Estructura y responsabilidades de la serie IEC 62443
Sytance · Actualizado
IEC 62443 distribuye las responsabilidades entre las organizaciones que desarrollan, integran, mantienen y operan sistemas industriales. La parte adecuada depende de la función y de si la evaluación se refiere a un proceso, un sistema o un componente.
Distribución de funciones
Las principales funciones son propietario de los activos, proveedor de servicios de integración, proveedor de servicios de mantenimiento y proveedor de productos. ISAGCA explica que una función no equivale necesariamente a una organización. Una organización puede desempeñar varias funciones, y una función puede repartirse entre varias organizaciones.
Propietario de los activos
Es responsable del IACS y, por lo general, opera tanto el IACS como los equipos que controla.
Proveedor de servicios de integración
Diseña, instala, configura, prueba y pone en servicio una solución de automatización, y la entrega al cliente.
Proveedor de servicios de mantenimiento
Presta servicios de soporte y mantenimiento para una solución de automatización tras su entrega o durante las actividades relacionadas con ella.
Proveedor de productos
Desarrolla y respalda productos de hardware o software, incluidos sistemas de control, dispositivos integrados, dispositivos anfitriones, dispositivos de red y aplicaciones de software.
Partes principales
El número de la parte suele indicar el nivel al que se refiere la declaración. La parte 2 se ocupa principalmente de los programas y procesos de servicio; la parte 3, del análisis y los requisitos del sistema; la parte 4, del desarrollo de productos y la capacidad de los componentes; y la parte 6, de los métodos de evaluación.
IEC 62443-2-1:2024 aborda el programa de seguridad del propietario de los activos para un IACS en funcionamiento. IEC indica que, en este contexto, el propietario de los activos incluye al operador. El objeto son las políticas y los procedimientos de seguridad de los IACS, no un conjunto de funciones técnicas integradas que deba tener todo sistema heredado.
Esta parte suele ser pertinente cuando se pregunta cómo una instalación en funcionamiento gestiona las funciones, los métodos de evaluación de riesgos, las limitaciones para aplicar parches, las medidas compensatorias, las responsabilidades de los proveedores y los sistemas de larga duración.
IEC 62443-2-4:2023 aborda los procesos relacionados con la seguridad que los proveedores de servicios de IACS pueden ofrecer al propietario de los activos durante la integración y el mantenimiento de una solución de automatización. IEC describe estas capacidades en relación con políticas, procedimientos, prácticas y personal.
Esta parte aborda los procesos de los integradores de sistemas y los proveedores de mantenimiento. Las capacidades de los productos y el programa operativo del propietario de los activos se evalúan conforme a otras partes.
IEC 62443-3-2:2020 establece requisitos para definir el sistema objeto de análisis, dividirlo en zonas y conductos, evaluar el riesgo de cada zona y conducto, establecer el SL-T y documentar los requisitos de seguridad.
IEC 62443-3-3:2013 establece requisitos detallados para los sistemas de control vinculados a los siete requisitos fundamentales. Se utiliza junto con las zonas y los conductos del sistema objeto de análisis al establecer niveles de seguridad objetivo para un activo concreto.
IEC 62443-4-1:2018 se aplica a los desarrolladores y responsables del mantenimiento de productos utilizados en IACS. IEC indica que su ciclo de vida abarca la definición de requisitos de seguridad, el diseño seguro, la implementación segura, la verificación y validación, la gestión de defectos, la gestión de parches y el fin de vida del producto.
IEC 62443-4-2:2019 se aplica a los componentes de IACS. Define los requisitos de los componentes y sus niveles de capacidad de seguridad mediante los siete requisitos fundamentales de IEC TS 62443-1-1.
IEC TS 62443-6-1:2024 es una metodología de evaluación para IEC 62443-2-4. IEC indica que respalda resultados de evaluación repetibles y reproducibles en actividades de evaluación de la conformidad de primera, segunda o tercera parte. No sustituye los requisitos de 2-4.
Situación de las fuentes
La descripción general sigue las descripciones públicas de IEC, ISA e ISAGCA. Para una evaluación detallada se necesita el texto completo de la norma aplicable y el alcance declarado de la certificación.
- La edición es importante: IEC incluye IEC 62443-2-1 como edición de 2024 e IEC 62443-2-4 como edición de 2023, aunque algunos materiales de certificación existentes aún hacen referencia a 2015 y AMD1:2017.
- El ámbito de evaluación es importante: la capacidad de un proceso, de un producto, de un sistema o de un proveedor de servicios, así como la aplicación de capacidades, son declaraciones distintas.
- El efecto jurídico es importante: una publicación de IEC o ISA no equivale a una norma armonizada citada en el DOUE que otorgue presunción de conformidad con el CRA.