Zones and Conduits.
Das Zonen-und-Konduit-Modell aus IEC 62443-3-2 ist der zentrale Segmentierungsansatz der Normenreihe. Eine Zone fasst Assets mit ähnlichen Sicherheitsanforderungen zusammen, etwa alle Geräte einer Produktionslinie, während ein Konduit den kontrollierten Kommunikationspfad zwischen zwei Zonen beschreibt.
Für jede Zone wird im Rahmen einer Risikobewertung ein Ziel-Security-Level festgelegt; Konduits erhalten eigene Sicherheitsanforderungen, die oft strenger sind als die der verbundenen Zonen selbst, da sie potenzielle Angriffspfade zwischen unterschiedlich vertrauenswürdigen Bereichen darstellen.
In der Praxis werden Zonengrenzen häufig durch Firewalls, Managed Switches mit VLAN-Trennung oder dedizierte Security-Appliances technisch umgesetzt, während die Konduit-Definition dokumentiert, welcher Datenverkehr in welche Richtung und mit welchem Protokoll zulässig ist.