IEC 62443-2-4: requisiti per i fornitori di servizi

Ambito dei fornitori di servizi

I fornitori di servizi IACS svolgono attività di integrazione, manutenzione o entrambe. Il fornitore può essere esterno o un team interno. Questa parte è utile perché le decisioni di integrazione e manutenzione possono rafforzare o compromettere le ipotesi di sicurezza da cui dipende il proprietario degli asset.

Capacità di integrazione e manutenzione

IEC descrive le capacità 2-4 come relative a politiche, procedure, prassi e personale. Questo confine è importante. Un’attestazione delle capacità del fornitore di servizi dovrebbe dimostrare come il fornitore svolge attività correlate alla sicurezza per il proprietario degli asset, non soltanto che vende un prodotto sicuro.

• pianificazione della sicurezza e responsabilità per il servizio contrattualizzato;
• attività di ingegneria sicura, configurazione, test e consegna durante l’integrazione;
• prassi pertinenti al servizio per accesso remoto, account, eventi, backup, malware, patch e vulnerabilità;
• coordinamento con le politiche e le procedure di sicurezza IACS del proprietario degli asset;
• competenza del personale e assegnazione delle risorse al progetto per il servizio fornito.

Adattamento dei requisiti mediante profili

IEC 62443-2-4:2023 consente l’uso di profili perché non tutti i requisiti si applicano a ogni gruppo industriale, organizzazione o ambiente di servizio. Un profilo può restringere il insieme di requisiti, ma restringe anche l’attestazione. Un certificato o una valutazione basati su un profilo dovrebbero essere letti considerando il profilo, l’ambito del servizio, l’edizione, il livello di maturità e le attività escluse.

Confini rispetto agli altri ruoli

IEC 62443-2-4 si colloca tra il proprietario degli asset e il fornitore del prodotto. Il fornitore può utilizzare informazioni sul prodotto, requisiti di sistema e politiche del proprietario degli asset, ma l’insieme dei requisiti per il fornitore di servizi continua a riguardare i suoi processi.

• Non sostituisce IEC 62443-2-1 per il programma di sicurezza IACS del proprietario degli asset.
• Non sostituisce IEC 62443-3-2 per la valutazione dei rischi di sistema, le zone, i condotti, lo SL-T e i requisiti documentati.
• Non sostituisce IEC 62443-3-3 per i requisiti di sicurezza del sistema di controllo.
• Non sostituisce IEC 62443-4-1 o IEC 62443-4-2 per le attestazioni sul ciclo di vita del fornitore del prodotto e sulla capacità dei componenti.

Evidenze e ambito del certificato

Una valutazione 2-4 identifica il servizio, il coordinamento con il proprietario degli asset, il confine della soluzione di automazione, il profilo e l’edizione applicabili e le attività svolte. Il materiale ACSSA di ISASecure considera una certificazione 2-4 adeguata come evidenza che può contribuire a una valutazione IACS, ma per l’IACS oggetto della valutazione potrebbero servire ulteriori evidenze.