Norme di cybersicurezza industriale IEC 62443
Sytance · Aggiornato
IEC 62443 è una serie di norme di cibersicurezza per i sistemi di automazione e controllo industriale (IACS). Le sue diverse parti riguardano l’organizzazione che gestisce il sistema, i fornitori di servizi, la progettazione dei sistemi, lo sviluppo sicuro dei prodotti e le capacità dei componenti.
Norme per i sistemi di controllo industriale
La serie riguarda i sistemi di automazione e controllo industriale lungo tutto il loro ciclo di vita. Non è soltanto una norma per dispositivi né soltanto una base di riferimento per la sicurezza di rete. Nello stesso sito possono essere necessarie registrazioni del programma di sicurezza del proprietario degli asset, dei servizi prestati, della progettazione del sistema e dei prodotti forniti.
Ruoli e ambito di applicazione
Un errore comune è affermare che un prodotto, un servizio o un impianto sia semplicemente conforme a IEC 62443. Una dichiarazione di conformità deve indicare il ruolo, la parte della norma, l’edizione e l’ambito della valutazione.
Proprietario degli asset
È responsabile dell’ambiente operativo, delle politiche, delle decisioni sui rischi e di molti controlli a livello di sito.
Progettista del sistema
Definisce i confini del sistema, le zone, i condotti, i requisiti e i livelli di sicurezza obiettivo.
Fornitore del prodotto
Fornisce prove dello sviluppo sicuro e delle capacità dei componenti per i prodotti forniti.
Fornitore di servizi
Dimostra capacità di integrazione, manutenzione e servizi correlati entro un profilo definito.
Parti principali di uso corrente
Le sei parti seguenti costituiscono punti di partenza comuni. I relativi requisiti si applicano a responsabilità e fasi diverse del ciclo di vita degli IACS.
IEC 62443-2-1
Programma di sicurezza del proprietario degli asset per un IACS in esercizio.
IEC 62443-2-4
Capacità dei fornitori di servizi per l’integrazione e la manutenzione.
IEC 62443-3-2
Valutazione dei rischi del sistema, zone, condotti e livelli di sicurezza obiettivo.
IEC 62443-3-3
Requisiti di sicurezza del sistema e livelli di sicurezza.
IEC 62443-4-1
Ciclo di vita dello sviluppo sicuro dei prodotti per i fornitori di prodotti.
IEC 62443-4-2
Requisiti di capacità tecnica di sicurezza per i componenti degli IACS.
Zone, condotti e livelli di sicurezza
La valutazione del sistema inizia di norma definendo il sistema oggetto della valutazione e le relative zone e i condotti, per poi valutare i rischi. I livelli di sicurezza esprimono quindi la capacità obiettivo o raggiunta entro un ambito definito; non devono essere utilizzati come etichetta commerciale generica per un prodotto.
Certificazione e legislazione sui prodotti
I sistemi di certificazione e le leggi sui prodotti utilizzano IEC 62443 in modi diversi. Un certificato può dimostrare la capacità di un processo, componente, sistema o servizio entro l’ambito dichiarato. La conformità alla legislazione sui prodotti dipende comunque dalla legge, dal prodotto, dal requisito, dall’edizione e dalla procedura basata su norme riconosciute.