IEC 62443-4-2: requisiti dei componenti
Sytance · Aggiornato
IEC 62443-4-2:2019 è la parte relativa ai requisiti dei componenti. Definisce i requisiti tecnici per i componenti IACS e i livelli di capacità di sicurezza dei componenti attraverso i sette requisiti fondamentali.
Definizione del componente
Un componente non coincide con l’intero IACS. La valutazione dovrebbe indicare il tipo di componente, la versione del prodotto, l’uso previsto nell’IACS, le interfacce, le ipotesi, le funzioni escluse e il livello SL-C(component) dichiarato. Questi dettagli determinano gli usi e le configurazioni a cui si applica la capacità valutata.
I dispositivi embedded comprendono controllori, PLC, azionamenti, gateway e dispositivi industriali dedicati forniti per l’uso negli IACS. L’ambito del componente dovrebbe indicare la versione del prodotto, le interfacce e la capacità di sicurezza prevista.
I dispositivi di rete comprendono switch industriali, router, firewall, gateway e prodotti simili che trasportano o limitano le comunicazioni degli IACS. Le evidenze relative al componente non sostituiscono la progettazione dei condotti.
I dispositivi host comprendono server, workstation, computer industriali e piattaforme simili utilizzati per eseguire o supportare funzioni IACS. Spesso la difficoltà consiste nel definire il confine tra host, software installato e sistema configurato.
Le applicazioni software comprendono strumenti di progettazione, software HMI, historian, applicazioni di controllo e software di supporto forniti per l’uso negli IACS. Il fornitore del prodotto deve comunque collegare le evidenze 4-2 al ciclo di vita dello sviluppo sicuro alla base di quella versione.
Requisiti fondamentali
Il materiale pubblico IEC elenca sette requisiti fondamentali utilizzati da IEC 62443-4-2. Queste famiglie organizzano i requisiti dei componenti e i livelli di capacità; ciascuna ha un significato tecnico specifico.
- controllo dell’identificazione e dell’autenticazione (IAC);
- controllo dell’uso (UC);
- integrità del sistema (SI);
- riservatezza dei dati (DC);
- limitazione dei flussi di dati (RDF);
- risposta tempestiva agli eventi (TRE);
- disponibilità delle risorse (RA).
IAC è la famiglia di requisiti fondamentali volta a riconoscere utenti, processi software, dispositivi e altri soggetti prima di concedere l’accesso.
UC riguarda l’uso autorizzato una volta nota l’identità. È distinto dall’identificazione perché la questione è ciò che un soggetto autenticato può fare.
SI riguarda la protezione da modifiche non autorizzate, codice malevolo e perdita di integrità nella funzione del componente o del sistema di controllo.
DC riguarda la protezione delle informazioni dalla divulgazione non autorizzata. Non comporta che tutti i dati IACS siano ugualmente riservati.
RDF riguarda la limitazione dei flussi di dati e dei percorsi di comunicazione. A livello di sistema, è in genere collegato a zone, condotti e segmentazione della rete.
TRE riguarda le capacità di rilevamento, segnalazione e risposta agli eventi. Va interpretato alla luce delle effettive funzioni di monitoraggio e registrazione del componente.
RA riguarda la conservazione delle risorse necessarie affinché il componente o il sistema svolga le funzioni di sicurezza e controllo previste.
Limiti della capacità
IEC specifica che IEC 62443-4-2 riguarda SL-C(component), non SL-T o SL-A. La distinzione è importante. Un componente può dichiarare un livello di capacità, ma un sistema installato richiede comunque un sistema oggetto di valutazione, zone, condotti, una valutazione dei rischi, procedure operative e la convalida della configurazione effettiva.
Sviluppo sicuro secondo IEC 62443-4-1
Le evidenze relative al componente sono più solide se il fornitore può anche dimostrare che il prodotto è stato sviluppato e mantenuto secondo un ciclo di vita IEC 62443-4-1.
Integrazione nel sistema
Il progettista del sistema decide comunque come collocare il componente in una zona, quali condotti utilizza e quali controlli lo circondano.
Il materiale del webinar CEN-CENELEC del 9 settembre 2025 descrive i lavori su EN IEC 62443-4-2:2019/A11:2026 per l’allineamento al CRA, compresi i criteri di applicabilità e gli artefatti di valutazione. I previsti lavori europei non vanno confusi con l’affermazione che ogni certificato 4-2 esistente costituisca un risultato di norma armonizzata ai fini del CRA.