バルブ自動化は制御コマンドを物理的な動きに接続します。したがって、不要なコマンド、変更された設定、または失われた通信リンクはデータ以上の影響を与える可能性があります。それは流体制御とプラント運用を混乱させる可能性があります。

デジタルバルブアクチュエータは有用な設定および診断機能を提供する可能性があります。ただし、購入者はそれらの機能がどのように保護されているか、またアクチュエータがプラントのセキュリティ設計にどのように適合するかも理解する必要があります。

IEC 62443を意識した購入プロセスは、広範なセキュリティの質問を明確な要件に変えるのに役立ちます。目的は適切な装置を選択し、不足している制御を特定し、設置前に責任を割り当てることです。

IEC 62443の対象範囲を理解する

IEC 62443は産業オートメーションおよび制御システムセキュリティ標準のシリーズです。異なる部分が異なる責任に対応します:

これらは関連する範囲であるため、1つの証拠を4つすべての証明として扱うべきではありません。

また、"IEC 62443を意識した"は購入アプローチを記述するものです。それは製品が認証されていることを確立するものではありません。

1. すべてのデジタルバルブアクチュエータインターフェースを特定する

正確なモデルと提供されるオプションから始めます。"スマート"や"デジタル"などの用語は、どの接続が存在するかを説明するものではありません。

該当する場合、以下を含むインターフェースリストを要求します:

• フィールドバスおよび産業用イーサネット接続。
• ローカル設定ポート。
• USBまたはシリアルサービス接続。
• Bluetoothまたはその他の無線機能。
• 設定ソフトウェアおよび保守ツール。
• コントローラまたはゲートウェイを通じたリモートアクセス経路。

設置された機能とオプション機能を区別します。次に、どのインターフェースを無効にできるかを確認します。

ドライ接点またはアナログ信号を使用するアクチュエータは直接的なネットワーク接続を持たない可能性があります。ただし、そのコントローラ、ゲートウェイ、またはサービスツールは依然としてデジタルアクセス経路を導入する可能性があります。

2. フィールドバス電動アクチュエータのセキュリティ境界を定義する

フィールドバス電動アクチュエータはその制御ネットワークの一部として評価されるべきです。

正確なプロトコル、バージョン、通信モジュール、およびネットワーク図を要求します。提供される設定で、馴染みのあるプロトコルが認証または暗号化を含んでいると想定しないでください。

IEC 62443-3-2は、システムをゾーンと導管に分割し、それらのリスクを評価し、目標セキュリティレベルを定義することに対処します。実際的には、購入者はどの資産が一緒に属し、どの通信経路がセキュリティ境界を越えるかを知る必要があります。

フィールド機器が必要な制御を提供できない場合、他の場所で必要な保護措置を文書化します。これらには、制限されたゲートウェイアクセス、ネットワーク分割、および制御された保守接続が含まれる場合があります。

このような措置はシステムレベルで評価される必要があります。それらはアクチュエータ自体を認証されたコンポーネントに変えるものではありません。

3. アクチュエータを操作および設定できる人を制御する

バルブの操作とその設定の変更は異なる権限です。

提供された装置が閲覧、操作、設定、および保守アクセスを区別できるかどうかを尋ねます。アカウントまたはパスワードが存在する場合、認証情報がどのように設定、変更、復元、および削除されるかを確認します。

役立つ質問には以下が含まれます:

• 共有されたデフォルトの認証情報が存在しますか？
• 未使用のアカウントまたはサービスを無効にできますか？
• 誰が移動限界または制御モードを変更できますか？
• ローカル制御はどのように保護されていますか？
• リモートアクセスには別途の認証が必要ですか？

アクチュエータのアクセス制御が制限されている場合、PLC、ゲートウェイ、ワークステーション、または物理的なエンクロージャによってどの機能を保護する必要があるかを特定します。

また、試運転後に誰が認証情報を所有するかについて合意します。

4. ファームウェアおよび設定の整合性を確認する

ファームウェアはアクチュエータのデジタル動作を制御します。設定はプロセス内での応答方法を決定します。

サプライヤーに、更新がどのように入手、確認、インストール、および記録されるかを尋ねます。サポートされている場合、署名検証などの真正性チェックの証拠を要求します。

また、以下を確認します:

