Exigences applicables aux prestataires selon l’IEC 62443-2-4

Champ d’application des prestataires de services

Les prestataires IACS réalisent des activités d’intégration, de maintenance ou les deux. Le prestataire peut être externe ou appartenir à l’organisation. Cette partie est utile, car les décisions d’intégration et de maintenance peuvent renforcer ou fragiliser les hypothèses de sécurité sur lesquelles repose le propriétaire des actifs.

Capacités d’intégration et de maintenance

La CEI décrit les capacités de la partie 2-4 en termes de politiques, procédures, pratiques et personnel. Cette limite est importante. Une déclaration de capacité d’un prestataire doit montrer comment celui-ci réalise des travaux liés à la sécurité pour le propriétaire des actifs, et pas seulement qu’il vend un produit sécurisé.

• planification de la sécurité et responsabilités relatives au service contractuel ;
• activités d’ingénierie, de configuration, d’essai et de transfert sécurisées pendant l’intégration ;
• pratiques de gestion des accès à distance, des comptes, des événements, des sauvegardes, des logiciels malveillants, des correctifs et des vulnérabilités pertinentes pour le service ;
• coordination avec les politiques et procédures de sécurité de l’IACS du propriétaire des actifs ;
• compétences du personnel et composition de l’équipe pour le service fourni.

Adapter les exigences à l’aide de profils

La norme IEC 62443-2-4:2023 autorise les profils, car toutes les exigences ne conviennent pas à tous les secteurs, organisations ou environnements de service. Un profil peut restreindre l’ensemble d’exigences, mais réduit aussi la portée de l’affirmation. Un certificat ou une évaluation reposant sur un profil doit être lu en tenant compte du profil, du périmètre du service, de l’édition, du niveau de maturité et des activités exclues.

Limites par rapport aux autres rôles

La norme IEC 62443-2-4 se situe entre le propriétaire des actifs et le fournisseur de produits. Le prestataire peut utiliser les informations sur les produits, les exigences système et les politiques du propriétaire des actifs, mais l’ensemble d’exigences concerne toujours ses propres processus.

• Elle ne remplace pas la norme IEC 62443-2-1 relative au programme de sécurité de l’IACS du propriétaire des actifs.
• Elle ne remplace pas la norme IEC 62443-3-2 relative à l’évaluation des risques du système, aux zones, conduits, SL-T et exigences documentées.
• Elle ne remplace pas la norme IEC 62443-3-3 relative aux exigences de sécurité des systèmes de commande.
• Elle ne remplace pas les normes IEC 62443-4-1 ou IEC 62443-4-2 relatives au cycle de vie du fournisseur de produits et aux capacités des composants.

Preuves et périmètre du certificat

Une évaluation selon la partie 2-4 précise le service, la coordination avec le propriétaire des actifs, le périmètre de la solution d’automatisation, le profil et l’édition applicables, ainsi que les activités réalisées. Les documents ISASecure ACSSA considèrent qu’une certification 2-4 appropriée peut contribuer à l’évaluation d’un IACS, mais des preuves supplémentaires peuvent rester nécessaires pour l’IACS évalué.