Normas de ciberseguridad industrial IEC 62443
Sytance · Actualizado
IEC 62443 es una serie de normas de ciberseguridad para los sistemas de automatización y control industrial (IACS). Sus distintas partes abordan la organización operadora, los proveedores de servicios, el diseño de sistemas, el desarrollo seguro de productos y las capacidades de los componentes.
Normas para sistemas de control industrial
La serie abarca los sistemas de automatización y control industrial durante todo su ciclo de vida. No es solo una norma para dispositivos ni únicamente una base de referencia de seguridad de red. En una misma instalación pueden necesitarse registros del programa de seguridad del propietario de los activos, de los servicios prestados, del diseño del sistema y de los productos suministrados.
Funciones y ámbito de aplicación
Un error frecuente es afirmar que un producto, servicio o planta cumple simplemente la norma IEC 62443. Una declaración de conformidad debe especificar la función, la parte de la norma, la edición y el alcance de la evaluación.
Propietario de los activos
Es responsable del entorno operativo, las políticas, las decisiones sobre riesgos y muchos controles en las instalaciones.
Diseñador del sistema
Define los límites del sistema, las zonas, los conductos, los requisitos y los niveles de seguridad objetivo.
Proveedor de productos
Aporta pruebas del desarrollo seguro y de las capacidades de los componentes de los productos suministrados.
Proveedor de servicios
Demuestra su capacidad para la integración, el mantenimiento y los servicios relacionados dentro de un perfil definido.
Partes principales de uso habitual
Las seis partes siguientes son puntos de partida habituales. Sus requisitos corresponden a distintas responsabilidades y etapas del ciclo de vida de los IACS.
IEC 62443-2-1
Programa de seguridad del propietario de un IACS en funcionamiento.
IEC 62443-2-4
Capacidades de los proveedores de servicios para la integración y el mantenimiento.
IEC 62443-3-2
Evaluación de riesgos del sistema, zonas, conductos y niveles de seguridad objetivo.
IEC 62443-3-3
Requisitos de seguridad del sistema y niveles de seguridad.
IEC 62443-4-1
Ciclo de vida de desarrollo seguro de productos para proveedores de productos.
IEC 62443-4-2
Requisitos de capacidad técnica de seguridad para los componentes de los IACS.
Zonas, conductos y niveles de seguridad
La evaluación del sistema suele comenzar con la definición del sistema objeto de análisis y de sus zonas y conductos, seguida de la evaluación de riesgos. Los niveles de seguridad expresan después la capacidad objetivo o alcanzada dentro de un ámbito definido; no deben utilizarse como una etiqueta comercial imprecisa para un producto.
Certificación y legislación sobre productos
Los esquemas de certificación y la legislación sobre productos utilizan IEC 62443 de distintas maneras. Un certificado puede demostrar la capacidad de un proceso, componente, sistema o servicio dentro del alcance declarado. La conformidad con la legislación sobre productos sigue dependiendo de la ley, el producto, el requisito, la edición y la vía normativa reconocida.