IEC 62443-4-2: requisitos de los componentes
Sytance · Actualizado
IEC 62443-4-2:2019 es la parte que establece los requisitos para los componentes. Define los requisitos técnicos para los componentes de IACS y los niveles de capacidad de seguridad de los componentes mediante los siete requisitos fundamentales.
Definición del componente
Un componente no es la totalidad del IACS. La evaluación debe identificar el tipo de componente, la versión del producto, el uso previsto en el IACS, las interfaces, las hipótesis, las funciones excluidas y el nivel SL-C(component) declarado. Estos datos determinan a qué usos y configuraciones se aplica la capacidad evaluada.
Los dispositivos integrados incluyen controladores, PLC, variadores, pasarelas y dispositivos industriales específicos suministrados para su uso en IACS. El ámbito del componente debe indicar la versión del producto, las interfaces y la capacidad de seguridad prevista.
Los dispositivos de red incluyen conmutadores industriales, enrutadores, cortafuegos, pasarelas y productos similares que transportan o restringen las comunicaciones de los IACS. Las pruebas del componente no sustituyen el diseño de los conductos.
Los dispositivos anfitriones incluyen servidores, estaciones de trabajo, ordenadores industriales y plataformas similares que ejecutan o respaldan funciones de los IACS. A menudo, la dificultad reside en delimitar el anfitrión, el software instalado y el sistema configurado.
Las aplicaciones de software incluyen herramientas de ingeniería, software HMI, historiadores, aplicaciones de control y software de apoyo suministrado para su uso en IACS. El proveedor del producto sigue teniendo que vincular las pruebas de 4-2 con el ciclo de vida de desarrollo seguro en el que se basa esa versión.
Requisitos fundamentales
El material público de IEC enumera siete requisitos fundamentales utilizados por IEC 62443-4-2. Estas familias organizan los requisitos de los componentes y los niveles de capacidad; cada una tiene un significado técnico específico.
- control de identificación y autenticación (IAC);
- control de uso (UC);
- integridad del sistema (SI);
- confidencialidad de los datos (DC);
- restricción del flujo de datos (RDF);
- respuesta oportuna a los eventos (TRE);
- disponibilidad de recursos (RA).
IAC es la familia de requisitos fundamentales dedicada a reconocer a usuarios, procesos de software, dispositivos y otros sujetos antes de concederles acceso.
UC se refiere al uso autorizado una vez conocida la identidad. Se distingue de la identificación porque se centra en qué puede hacer un sujeto autenticado.
SI se refiere a la protección frente a cambios no autorizados, código malicioso y pérdida de integridad en la función del componente o del sistema de control.
DC se refiere a proteger la información frente a su divulgación no autorizada. No implica que todos los datos de los IACS tengan el mismo nivel de confidencialidad.
RDF se refiere a limitar los flujos de datos y las vías de comunicación. A nivel de sistema, suele estar relacionado con las zonas, los conductos y la segmentación de red.
TRE se refiere a las capacidades de detección, notificación y respuesta ante eventos. Debe interpretarse a la luz de las funciones reales de supervisión y registro del componente.
RA se refiere a conservar los recursos necesarios para que el componente o sistema realice las funciones de seguridad y control previstas.
Límites de capacidad
IEC establece que IEC 62443-4-2 trata de SL-C(component), no de SL-T ni de SL-A. Esta distinción es importante. Un componente puede declarar un nivel de capacidad, pero un sistema implantado sigue necesitando un sistema objeto de análisis, zonas, conductos, una evaluación de riesgos, procedimientos operativos y la validación de la configuración real.
Desarrollo seguro según IEC 62443-4-1
Las pruebas del componente son más sólidas cuando el proveedor también puede demostrar que el producto se desarrolló y mantuvo conforme a un ciclo de vida IEC 62443-4-1.
Integración en el sistema
El diseñador del sistema sigue decidiendo cómo ubicar el componente en una zona, qué conductos utiliza y qué controles lo rodean.
El material del seminario web de CEN-CENELEC del 9 de septiembre de 2025 describe los trabajos sobre EN IEC 62443-4-2:2019/A11:2026 para su alineación con el CRA, incluidos los criterios de aplicabilidad y los artefactos de evaluación. Esos trabajos europeos previstos no deben confundirse con la afirmación de que todos los certificados 4-2 existentes son resultados de una norma armonizada del CRA.