中央社訊息平台
歡迎公司行號投遞新聞訊息!詳洽業務行銷中心 人工服務時間為週一至週六9:30-12:00、14:00-18:30 如有週日發稿需求請於週六18:00前完成刊登程序。

以IEC 62443-4-1為核心 企業可逐步落實SSDLC

發稿時間:2023/10/13 17:41:34

(中央社訊息服務20231013 17:41:34)儘管駭客發動攻擊多半為經濟利益,但仍然有部分駭客透過攻擊關鍵基礎設施,藉此影響民眾的日常生活,以達成特定政治目的。著名案例,莫過於2015年烏克蘭電力網路受到駭客攻擊,導致數十萬戶大停電。近幾年關鍵基礎設施遭到攻擊案例明顯增加,如:2021年美國輸油管公司Colonial Pipeline遭駭客組織攻擊,最終被迫支付 440萬美元贖金。

駭客選擇攻擊工控設備主因,即看準此類設備軟體更新不易,且欠缺合適資安防護機制。根據微軟公司統計結果顯示,自2020年至2022年之間,製造業採用知名廠牌的工控產品,含有已知高風險漏洞的數量增加 78%。另外,有高達 75% 工業控制系統未即時進行資安漏洞修補。於SSDLC平台的軟體安全開發流程服務,支援國際標準IEC 62443-4-1可協助企業逐步達成安全軟體開發。

近來備受關注的安全軟體開發生命週期(SSDLC)主要訴求在軟體開發過程中兼顧安全性與功能性,因此,開發團隊必須在各階段皆須考慮安全問題,才能達到降低維護成本與遭受攻擊損失的目的。而企業要落實SSDLC最重要的關鍵,應該以IEC62443國際標準為參考指引,因為,此標準不光是OT 網路安全標準,更是針對工業自動化與控制系統(Industrial Automation and Control Systems, IACS)設計,提供 IACS 安全漏洞的靈活框架,可達成軟體開發過程中安全性與功能性的目標。

SSDLC平台涵蓋IEC 62443-4-1為軟體專案最佳指引
近幾年IEC 62443國際標準成為企業落實SSDLC關鍵,在於這套標準涵蓋人員、技術、流程等面向,並透過不同章節分別定義資產所有者、系統整合商、產品供應商等工作內容。IEC 62443-1 為通論,主要介紹標準的術語、概念、案例。IEC 62443-2則是政策與程序篇,是專為資產擁有者的設計,主要說明工控系統安全管理規範、實施指引等。IEC 62443-3則是系統篇,是為系統整合商所設計的,內容為工控系統安全技術、安全風險評鑑與系統設計。IEC 62443-4則是元件篇,為產品供應商設計的章節,內容涵蓋產品安全開發規範 、工控系統元件技術規範等兩部分。

成功大學李南逸教授表示IEC 62443-4-1涵蓋8個環節,分別是安全管理、安全要求規範、安全設計、安全實作、安全驗證與有效性測試、安全相關議題管理、安全更新管理、安全指南等。企業推動安全軟體開發流程時,必須了解這是一個不間斷、持續優化的過程, 而IEC 62443已是一個國際合規標準,絕對是企業推動SSDLC制度的最佳指引。目前已有團隊推出SSDLC平台服務,從軟體設計初期,依循 IEC 62443-4-1的SSDLC資安指引,讓企業在軟體開發階段導入資安因素,以提升軟體品質、縮短取得安全認證時程,有助降低軟體維護成本,期盼企業善加利用。