Security Levels sind die Art, wie die IEC 62443 ausdrückt, wie gut eine Zone, ein System oder eine Komponente einem bestimmten Angreifertyp standhält. Es gibt vier Stufen, aufsteigend nach den angenommenen Mitteln, der Motivation und dem Wissen des Angreifers:
- SL 1 — Schutz gegen zufällige oder gelegentliche Exposition.
- SL 2 — Schutz gegen einen Angreifer mit begrenzten Mitteln, der gezielt handelt.
- SL 3 — Schutz gegen einen Angreifer mit erheblichen Mitteln und spezifischem IACS-Wissen.
- SL 4 — Schutz gegen einen Angreifer mit umfangreichen Mitteln, etwa staatliche Akteure.
Drei Varianten des Security Levels
Eine häufige Quelle der Verwirrung ist, dass „Security Level“ in drei Varianten vorkommt:
- SL-T (Target) — das angestrebte Sicherheitsniveau für eine Zone, festgelegt auf Grundlage einer Risikobewertung (IEC 62443-3-2).
- SL-C (Capability) — das Niveau, das ein System oder eine Komponente tatsächlich leisten kann, wie vom Hersteller dokumentiert.
- SL-A (Achieved) — das Niveau, das in der Praxis nach der Implementierung tatsächlich erreicht und verifiziert wird.
Eine Zone ist erst dann „auf Niveau“, wenn SL-A gleich oder höher als SL-T ist, und das wird mit Komponenten nachgewiesen, deren SL-C ausreicht.
Wie legt man ein SL-T fest?
Die IEC 62443-3-2 beschreibt eine Risikobewertung je Zone: Welche Auswirkung hätte ein erfolgreicher Angriff auf Sicherheit (Safety), Verfügbarkeit, Umwelt oder Finanzen? Eine Zone mit Geräten, die die Stabilität des Stromnetzes unmittelbar beeinflussen — wie das Umspannwerks-LAN —, erhält in der Regel ein höheres SL-T als eine Zone, die nur Überwachungs- oder Berichtsfunktionen enthält.
Praxisbeispiel
Beim Entwurf eines neuen Umspannwerks legt ein Netzbetreiber für das Umspannwerks-LAN wegen der direkten Kopplung mit Schutzrelais ein SL-T von 3 fest. Beim Einkauf industrieller Switches für diese Zone wird dann verlangt, dass das SL-C der Switches für die relevanten Foundational Requirements mindestens SL 3 beträgt, sodass nach der Implementierung ein SL-A von 3 plausibel gemacht und beim Site Acceptance Test geprüft werden kann.
Häufiger Fehler
Ein SL-T festzulegen, ohne es mit konkreten Beschaffungsanforderungen zu verknüpfen. Die Folge ist, dass Komponenten mit einem niedrigeren Sicherheitsniveau als beabsichtigt in einer kritischen Zone landen, sodass das angestrebte SL-T nie tatsächlich erreicht wird.