Industrielle Cybersicherheit
Sichere Produktentwicklung nach IEC 62443
Die Sicherheit von Industrieprodukten betrifft sowohl den Entwicklungsprozess als auch die technischen Schutzmaßnahmen des Produkts. Sytance unterstützt Verfahren über den Lebenszyklus nach IEC 62443-4-1 und die zugehörigen Produktaufzeichnungen. Architektur, Risiken, Anforderungen und Verifikation bleiben für die Prüfung miteinander verknüpft.
Entwicklungsaktivitäten und zugehörige Produktaufzeichnungen
Entwicklungsprozess
Legen Sie Zuständigkeiten für Sicherheitsanforderungen, Entwurfsprüfungen, Implementierung, Verifikation und Freigabe fest.
Produktanalyse
Beschreiben Sie den Sicherheitskontext, analysieren Sie Bedrohungen und bewerten Sie die relevanten Produktrisiken.
Anforderungen und Prüfungen
Dokumentieren Sie die ausgewählten Sicherheitsanforderungen, Umsetzungsmaßnahmen und Verifikationsergebnisse.
Wartung
Organisieren Sie den Umgang mit Schwachstellen und Sicherheitsupdates und stellen Sie die für Produktnutzende benötigten Sicherheitsinformationen zusammen.
Dokumentenpaket der Plattform
Verfahren zum Lebenszyklus nach IEC 62443-4-1 und Produktnachweise
Anforderungen an Komponenten
IEC 62443-4-2
Anforderungen an Systeme
IEC 62443-3-3
Bewertungsumfang
Produktrolle, technische Grenze und geltende Sicherheitsanforderungen
Lebenszyklus- und technische Bewertungen getrennt betrachten
IEC 62443-4-1 behandelt sichere Entwicklungsprozesse. IEC 62443-4-2 legt technische Anforderungen an Komponenten industrieller Automatisierungs- und Steuerungssysteme (IACS) fest; IEC 62443-3-3 behandelt Systeme. Aufzeichnungen zum Lebenszyklus können eine Bewertung unterstützen, doch Fähigkeiten von Komponenten und der Schutz von Systemen müssen weiterhin jeweils technisch bewertet werden.
Welchen Teil der IEC-62443-Reihe sollten wir anwenden?
Für Produktentwickler behandelt IEC 62443-4-1 den sicheren Entwicklungslebenszyklus. IEC 62443-4-2 behandelt technische Anforderungen an Komponenten. Für Systeme und Integrationsarbeiten gelten weitere Teile der Reihe. Bestimmen Sie zunächst die Rolle sowie das zu bewertende Produkt oder System.
Stellt die Plattform ein IEC-62443-Zertifikat oder ein Security Level aus?
Nein. Die Plattform erstellt und pflegt Entwicklungs- und Produktaufzeichnungen. Zertifizierungen und Aussagen zur Sicherheitsfähigkeit hängen vom Bewertungsumfang, den geltenden Anforderungen, den technischen Nachweisen und der prüfenden Stelle ab.
Können die Aufzeichnungen auch die Vorbereitung auf die CRA unterstützen?
Einige Architektur-, Risiko-, Entwicklungs- und Prüfaufzeichnungen können für beide Vorhaben relevant sein. Prüfen Sie sie anhand der CRA-Anforderungen für das konkrete Produkt; eine Bewertung nach IEC 62443 belegt für sich genommen keine CRA-Konformität.
- IEC 62443-4-1:2018 — https://webstore.iec.ch/en/publication/33615
- IEC 62443-4-2:2019 — https://webstore.iec.ch/en/publication/34421
- IEC 62443-3-3:2013 — https://webstore.iec.ch/en/publication/7033
