IEC 62443-2-1: 자산 소유자 보안 프로그램

자산 소유자의 책임

IEC 62443-2-1:2024는 운영 중인 IACS를 관리하는 데 사용하는 정책과 절차를 다룹니다. 이전 자료에서는 이를 사이버보안 관리 시스템이라고 부르는 경우가 많았습니다. 두 경우 모두 시스템 전반에 걸쳐 자산 소유자가 보안을 지속적으로 관리하는 것이 주제입니다.

기술 역량에 관한 정책

IEC 62443-2-1:2024는 프로그램 책임과 내재된 기술 역량을 의도적으로 구분합니다. 자산 소유자는 관련 보안 주제에 관한 정책과 절차를 갖춰야 합니다. 이 표준이 오래된 제어기, 지원이 중단된 엔지니어링 워크스테이션 또는 장기간 운영되는 SCADA 시스템에 모든 최신 보안 기능을 갖추게 하는 것은 아닙니다.

• 프로그램이 적용되는 자산 목록 및 IACS 경계;
• IACS 운영, 유지보수 및 변경에 관한 역할과 책임;
• 가용성, 안전 및 패치 적용 기간 같은 IACS별 제약에 대한 위험 처리 결정;
• 취약점 처리, 접근, 백업, 원격 접근, 악성코드 방지 및 변경 관리를 위한 정책;
• 자산 소유자 프로그램에 맞춰 조정해야 하는 공급업체 및 서비스 제공업체의 책임.

레거시 시스템 및 보완 조치

IEC는 IACS의 수명이 20년을 넘을 수 있으며 일부 레거시 하드웨어나 소프트웨어는 더 이상 지원되지 않을 수 있음을 인정합니다. 위험 처리와 보완 조치는 누락된 역량을 보완할 수 있습니다. 평가에서는 이러한 조치를 제품에 내장된 기능과 구분해야 합니다.

다른 IEC 62443 파트와의 경계

자산 소유자 프로그램은 다른 IEC 62443 파트와 조정되지만 이를 대체하지는 않습니다. 같은 조직이 여러 역할을 맡더라도 주장은 올바른 파트와 평가 대상을 명시해야 합니다.

• IEC 62443-2-4는 통합 및 유지보수 활동에 대한 서비스 제공업체의 보안 프로세스를 다룹니다.
• IEC 62443-3-2는 정의된 고려 대상 시스템, 존, 컨듀잇, SL-T 및 문서화된 보안 요구사항에 대한 위험 평가를 다룹니다.
• IEC 62443-3-3은 제어 시스템 보안 요구사항 및 시스템 역량을 다룹니다.
• IEC 62443-4-1은 제품 공급업체의 보안 개발 수명주기를 다룹니다.
• IEC 62443-4-2는 IACS 구성요소의 기술적 구성요소 역량을 다룹니다.

제품 법규 적용은 별도입니다.

운영 통제, 사업장 책임 또는 장기간 운영되는 IACS 위험 관리에 관한 질문에서는 IEC 62443-2-1이 제품 법규 또는 고객 증거를 뒷받침할 수 있습니다. 그러나 제품 인증서, 구성요소 역량 수준 또는 CRA 적합성 추정을 그 자체로 생성하지는 않습니다. 법적 파일에는 적용 법률, 제품 또는 시스템 경계, 뒷받침할 요구사항 및 사용한 표준의 출처 상태가 여전히 필요합니다.