Opbouw en verantwoordelijkheden van de IEC 62443-reeks
Sytance · Bijgewerkt
IEC 62443 verdeelt verantwoordelijkheden over organisaties die industriële systemen ontwikkelen, integreren, onderhouden en bedienen. Welk deel van toepassing is, hangt af van de rol en de vraag of de beoordeling betrekking heeft op een proces, systeem of component.
Verdeling van rollen
De belangrijkste rollen zijn asset owner, integratiedienstverlener, onderhoudsdienstverlener en productleverancier. ISAGCA legt uit dat een rol niet noodzakelijk samenvalt met één organisatie. Eén organisatie kan meerdere rollen hebben en één rol kan over meerdere organisaties verdeeld zijn.
Asset owner
Verantwoordelijk voor het IACS en doorgaans de operator van het IACS en de apparatuur die het aanstuurt.
Integratiedienstverlener
Ontwerpt, installeert, configureert en test een automatiseringsoplossing, stelt deze in bedrijf en draagt deze over.
Onderhoudsdienstverlener
Ondersteunt en onderhoudt een automatiseringsoplossing na of rond de overdracht.
Productleverancier
Ontwikkelt en ondersteunt hardware- of softwareproducten, waaronder controlesystemen, ingebedde apparaten, hostapparaten, netwerkapparaten en softwaretoepassingen.
Belangrijkste delen
Het deelnummer geeft meestal het niveau van de claim aan. Deel 2 gaat hoofdzakelijk over programma’s en dienstverleningsprocessen, deel 3 over systeemanalyse en systeemvereisten, deel 4 over productontwikkeling en componentcapaciteit en materiaal van deel 6 ondersteunt evaluatiemethoden.
IEC 62443-2-1:2024 behandelt het beveiligingsprogramma van de asset owner voor een operationeel IACS. IEC geeft aan dat de asset owner in deze context de operator omvat. Het onderwerp is beleid en procedures rond IACS-beveiliging, niet een set ingebouwde technische functies die elk verouderd systeem al moet hebben.
Dit deel is vaak relevant bij de vraag hoe een operationele locatie rollen, risicomethoden, patchbeperkingen, compenserende maatregelen, leveranciersverantwoordelijkheden en langlevende systemen beheert.
IEC 62443-2-4:2023 behandelt beveiligingsgerelateerde processen die IACS-dienstverleners tijdens integratie en onderhoud van een automatiseringsoplossing aan een asset owner kunnen leveren. IEC beschrijft deze capaciteiten als beleid, procedures, praktijken en personeel.
Dit deel behandelt de processen van systeemintegrators en onderhoudsdienstverleners. Productcapaciteit en het bedrijfsprogramma van de asset owner worden in andere delen beoordeeld.
IEC 62443-3-2:2020 stelt vereisten vast voor het definiëren van het systeem in kwestie, de indeling ervan in zones en conduits, risicobeoordeling voor elke zone en conduit, het vaststellen van SL-T en het documenteren van beveiligingsvereisten.
IEC 62443-3-3:2013 bevat gedetailleerde vereisten voor controlesystemen die zijn gekoppeld aan de zeven fundamentele vereisten. De norm wordt gebruikt met de zones en conduits van het systeem in kwestie bij het vaststellen van beoogde beveiligingsniveaus voor een specifiek bedrijfsmiddel.
IEC 62443-4-1:2018 is van toepassing op de ontwikkelaar en onderhouder van producten voor IACS. Volgens IEC omvat de levenscyclus het definiëren van beveiligingsvereisten, veilig ontwerp en implementatie, verificatie en validatie, defectbeheer, patchbeheer en het einde van de productlevensduur.
IEC 62443-4-2:2019 is van toepassing op IACS-componenten. De norm definieert componentvereisten en beveiligingscapaciteitsniveaus voor componenten aan de hand van de zeven fundamentele vereisten uit IEC TS 62443-1-1.
IEC TS 62443-6-1:2024 is een evaluatiemethode voor IEC 62443-2-4. Volgens IEC ondersteunt deze herhaalbare en reproduceerbare evaluatieresultaten bij conformiteitsbeoordelingen door de eerste, tweede of derde partij. De methode vervangt de vereisten van 2-4 niet.
Bronstatus
Dit overzicht volgt openbare beschrijvingen van IEC, ISA en ISAGCA. Voor een gedetailleerde beoordeling zijn de volledige tekst van de toepasselijke norm en de vermelde certificeringsscope nodig.
- De editie is van belang: IEC vermeldt IEC 62443-2-1 als editie 2024 en IEC 62443-2-4 als editie 2023, terwijl sommige bestaande certificeringsdocumenten nog verwijzen naar 2015 en AMD1:2017.
- De beoordelingsscope is van belang: procescapaciteit, productcapaciteit, systeemcapaciteit, capaciteit van een dienstverlener en toepassing van capaciteiten zijn verschillende claims.
- De rechtsgevolgen zijn van belang: een IEC- of ISA-publicatie is niet hetzelfde als een in het Publicatieblad aangehaalde geharmoniseerde norm voor een vermoeden van overeenstemming met de CRA.