IEC 62443 : foire aux questions
Sytance · Mis à jour
La partie de l’IEC 62443 applicable dépend de l’activité évaluée. Ces réponses expliquent les principaux rôles, les concepts système et les limites de la certification.
Structure de la série
Non. Il s’agit d’une série. Ses différentes parties couvrent les programmes de sécurité, les prestataires de services, l’évaluation des risques système, les exigences système, le développement sécurisé des produits et les exigences applicables aux composants.
Une zone regroupe des actifs soumis à des exigences de sécurité similaires. Un conduit décrit les communications entre zones. Ce modèle aide à déterminer les exigences et les niveaux de sécurité applicables à chaque partie du système.
SL-T est un niveau de sécurité cible défini à partir de l’évaluation des risques. SL-C désigne la capacité intégrée à un système ou à un composant. SL-A correspond au niveau de sécurité atteint après évaluation. Ces termes nécessitent un périmètre défini pour le système, la zone, le conduit ou le composant.
Rôles et déclarations
L’IEC 62443-4-1 est généralement la partie relative au cycle de vie de développement sécurisé pour les fournisseurs de produits. L’IEC 62443-4-2 traite généralement des capacités techniques des composants IACS.
Les travaux relatifs aux systèmes s’appuient généralement sur l’IEC 62443-3-2 pour l’évaluation des risques et sur l’IEC 62443-3-3 pour les exigences de sécurité système. Les preuves produit issues des parties 4-1 ou 4-2 ne remplacent pas les preuves de conception du système.
Non. Les preuves relatives au programme du propriétaire d’actifs portent sur l’organisation opérationnelle et le cycle de vie du site. Les preuves de sécurité produit concernent le produit du fournisseur, son processus de développement sécurisé et les capacités de ses composants.
Certification et utilisation juridique
Pas à elle seule. Un certificat prouve uniquement ce que son schéma et son périmètre indiquent. La conformité juridique dépend toujours du droit applicable, du produit, de l’exigence, de l’édition et de la voie normative reconnue.
Oui. Elle peut étayer les preuves relatives au développement sécurisé, aux composants, aux systèmes et aux services. Le dossier de conformité produit doit toujours préciser quelle exigence juridique est étayée et pourquoi les preuves IEC 62443 sont pertinentes.