IEC 62443-2-4: requisitos para proveedores de servicios

Ámbito de los proveedores de servicios

Los proveedores de servicios de IACS realizan actividades de integración, mantenimiento o ambas. El proveedor puede ser externo o un equipo interno. Esta parte es útil porque las decisiones de integración y mantenimiento pueden reforzar o debilitar las hipótesis de seguridad en las que se basa el propietario de los activos.

Capacidades de integración y mantenimiento

IEC describe las capacidades de 2-4 como relacionadas con políticas, procedimientos, prácticas y personal. Este límite es importante. Una declaración de capacidad del proveedor de servicios debe demostrar cómo realiza el proveedor el trabajo relacionado con la seguridad para el propietario de los activos, y no solo que vende un producto seguro.

• planificación de la seguridad y responsabilidades del servicio contratado;
• actividades de ingeniería segura, configuración, pruebas y entrega durante la integración;
• prácticas pertinentes al servicio para el acceso remoto, las cuentas, los eventos, las copias de seguridad, el malware, los parches y las vulnerabilidades;
• coordinación con las políticas y procedimientos de seguridad de los IACS del propietario de los activos;
• competencia del personal y asignación de personal al proyecto para prestar el servicio.

Adaptación de los requisitos mediante perfiles

IEC 62443-2-4:2023 permite utilizar perfiles porque no todos los requisitos se ajustan a todos los sectores, organizaciones o entornos de servicio. Un perfil puede limitar el conjunto de requisitos, pero también limita la declaración. En un certificado o evaluación basado en un perfil deben quedar claros el perfil, el ámbito del servicio, la edición, el nivel de madurez y las actividades excluidas.

Límites con otras funciones

IEC 62443-2-4 se sitúa entre el propietario de los activos y el proveedor del producto. El proveedor puede utilizar información del producto, requisitos del sistema y políticas del propietario de los activos, pero el conjunto de requisitos para el proveedor de servicios sigue refiriéndose a sus procesos.

• No sustituye IEC 62443-2-1 para el programa de seguridad de los IACS del propietario de los activos.
• No sustituye IEC 62443-3-2 para la evaluación de riesgos del sistema, las zonas, los conductos, el SL-T y los requisitos documentados.
• No sustituye IEC 62443-3-3 para los requisitos de seguridad de los sistemas de control.
• No sustituye IEC 62443-4-1 ni IEC 62443-4-2 para las declaraciones sobre el ciclo de vida del proveedor del producto y la capacidad de los componentes.

Pruebas y ámbito del certificado

Una evaluación 2-4 identifica el servicio, la coordinación con el propietario de los activos, los límites de la solución de automatización, el perfil y la edición aplicables, y las actividades realizadas. El material de ACSSA de ISASecure considera que una certificación 2-4 adecuada puede contribuir como prueba a una evaluación de IACS, aunque quizá sigan haciendo falta pruebas adicionales para el IACS evaluado.