IEC 62443-2-1: programa de seguridad del propietario de activos
Sytance · Actualizado
IEC 62443-2-1:2024 es la parte relativa al programa de seguridad del propietario de los activos para un IACS en funcionamiento. Es una norma de políticas y procedimientos dirigida al propietario de los activos, incluido el operador en este contexto. Trata de cómo la organización gestiona la seguridad, incluidos los riesgos de sistemas heredados con capacidades técnicas limitadas.
Responsabilidades del propietario de los activos
IEC 62443-2-1:2024 aborda las políticas y procedimientos utilizados para gestionar un IACS en funcionamiento. En documentos anteriores, a menudo se denomina sistema de gestión de la ciberseguridad. En ambos casos, se refiere a la gestión continuada de la seguridad del sistema por parte del propietario de los activos.
Propietario de los activos y operador
El ámbito de 2-1 es la organización responsable del IACS en funcionamiento. La descripción pública de IEC de 2024 incluye al operador.
Programa de seguridad
El programa establece políticas y procedimientos para la operación segura, el tratamiento de riesgos, las responsabilidades, la supervisión y el control continuado.
IACS en funcionamiento
El objeto es un sistema de automatización y control industrial en su contexto operativo, incluidas las personas y los procesos de trabajo.
Políticas en torno a la capacidad técnica
IEC 62443-2-1:2024 separa deliberadamente la responsabilidad del programa de la capacidad técnica propia. El propietario de los activos necesita políticas y procedimientos para los temas de seguridad pertinentes. La norma no convierte un controlador antiguo, una estación de ingeniería sin soporte ni un sistema SCADA de larga duración en un producto que disponga de todas las funciones de seguridad modernas.
- inventario de activos y límite de los IACS a los que se aplica el programa;
- funciones y responsabilidades para operar, mantener y modificar los IACS;
- decisiones de tratamiento de riesgos ante limitaciones específicas de los IACS, como la disponibilidad, la seguridad física y las ventanas de aplicación de parches;
- políticas para la gestión de vulnerabilidades, el acceso, las copias de seguridad, el acceso remoto, la protección frente a programas maliciosos y el control de cambios;
- responsabilidades de proveedores y proveedores de servicios que deben coordinarse con el programa del propietario de los activos.
Sistemas heredados y medidas compensatorias
IEC reconoce que un IACS puede tener una vida útil superior a veinte años y que algunos componentes de hardware o software heredados pueden dejar de recibir soporte. El tratamiento de riesgos y las medidas compensatorias pueden abordar las capacidades que faltan. La evaluación debe distinguir estas medidas de las funciones integradas en el producto.
Componentes sin soporte
La falta de soporte del software o de herramientas de copia de seguridad disponibles modifica la forma en que el propietario de los activos gestiona el riesgo. El programa debe abordar las limitaciones resultantes para aplicar parches o recuperar el sistema.
Medidas compensatorias
Las medidas compensatorias forman parte del programa cuando la capacidad técnica propia no existe o no puede utilizarse sin un impacto operativo inaceptable.
Límites con otras partes de IEC 62443
El programa del propietario de los activos se coordina con otras partes de IEC 62443, pero no las sustituye. Una misma organización puede desempeñar varias funciones, aunque la declaración debe seguir identificando la parte y el objeto de evaluación correctos.
- IEC 62443-2-4 corresponde a los procesos de seguridad de los proveedores de servicios para las actividades de integración y mantenimiento.
- IEC 62443-3-2 corresponde a la evaluación de riesgos de un sistema objeto de análisis definido, las zonas, los conductos, el SL-T y los requisitos de seguridad documentados.
- IEC 62443-3-3 corresponde a los requisitos de seguridad y la capacidad del sistema de control.
- IEC 62443-4-1 corresponde al ciclo de vida de desarrollo seguro del proveedor del producto.
- IEC 62443-4-2 corresponde a la capacidad técnica de seguridad de los componentes de IACS.
Delegar no transfiere el ámbito
El propietario de los activos puede recurrir a proveedores, integradores y proveedores de mantenimiento para obtener pruebas y ejecutar tareas, pero la declaración del programa conforme a 2-1 sigue refiriéndose al programa de seguridad del propietario de los activos para los IACS.
El uso conforme a la legislación sobre productos sigue siendo independiente
IEC 62443-2-1 puede respaldar pruebas relacionadas con la legislación sobre productos o con clientes cuando la cuestión se refiera a los controles operativos, las responsabilidades en la instalación o la gestión de riesgos de los IACS de larga duración. Por sí sola, no crea un certificado de producto, un nivel de capacidad de componente ni una presunción de conformidad con el CRA. El expediente jurídico debe indicar la legislación aplicable, los límites del producto o sistema, el requisito que se respalda y la situación de la fuente de la norma utilizada.