IEC 62443-2-4：サービスプロバイダー要件

サービスプロバイダーの適用範囲

IACSサービスプロバイダーは、統合、保守、またはその両方を実施します。プロバイダーは外部サプライヤーの場合も、社内チームの場合もあります。統合や保守に関する判断によって、資産所有者が依拠するセキュリティ上の前提を強化することも、損なうこともあるため、このパートが役立ちます。

統合および保守の能力

IECは2-4の能力をポリシー、手順、実務、人員に関するものと説明しています。この境界は重要です。サービスプロバイダーの能力に関する主張では、安全な製品を販売しているというだけでなく、資産所有者向けのセキュリティ関連業務をどのように遂行するかを示す必要があります。

• 契約したサービスに関するセキュリティ計画と責任。
• 統合時の安全なエンジニアリング、設定、試験、引き渡し活動。
• 当該サービスに関係するリモートアクセス、アカウント、イベント、バックアップ、マルウェア、パッチ、脆弱性への対応実務。
• 資産所有者のIACSセキュリティポリシーおよび手順との連携。
• 提供サービスに必要な要員の力量およびプロジェクト配置。

プロファイルによる要件の適応

IEC 62443-2-4:2023では、すべての要件がすべての業界グループ、組織、サービス環境に適合するわけではないため、プロファイルの利用を認めています。プロファイルで要件を絞り込むことはできますが、主張の範囲も狭まります。プロファイルに基づく認証または評価では、プロファイル、サービス範囲、版、成熟度レベル、除外される活動を確認できるようにしてください。

他の役割との境界

IEC 62443-2-4は資産所有者と製品サプライヤーの間に位置します。プロバイダーは製品情報、システム要件、資産所有者のポリシーを利用することがありますが、サービスプロバイダー要件が対象とするのは引き続きプロバイダーのプロセスです。

• 資産所有者のIACSセキュリティプログラムに関するIEC 62443-2-1に代わるものではありません。
• システムリスク評価、ゾーン、コンジット、SL-T、文書化された要件に関するIEC 62443-3-2に代わるものではありません。
• 制御システムのセキュリティ要件に関するIEC 62443-3-3に代わるものではありません。
• 製品サプライヤーのライフサイクルとコンポーネント能力に関するIEC 62443-4-1またはIEC 62443-4-2に代わるものではありません。

証拠と認証範囲

2-4の評価では、サービス、資産所有者との連携、自動化ソリューションの境界、該当プロファイルと版、実施する活動を特定します。ISASecure ACSSAの資料では、適切な2-4認証はIACS評価に寄与する証拠となり得るとしていますが、評価対象のIACSについて追加の証拠が必要となる場合があります。