Risico & targets
Van initiële context naar expliciet bevestigde target security levels.
Risicowerk gebeurt in OTReady op twee diepten, en maar één daarvan levert een target op. Die twee uit elkaar houden is wat voorkomt dat een vroege oriëntatie stilzwijgend de lat legt waar het hele assessment later aan wordt afgemeten.
- Initieel cyberrisico is oriëntatie; het levert geen SL-T op
- Het gedetailleerde IEC 62443-3-2-assessment stelt SL-T voor
- Een voorstel wordt pas een target als een mens het bevestigt
Twee risicolagen, met twee verschillende taken.
Beide zijn echt risicowerk. Ze verschillen in diepte, in onderwerp en, doorslaggevend, in wat ze mogen concluderen.
De verkeerde lezing (initieel risico dat SL-T oplevert) zou een brede vragenlijst een technisch doel laten stellen voor een specifieke conduit die hij nooit onderzocht heeft.
Initieel cyberrisico
Vroege oriëntatie over brede context: wat de entiteit doet, wat het kost als de productie stilvalt, hoe de blootstelling eruitziet. Nuttig voor scoping en prioritering. Het creëert geen Target Security Level.
IEC 62443-3-2 gedetailleerd risico
Scenariogebaseerd assessment tegen zones en conduits, met maatregelen en het restrisico dat daarna overblijft. Dit is de laag die een Target Security Level voorstelt.
De keten
Er wordt geen stap overgeslagen.
- Initieel cyberrisico
- IEC 62443-3-2 gedetailleerd risico
- SL-T-voorstel
- Expliciete bevestiging
- Assessment stroomafwaarts
Requirementfiltering stroomafwaarts gebruikt het BEVESTIGDE target. Een onbevestigd voorstel, of een waarde die uit een oudere werkwijze is meegekomen, neemt die plaats niet stilzwijgend in.
Gedetailleerd risico
Scenario voor scenario, tegen echte scopes.
Het gedetailleerde assessment werkt over het systeem in beschouwing: welke scopes en conduits in scope zijn, welke scenario's daarop van toepassing zijn, welke maatregelen zijn vastgelegd, en welk restrisico overblijft als die worden meegewogen.
Omdat het over canonieke architectuur redeneert in plaats van over een abstracte lijst, kan de uitkomst benoemen bij welke zone of conduit elke conclusie hoort.
- Risicoscenario's vastgelegd tegen de scopes en conduits waar ze over gaan
- Maatregelen en het restrisico dat daarna overblijft
- Een samenvatting per subject, en een telling van nog openstaande voorstellen
Target Security Levels
Zeven waarden zijn het target. Eén getal is afkorting.
IEC 62443 drukt een security level uit als zeven foundational-requirementwaarden, en dat profiel is wat OTReady als autoritatief behandelt. Een enkel SL-label wordt alleen getoond wanneer een bevestigd profiel toevallig over alle zeven uniform is: een gemak, nooit de opgeslagen waarheid.
Een target wordt bevestigd op een specifiek toegelaten subject: een Zone, een Subzone of een Conduit. Toelating is een eigen governancehandeling, dus niets krijgt een target louter door in de topologie te bestaan.
Zodra een assessment aan een bevestigd target gebonden is, is die binding waar de historische registratie naar verwijst. Latere wijzigingen leveren een nieuwe bevestigde versie op in plaats van te herschrijven waaraan een eerder assessment is afgemeten.
- Voorgesteld en bevestigd zijn twee aparte staten; een voorstel is geen target
- De zeven FR-waarden vormen het autoritatieve profiel
- Een scalair label verschijnt alleen als het bevestigde profiel uniform is
Onbekend is geen getal, en SL 0 is geen oordeel.
Waar geen target bevestigd is, zegt OTReady dat. Het valt niet terug op een default, op een waarde uit een ouder veld, of op nul; een ontbrekend target is een feit over het governanceproces, geen lage score. SL 0 kan worden vastgelegd waar dat werkelijk het bevestigde profiel is, en beschrijft ook dan een target, geen compliance met wat dan ook.
Komt in een latere fase
- IEC 62443-normpagina'sGepland
- IEC 62443-3-2-methodologiepaginaGepland
- IEC 62443-3-3-requirementspaginaGepland
Deze pagina beschrijft hoe OTReady met risico en targets omgaat. De normen zelf krijgen later hun eigen pagina's; niets hier vervangt het lezen van de norm.
Verwante capabilities
Architectuur
De zones en conduits waarop een target bevestigd wordt.
Assurance
Hoe bevestigde targets de afgeleide lezing van een project voeden.
IEC 62443-3-2-rapport
Het uitgegeven record van het gedetailleerde risicoproces.
Zie hoe een target tot stand komt, en door wie.
Loop de weg van een initiële oriëntatie naar een bevestigd profiel op een echte zone of conduit.