• 誰が更新を開始できるか。
• 更新中にバルブが使用可能な状態を維持するかどうか。
• 電源が故障した場合に何が起こるか。
• 承認された設定がどのようにバックアップされるか。
• 失敗した更新後に復旧がどのように行われるか。

フィールド更新可能なファームウェアを持たない単純なデバイスの場合、その制限およびその保守への影響を文書化します。

これらの質問は、IEC 62443-4-2に記載されている7つの基本要件領域の1つであるシステム整合性をサポートします。その他の領域には、アクセス制御、制限されたデータフロー、イベント応答、および可用性が含まれます。

5. 障害発生時の電動アクチュエータのサイバーセキュリティをレビューする

セキュリティ制御はプラントの運用ニーズと連携して動作する必要があります。

通信が失敗した場合、電源が失われた場合、またはコントローラが無効なデータを送信した場合に何が起こるべきかを定義します。正しい応答は、位置を保持すること、定義された位置に移動すること、または別の承認された戦略に従うことかもしれません。

普遍的に安全なバルブ位置は存在しません。プロセスリスク評価が必要な動作を決定する必要があり、選択されたアクチュエータ構成がそれをサポートする必要があります。

これらの要件を分けておきます:

• 通信の喪失。
• 電力の喪失。
• 不正な設定変更。
• アクチュエータの機械的または電気的な故障。

サイバーセキュリティと機能安全は異なる範囲を持ちます。一方の証拠がもう一方の証拠に代わるものではありません。

6. どのイベントが検出および記録できるかを尋ねる

デバイスはセキュリティイベントログを保持せずに障害を報告する場合があります。したがって、正確に何を記録するかを尋ねます。

関連するイベントには、設定変更、ファームウェア更新、アクセス試行の失敗、および通信障害が含まれる場合があります。

記録にタイムスタンプが含まれるかどうか、それらがどのくらいの期間利用可能であるか、およびエクスポートできるかどうかを確認します。アクチュエータがこれらの機能を欠いている場合、代わりに制御システムまたは保守ツールが何を記録する必要があるかを決定します。

トラブルシューティングのために、モデル、ファームウェアバージョン、承認された設定、および試運転記録を保持します。これらの詳細は、装置の故障と予期しない変更を区別するのに役立ちます。

7. サプライヤーのサポートおよび認証の主張を確認する

セキュリティ担当者、脆弱性報告ルート、更新ポリシー、および期待されるサポート期間を尋ねます。

該当する場合、ソフトウェア部品表または含まれるサードパーティ製ソフトウェアに関する情報を要求します。また、購入者がセキュリティ通知をどのように受け取るかについて合意します。

認証が主張されている場合、以下を確認します:

• 発行機関および証明書番号。
• 適用される標準の部分。
• 対象となる製品およびハードウェアバージョン。
• ファームウェアバージョンおよび通信オプション。
• 主張されるセキュリティ機能および記載された条件。
• 必要な設置および運用の前提条件。

安全な開発プロセス証明書は、すべての製品の技術的機能を自動的に認証するものではありません。同様に、コンポーネント証明書はプラント全体のセキュリティを確立するものではありません。

OMKEEから調達する際にチェックリストを適用する

OMKEEのウェブサイトでは、接点ベースの操作やアナログ調節制御を含む、いくつかの制御構成を備えた電動バルブアクチュエータを紹介しています。これらの違いにより、モデル固有のインターフェースチェックが重要になります。

提案されるデジタルまたはフィールドバス構成については、OMKEEに実際の通信機能および利用可能なセキュリティ証拠を確認するよう依頼してください。エンクロージャの定格、防爆、CEマーキング、または品質管理の資格からサイバーセキュリティ認証を推測しないでください。

OMKEEに、バルブの使用条件、トルク、電源、制御インターフェース、ネットワークアーキテクチャ、必要な障害時の動作、およびセキュリティドキュメンテーションの要件を含むプロジェクト概要書を送付してください。

OMKEE

最後に、サプライヤーおよびインテグレータとの受け入れ検査について合意します。試運転前に管理された環境で承認された構成をテストし、どの保護がアクチュエータに属し、どの保護がより広範な制御システムに属するかを記録します。