Struttura e responsabilità della serie IEC 62443
Sytance · Aggiornato
IEC 62443 ripartisce le responsabilità tra le organizzazioni che sviluppano, integrano, mantengono e gestiscono sistemi industriali. La parte appropriata dipende dal ruolo e dal fatto che la valutazione riguardi un processo, un sistema o un componente.
Ripartizione dei ruoli
I ruoli principali sono proprietario degli asset, fornitore di servizi di integrazione, fornitore di servizi di manutenzione e fornitore di prodotti. ISAGCA spiega che un ruolo non coincide necessariamente con un’organizzazione. Una singola organizzazione può svolgere più ruoli e un ruolo può essere ripartito tra diverse organizzazioni.
Proprietario degli asset
È responsabile dell’IACS e di norma ne gestisce l’esercizio, insieme alle apparecchiature sotto il suo controllo.
Fornitore di servizi di integrazione
Progetta, installa, configura, testa, mette in servizio e consegna una soluzione di automazione.
Fornitore di servizi di manutenzione
Fornisce assistenza e attività di manutenzione per una soluzione di automazione dopo la consegna o nell’ambito delle attività connesse.
Fornitore di prodotti
Sviluppa e supporta prodotti hardware o software, compresi sistemi di controllo, dispositivi embedded, dispositivi host, dispositivi di rete e applicazioni software.
Parti principali
Il numero della parte indica di norma il livello dell’attestazione. La parte 2 riguarda principalmente programmi e processi dei servizi; la parte 3, l’analisi e i requisiti di sistema; la parte 4, lo sviluppo dei prodotti e la capacità dei componenti; la parte 6 supporta le metodologie di valutazione.
IEC 62443-2-1:2024 riguarda il programma di sicurezza del proprietario degli asset per un IACS in esercizio. IEC specifica che in questo contesto il proprietario degli asset include l’operatore. L’oggetto è costituito da politiche e procedure per la sicurezza degli IACS, non da un insieme di funzioni tecniche intrinseche che ogni sistema legacy dovrebbe già possedere.
Questa parte è spesso pertinente quando si chiede come un sito in esercizio gestisca ruoli, metodi di valutazione dei rischi, vincoli per l’applicazione delle patch, misure compensative, responsabilità dei fornitori e sistemi di lunga durata.
IEC 62443-2-4:2023 riguarda i processi correlati alla sicurezza che i fornitori di servizi IACS possono offrire al proprietario degli asset durante l’integrazione e la manutenzione di una soluzione di automazione. IEC descrive tali capacità come relative a politiche, procedure, prassi e personale.
Questa parte riguarda i processi degli integratori di sistema e dei fornitori di manutenzione. Le capacità del prodotto e il programma operativo del proprietario degli asset sono valutati secondo altre parti.
IEC 62443-3-2:2020 stabilisce i requisiti per definire il sistema oggetto di valutazione, suddividerlo in zone e condotti, valutare i rischi per ciascuna zona e ciascun condotto, stabilire lo SL-T e documentare i requisiti di sicurezza.
IEC 62443-3-3:2013 fornisce requisiti dettagliati per i sistemi di controllo collegati ai sette requisiti fondamentali. È utilizzata insieme alle zone e ai condotti del sistema oggetto di valutazione per definire i livelli di sicurezza obiettivo per uno specifico asset.
IEC 62443-4-1:2018 si applica allo sviluppatore e al responsabile della manutenzione dei prodotti utilizzati negli IACS. IEC descrive il ciclo di vita come comprensivo della definizione dei requisiti di sicurezza, della progettazione sicura, dell’implementazione sicura, della verifica e convalida, della gestione dei difetti, della gestione delle patch e del fine vita del prodotto.
IEC 62443-4-2:2019 si applica ai componenti IACS. Definisce i requisiti dei componenti e i livelli di capacità di sicurezza attraverso i sette requisiti fondamentali di IEC TS 62443-1-1.
IEC TS 62443-6-1:2024 è una metodologia di valutazione per IEC 62443-2-4. IEC afferma che supporta risultati di valutazione ripetibili e riproducibili nelle attività di valutazione della conformità di prima, seconda o terza parte. Non sostituisce i requisiti 2-4.
Stato delle fonti
La panoramica segue le descrizioni pubbliche di IEC, ISA e ISAGCA. Una valutazione dettagliata richiede il testo integrale della norma applicabile e l’ambito di certificazione dichiarato.
- L’edizione è importante: IEC indica IEC 62443-2-1 come edizione 2024 e IEC 62443-2-4 come edizione 2023, mentre alcuni materiali di certificazione esistenti fanno ancora riferimento a 2015 e AMD1:2017.
- L’ambito della valutazione è importante: capacità di un processo, di un prodotto, di un sistema o di un fornitore di servizi, nonché applicazione delle capacità, sono attestazioni diverse.
- L’effetto giuridico è importante: una pubblicazione IEC o ISA non equivale a una norma armonizzata citata nella GUUE ai fini della presunzione di conformità al CRA.