровнями защиты для снижения риска, связанного с IACS.
Современные IACS объединяются с бизнес-системами в пределах партнерских компаний и между ними.
Несмотря на необходимость в возможности подключения и плотной компоновке. IACS не нуждаются в подавляю
щем большинстве данных, проходящих через корпоративные сети. Участив устройств IACS в передаче всего этого
трафика увеличивает вероятность возникновения инцидента безопасности всистеме. В соответствии с принципом
наименьшего приоритета и использования информации только в служебных целях архитектура IACS должна быть
спроектирована таким образом, чтобы ненужные пакеты связи отфильтровывались/удалялись и не попадали в
устройства системы. Сегментация сети предназначена для разделенияустройств на зоны общей безопасности, где
применяются установленные методы обеспечения безопасности для достижения необходимогоуровня безопасно
сти. Целью является минимизация вероятности инцидента безопасности, угрожающего функционированию IACS.
Разделение устройств на зоны не всегда означает их изоляцию друг от друга. Зоны безопасности соединяются
кабелями, которые облегчают осуществление связи между сегментированными зонами безопасности.
Основным принципом безопасности является использование контрмер безопасности, соответствующих
уровню риска. Сегментация сети IACS может не потребоваться, если уровень рисков безопасности является низ
ким. Элемент управления рисками иреализации предоставляет дополнительнуюинформацию в отношении управ
ления рисками. Он должен быть рассмотрен до реализации контрмер по сегментации сети, рассмотренных в на
стоящем элементе CSMS.
А.3.3.4.2 Сегменты и зоны сети
В IEC/TS 62443-1-1 (раздел 6) приведены базовые модели и возможность обеспечения контекста для рас
смотрения данной контрмеры. Сети сегментируются посредством использования определенного типа барьерно го
устройства, которое способно контролировать трафик через него. В сетях Интернет, использующих протокол
ТСРЛР. наиболее распространенными барьерными устройствами являются брандмауэры, маршрутизаторы и трех
уровневые коммутаторы. Зачастую IACS состоят из нескольких сетей, использующих различные физические тех
нологии и приложения. Такие сети, не основанные на протоколе ТСРЛР. также используют барьерные устройства
для разделения и сегментации передачи данных. К барьерным устройствам могут относиться автономные шлюзо
вые устройства или модули устройств 1ACS, интегрированные в сетевой интерфейс.
В то время, как размещение барьерного устройства в сети может создать новый сетевой сегмент и зону без
опасности. зона безопасности может объединять множество сетевых сегментов. На рисунке 8 ниже показана воз
можная сегментированная архитектура для обычной IACS. На этом рисунке предпринята попытка показать, каким
образом уровни функционального оборудования могут преобразовываться в физическое оборудование реальной
IACS и логическую схему зоны. (Рисунок является довольно обобщенным и включает не все сетевые устройства,
необходимые для реальной установки).
Важно не путать функциональные уровни базовой модели с уровнями безопасности зон безопасности. Не
смотря на то. что обычно оборудование более низкого уровня играет большую роль в безопасности автоматизи
рованного производства, использование стратегии сегментации, полностью соответствующей уровням оборудова
ния. может быть нецелесообразным или невозможным.
На этом рисунке зона управления включает в себя оборудование с общим целевым уровнем безопасности.
На рисунке показан сегмент сети управления технологическим процессом на основе протокола ТСРЛР (PCN), сег
мент фирменной сети автоматического регулирования (RCN) и сегмент фирменной сети полевых устройств (FDN).
Эти сети соединены с оборудованием уровня 0. 1. 2 и 3. описанном в базовых моделях в IEC/TS 62443-1-1 (под
пункт 5.2). Барьерные устройства каждого изэтих сетевых сегментов регулируют вход и выход изсоответствующих
сегментов.
71