Adaptation of the IEC 62443 standard in IACS product development

Abstract

This thesis investigates the integration of cybersecurity into industrial automation and control systems (IACS) product development, focusing on the international standards IEC 62443-4-1 and IEC 62443-4-2. The objective of this work is to clarify what the implementation of these standards means in practice and how test environments should be designed to ensure that requirements are met both now and as the device evolves. Test environments are used to verify the security of the product and its compliance with the standards. In addition, the thesis examines how the new EU regulation, the Cyber Resilience Act (CRA), compares to these standards.

The study was done as a literature review analyzing the standards themselves, EU legislation, and academic research on compliance testing. The thesis compares the requirements of the CRA and the IEC 62443 standards. In addition, the architecture and management of test environments are examined.

The outcomes of the study are the following. The IEC 62443-4-1 and IEC 62443-4-2 standards cover a significant portion of the CRA requirements. The IEC has published technical specifications on how these standard requirements should be evaluated. A test environment requires a realistic setup that combines physical hardware, virtual environments, and automated testing tools.

Sulautettujen järjestelmien kyberturvallisuus on tärkeä aihe teollisuusautomaation (IACS) alalla, sillä lähes jokainen laite digitalisoituu ja operatiivisen teknologian (OT) laitteet integroituvat yhä enemmän julkiseen verkkoon.

Tämä kandidaatintyö tutkii kyberturvallisuuden integrointia IACS-tuotekehitykseen keskittyen kansainvälisiin IEC 62443-4-1 ja IEC 62443-4-2 standardeihin, jotka ovat yleisimpiä standardeja IACS alalla. Työn tavoitteena on selvittää, mitä näiden standardien implementointi käytännössä tarkoittaa, miten testausympäristöt tulisi suunnitella, jotta varmistetaan vaatimusten täyttäminen nyt ja laitteen kehittyessä. Lisäksi työssä tutkitaan miten tuleva EU:n uusi tietoturva sääntely kyberkestävyyssäädös (CRA) vertautuu näihin standardeihin.

Työ on toteutettu kirjallisuuskatsauksena, jossa analysoidaan itse standardeja, EU:n lainsäädäntöä sekä alan akateemista tutkimusta testauksesta. Työssä vertaillaan CRA-säädöksen ja IEC 62443-standardien vaatimuksia. Lisäksi työssä tarkastellaan testausympäristöjen arkkitehtuuria ja hallintaa. Tämän testausympäristöjen avulla todetaan tuotteen turvallisuus ja standardin noudattaminen.

Tuloksena todetaan että IEC 62443-4-1:n on pakollinen esivaatimus IEC 62443-4-2:n sertifikaatille. Lisäksi huomataan, että käsitellyt IEC 62443 standardit kattavat suuren osan CRA vaatimuksista. Käytännön tasolla hyvä testausympäristö edellyttää todenmukaista kokonaisuutta, yhdistätään fyysiset laitteistot, virtuaaliset ympäristöt ja automatisoidut testaustyökalut. IEC on myös julkaissut teknisiä spesifikaatiota, joissa arvioidaan kuinka näitä standardien vaatimuksia kuuluisi arvioida. Jatkuva vaatimustenmukaisuus vaatii teknisen testauksen lisäksi selkeää testausjärjestelmän hallintomallia ja jäljitettävyyttä standardien vaatimuksista yksittäisiin testeihin. Standardien implementointi vaatii resursseja, mutta toisaalta standardin noudattaminen on edellytys markkinakelpoisuudelle.