IEC 62443-3-3: requisiti dei sistemi di controllo
Sytance · Aggiornato
IEC 62443-3-3:2013 è la parte relativa ai requisiti dei sistemi di controllo. Si applica dopo aver definito il sistema oggetto di valutazione, le zone, i condotti e i livelli di sicurezza obiettivo.
Requisiti dei sistemi di controllo
IEC descrive IEC 62443-3-3 come un insieme di requisiti tecnici dettagliati per i sistemi di controllo associati ai sette requisiti fondamentali. Tali requisiti si applicano al sistema di controllo e ai relativi livelli di capacità di sicurezza. La valutazione di un singolo componente o di un processo del fornitore è un’attività distinta.
IEC 62443-3-3 utilizza requisiti per i sistemi di controllo e SL-C(control system). Un certificato di prodotto o componente può supportare il fascicolo del sistema, ma non sostituisce l’architettura, la configurazione e i controlli operativi del sistema.
IEC 62443-2-1 riguarda il programma di sicurezza del proprietario degli asset per un IACS in esercizio. IEC 62443-3-3 riguarda i requisiti tecnici dettagliati e i livelli di sicurezza dei sistemi di controllo.
IEC 62443-2-4 riguarda i processi dei fornitori di servizi per l’integrazione e la manutenzione. Tali processi possono contribuire all’applicazione della 3-3, ma da soli non dimostrano la conformità ai requisiti tecnici del sistema di controllo.
Collegamento con IEC 62443-3-2
IEC 62443-3-3 dipende dal modello di sistema creato tramite IEC 62443-3-2. Il lavoro 3-2 definisce il sistema oggetto di valutazione, lo suddivide in zone e condotti, valuta i rischi, stabilisce lo SL-T e documenta i requisiti di sicurezza. IEC 62443-3-3 fornisce poi la struttura dei requisiti di sistema utilizzata per esprimere e valutare la capacità richiesta.
Definire
Definire il sistema oggetto di valutazione e le zone e i condotti al suo interno o circostanti.
Valutare
Valutare i rischi per ciascuna zona e ciascun condotto e stabilire lo SL-T per il confine di sistema pertinente.
Specificare
Utilizzare IEC 62443-3-3 per esprimere i requisiti del sistema di controllo e SL-C(control system).
Questa sequenza evita un errore comune: selezionare requisiti 3-3 senza sapere a quale zona, condotto, asset, ambiente di minaccia o livello obiettivo debbano servire.
Evidenze di progettazione e installazione
Le evidenze di sistema richiedono di norma più della documentazione del prodotto. Dovrebbero descrivere l’architettura progettata o installata e la ripartizione delle responsabilità tra il proprietario degli asset, l’integratore, il fornitore di manutenzione e il fornitore del prodotto.
- confine del sistema ed elenco degli asset;
- modello di zone e condotti;
- percorsi di comunicazione e di accesso remoto;
- motivazione dei rischi e SL-T per ciascuna zona o ciascun condotto pertinenti;
- requisiti IEC 62443-3-3 selezionati e attestazione SL-C(control system);
- controlli tecnici e organizzativi implementati;
- evidenze sulle capacità di prodotti e componenti utilizzate nella progettazione;
- procedure operative, monitoraggio e responsabilità di manutenzione;
- evidenze di convalida della progettazione installata.
Evidenze dello stato installato
Configurazione, percorsi di rete, accesso remoto, account, monitoraggio, backup e procedure di manutenzione devono riflettere il sistema così come è stato realizzato o approvato.
Ambito della certificazione
La valutazione di sistema dovrebbe indicare se il certificato o la relazione copre la capacità, l’applicazione delle capacità o un ambito definito della soluzione.