IEC 62443-2-1: programma di sicurezza del proprietario degli asset
Sytance · Aggiornato
IEC 62443-2-1:2024 è la parte sul programma di sicurezza del proprietario degli asset per un IACS in esercizio. È una norma di politiche e procedure destinata al proprietario degli asset, incluso in questo contesto l’operatore. Riguarda il modo in cui l’organizzazione gestisce la sicurezza, compresi i rischi derivanti da sistemi legacy con capacità tecniche limitate.
Responsabilità del proprietario degli asset
IEC 62443-2-1:2024 riguarda le politiche e le procedure utilizzate per gestire un IACS in esercizio. Nei documenti precedenti viene spesso definita sistema di gestione della cibersicurezza. In entrambi i casi, l’oggetto è la gestione continuativa della sicurezza del sistema da parte del proprietario degli asset.
Proprietario degli asset e operatore
Il perimetro di 2-1 è l’organizzazione responsabile dell’IACS in esercizio. La descrizione pubblica IEC del 2024 include l’operatore.
Programma di sicurezza
Il programma stabilisce politiche e procedure per l’esercizio sicuro, il trattamento dei rischi, le responsabilità, il monitoraggio e il controllo continuativo.
IACS in esercizio
L’oggetto è un sistema di automazione e controllo industriale nel relativo contesto operativo, comprese le persone e i processi di lavoro.
Politiche relative alla capacità tecnica
IEC 62443-2-1:2024 distingue deliberatamente la responsabilità del programma dalla capacità tecnica intrinseca. Il proprietario degli asset necessita di politiche e procedure per gli argomenti di sicurezza pertinenti. La norma non trasforma un vecchio controllore, una workstation di progettazione non più supportata o un sistema SCADA di lunga durata in un prodotto dotato di tutte le moderne funzioni di sicurezza.
- inventario degli asset e confine degli IACS a cui si applica il programma;
- ruoli e responsabilità per l’esercizio, la manutenzione e la modifica degli IACS;
- decisioni sul trattamento dei rischi per i vincoli specifici degli IACS, quali disponibilità, sicurezza e finestre di applicazione delle patch;
- politiche per la gestione delle vulnerabilità, l’accesso, i backup, l’accesso remoto, la protezione dal malware e il controllo delle modifiche;
- responsabilità di fornitori e fornitori di servizi da coordinare con il programma del proprietario degli asset.
Sistemi legacy e misure compensative
IEC riconosce che un IACS può avere una durata superiore a vent’anni e che alcuni hardware o software legacy potrebbero non essere più supportati. Il trattamento dei rischi e le misure compensative possono affrontare le capacità mancanti. La valutazione dovrebbe distinguere tali misure dalle funzioni integrate nel prodotto.
Componenti non supportati
La mancanza di supporto software o di strumenti di backup disponibili modifica il modo in cui il proprietario degli asset gestisce i rischi. Il programma deve affrontare i conseguenti limiti nell’applicazione di patch o nel ripristino.
Misure compensative
Le misure compensative rientrano nel programma quando la capacità tecnica intrinseca manca o non può essere utilizzata senza un impatto operativo inaccettabile.
Confini rispetto alle altre parti IEC 62443
Il programma del proprietario degli asset si coordina con le altre parti di IEC 62443, ma non le sostituisce. La stessa organizzazione può ricoprire più ruoli, tuttavia l’attestazione deve comunque indicare la parte e l’oggetto della valutazione corretti.
- IEC 62443-2-4 riguarda i processi di sicurezza dei fornitori di servizi per le attività di integrazione e manutenzione.
- IEC 62443-3-2 riguarda la valutazione dei rischi di un sistema oggetto di valutazione definito, le zone, i condotti, lo SL-T e i requisiti di sicurezza documentati.
- IEC 62443-3-3 riguarda i requisiti di sicurezza e la capacità del sistema di controllo.
- IEC 62443-4-1 riguarda il ciclo di vita dello sviluppo sicuro del fornitore del prodotto.
- IEC 62443-4-2 riguarda la capacità tecnica dei componenti IACS.
La delega non trasferisce l’ambito
Il proprietario degli asset può fare affidamento su fornitori, integratori e fornitori di manutenzione per le evidenze e l’esecuzione, ma l’attestazione del programma 2-1 continua a riguardare il programma di sicurezza del proprietario degli asset per l’IACS.
L’uso ai fini della legislazione sui prodotti resta distinto
IEC 62443-2-1 può supportare evidenze normative o per i clienti quando la questione riguarda i controlli operativi, le responsabilità del sito o la gestione dei rischi degli IACS di lunga durata. Da sola non crea un certificato di prodotto, un livello di capacità del componente o una presunzione di conformità al CRA. Il fascicolo giuridico deve comunque indicare la legge applicabile, il confine del prodotto o del sistema, il requisito supportato e lo stato della fonte della norma utilizzata.