IEC 62443-2-4: 서비스 제공자 요구사항

서비스 제공업체의 범위

IACS 서비스 제공업체는 통합, 유지보수 또는 두 업무 모두를 수행합니다. 제공업체는 외부 공급업체일 수도 있고 내부 팀일 수도 있습니다. 통합 및 유지보수 결정은 자산 소유자가 의존하는 보안 가정을 강화하거나 약화할 수 있으므로 이 파트가 유용합니다.

통합 및 유지보수 역량

IEC는 2-4 역량을 정책, 절차, 관행 및 인력과 관련된 것으로 설명합니다. 이 경계는 중요합니다. 서비스 제공업체 역량 주장은 보안 제품을 판매한다는 사실만이 아니라 제공업체가 자산 소유자를 위해 보안 관련 업무를 수행하는 방법을 보여줘야 합니다.

• 계약된 서비스에 관한 보안 계획 및 책임;
• 통합 중 보안 엔지니어링, 구성, 시험 및 인계 활동;
• 서비스와 관련된 원격 접근, 계정, 이벤트, 백업, 악성코드, 패치 및 취약점 관리 관행;
• 자산 소유자의 IACS 보안 정책 및 절차와의 조정;
• 제공 서비스에 필요한 인력 역량 및 프로젝트 배치.

프로파일을 통한 요구사항 조정

모든 요구사항이 모든 산업 그룹, 조직 또는 서비스 환경에 맞는 것은 아니므로 IEC 62443-2-4:2023은 프로파일을 허용합니다. 프로파일은 요구사항 집합을 좁힐 수 있지만 주장 범위도 좁아집니다. 프로파일 기반 인증서 또는 평가는 프로파일, 서비스 범위, 판, 성숙도 수준 및 제외된 활동을 확인하며 읽어야 합니다.

다른 역할과의 경계

IEC 62443-2-4는 자산 소유자와 제품 공급업체 사이에 위치합니다. 제공업체는 제품 정보, 시스템 요구사항 및 자산 소유자 정책을 활용할 수 있지만, 서비스 제공업체 요구사항 집합은 여전히 제공업체의 프로세스에 관한 것입니다.

• 자산 소유자의 IACS 보안 프로그램에 적용되는 IEC 62443-2-1을 대체하지 않습니다.
• 시스템 위험 평가, 존, 컨듀잇, SL-T 및 문서화된 요구사항을 다루는 IEC 62443-3-2를 대체하지 않습니다.
• 제어 시스템 보안 요구사항을 다루는 IEC 62443-3-3을 대체하지 않습니다.
• 제품 공급업체 수명주기 및 구성요소 역량 주장을 다루는 IEC 62443-4-1 또는 IEC 62443-4-2를 대체하지 않습니다.

증거 및 인증서 범위

2-4 평가는 서비스, 자산 소유자와의 조정, 자동화 솔루션 경계, 해당 프로파일과 판 및 수행 활동을 식별합니다. ISASecure ACSSA 자료는 적절한 2-4 인증이 IACS 평가에 기여할 수 있는 증거라고 보지만, 평가 대상 IACS에 대해서는 추가 증거가 필요할 수 있습니다.