IEC 62443-4-1: 보안 제품 개발

보안 개발 수명주기

IEC에 따르면 IEC 62443-4-1은 산업 자동화 및 제어 시스템용 제품의 보안 개발 수명주기 요구사항을 정의합니다. 새 프로세스와 기존 프로세스 모두에 적용되며, 하드웨어, 소프트웨어 또는 펌웨어의 개발, 유지보수 및 폐기를 다룹니다. 통합업체나 사용자 역할이 아니라 제품 개발자와 유지보수자에게 적용됩니다.

공급업체는 제품 수명주기 전반에 걸쳐 보안 활동이 일관되게 수행되는 방식을 입증해야 합니다. 정책, 시험 결과 및 결함 기록은 제품에 프로세스를 적용한 방법을 보여줄 때 평가를 뒷받침합니다.

프로세스 평가와 기술 평가

IEC 62443-4-1 증거는 많은 제품 공급업체 및 인증 상황에서 필요하지만, 모든 IEC 62443 관련 주장을 입증하지는 않습니다. 구성요소가 IEC 62443-4-2 기술 요구사항을 충족하는지, 제어 시스템이 IEC 62443-3-3을 충족하는지, 배포된 설치 환경에 적절한 존, 컨듀잇 및 목표 보안 수준이 있는지를 단독으로 입증하지 않습니다.

제품 법규와 함께 사용

법적 요구사항이 보안 설계, 개발, 취약점 처리, 지원 또는 수명주기 통제에 관한 경우 IEC 62443-4-1은 제품 법규 증거를 뒷받침할 수 있습니다. 그러나 법률을 대체하지는 않습니다. 해당 파일에는 법률, 제품, 의도된 용도, 보안 맥락, 적용 요구사항 및 4-1 증거가 그 요구사항을 뒷받침하는 방식을 명시해야 합니다.

• CRA: CEN-CENELEC의 2025년 9월 9일 웨비나 자료는 CRA 정합성 작업의 일부로 EN IEC 62443-4-1:2018/A11:2026을 설명합니다. 그러나 현재의 2018 IEC 파트만으로는 유럽연합 관보에 인용된 CRA 적합성 추정 주장이 성립하지 않습니다.
• 기계류 규정: 4-1은 부패 방지 개발 프로세스 증거를 뒷받침할 수 있지만, 기계류 안전 요구사항은 여전히 적용되는 법적 요구사항입니다.
• 인증: 인증서 범위에 따라 주장이 프로세스 역량 평가인지, 역량 적용인지, 구성요소 역량 주장을 위한 보조 참고자료인지 결정됩니다.