Eisen voor dienstverleners volgens IEC 62443-2-4

Scope voor dienstverleners

IACS-dienstverleners voeren integratie, onderhoud of beide uit. De dienstverlener kan extern zijn of een intern team. Dit deel is nuttig omdat integratie- en onderhoudsbesluiten de beveiligingsaannames waarop de asset owner vertrouwt kunnen versterken of ondermijnen.

Integratie- en onderhoudscapaciteiten

IEC beschrijft de capaciteiten van 2-4 als beleid, procedures, praktijken en personeel. Die afbakening is belangrijk. Een claim over de capaciteit van een dienstverlener moet laten zien hoe deze beveiligingsgerelateerd werk voor de asset owner uitvoert, niet alleen dat de dienstverlener een beveiligd product verkoopt.

• beveiligingsplanning en verantwoordelijkheden voor de gecontracteerde dienst;
• veilige engineering-, configuratie-, test- en overdrachtsactiviteiten tijdens integratie;
• praktijken voor externe toegang, accounts, gebeurtenissen, back-ups, malware, patches en kwetsbaarheden die relevant zijn voor de dienst;
• afstemming op het IACS-beveiligingsbeleid en de procedures van de asset owner;
• competentie van personeel en projectbezetting voor de geleverde dienst.

Vereisten aanpassen met profielen

IEC 62443-2-4:2023 staat profielen toe, omdat niet elke eis past bij elke industriële groep, organisatie of dienstverleningsomgeving. Een profiel kan de verzameling vereisten beperken, maar beperkt ook de claim. Lees een profielgebaseerd certificaat of een beoordeling samen met het profiel, de dienstscope, editie, het volwassenheidsniveau en de uitgesloten activiteiten.

Afbakening ten opzichte van andere rollen

IEC 62443-2-4 bevindt zich tussen de asset owner en de productleverancier. De dienstverlener kan productinformatie, systeemvereisten en beleid van de asset owner gebruiken, maar de verzameling vereisten voor de dienstverlener betreft diens eigen processen.

• Deze norm vervangt IEC 62443-2-1 voor het IACS-beveiligingsprogramma van de asset owner niet.
• Deze norm vervangt IEC 62443-3-2 voor systeemrisicobeoordeling, zones, conduits, SL-T en gedocumenteerde vereisten niet.
• Deze norm vervangt IEC 62443-3-3 voor beveiligingsvereisten voor controlesystemen niet.
• Deze norm vervangt IEC 62443-4-1 of IEC 62443-4-2 voor claims over de levenscyclus van productleveranciers en componentcapaciteiten niet.

Bewijs en certificeringsscope

Een beoordeling volgens 2-4 identificeert de dienst, de afstemming met de asset owner, de grens van de automatiseringsoplossing, het toepasselijke profiel en de editie en de uitgevoerde activiteiten. ISASecure ACSSA-materiaal beschouwt geschikte 2-4-certificering als bewijs dat kan bijdragen aan een IACS-evaluatie, maar voor het te beoordelen IACS kan aanvullend bewijs nodig blijven.