Struktura serii IEC 62443 i zakresy odpowiedzialności
Sytance · Zaktualizowano
IEC 62443 dzieli obowiązki między organizacje opracowujące, integrujące, utrzymujące i eksploatujące systemy przemysłowe. Właściwa część zależy od pełnionej roli i od tego, czy ocena dotyczy procesu, systemu czy komponentu.
Podział ról
Główne role to właściciel zasobów, dostawca usług integracyjnych, dostawca usług utrzymania i dostawca produktu. ISAGCA wyjaśnia, że rola nie musi odpowiadać jednej organizacji. Jedna organizacja może pełnić kilka ról, a jedna rola może być podzielona między kilka organizacji.
Właściciel zasobów
Odpowiada za IACS i zazwyczaj eksploatuje IACS oraz kontrolowane urządzenia.
Dostawca usług integracyjnych
Projektuje, instaluje, konfiguruje, testuje i uruchamia rozwiązanie automatyki, a następnie przekazuje je odbiorcy.
Dostawca usług utrzymania
Świadczy usługi wsparcia i utrzymania rozwiązania automatyki po przekazaniu lub w jego otoczeniu.
Dostawca produktu
Opracowuje i wspiera produkty sprzętowe lub programowe, w tym systemy sterowania, urządzenia wbudowane, urządzenia hosta, urządzenia sieciowe i aplikacje programowe.
Główne części
Numer części zwykle wskazuje poziom deklaracji. Część 2 dotyczy głównie programów i procesów usługowych, część 3 — analizy systemu i wymagań systemowych, część 4 — rozwoju produktu i możliwości komponentów, a materiały z części 6 wspierają metodykę oceny.
IEC 62443-2-1:2024 dotyczy programu bezpieczeństwa właściciela zasobów dla eksploatowanego systemu IACS. IEC podaje, że pojęcie właściciela zasobów w tym kontekście obejmuje operatora. Przedmiotem są polityki i procedury dotyczące bezpieczeństwa IACS, a nie natywne funkcje techniczne, które musi już zawierać każdy starszy system.
Ta część jest często istotna, gdy pytanie dotyczy zarządzania przez eksploatowany zakład rolami, metodami oceny ryzyka, ograniczeniami aktualizacji, środkami kompensacyjnymi, obowiązkami dostawców i systemami o długim okresie użytkowania.
IEC 62443-2-4:2023 dotyczy procesów związanych z bezpieczeństwem, które dostawcy usług IACS mogą oferować właścicielowi zasobów podczas integracji i utrzymania rozwiązania automatyki. IEC opisuje te możliwości jako związane z polityką, procedurami, praktyką i personelem.
Ta część dotyczy procesów integratorów systemów i dostawców usług utrzymania. Możliwości produktu oraz program eksploatacyjny właściciela zasobów są oceniane na podstawie innych części.
IEC 62443-3-2:2020 ustanawia wymagania dotyczące określenia rozpatrywanego systemu, podziału go na strefy i kanały komunikacyjne, oceny ryzyka dla każdej strefy i kanału, ustalenia SL-T oraz udokumentowania wymagań bezpieczeństwa.
IEC 62443-3-3:2013 określa szczegółowe wymagania dotyczące systemu sterowania, powiązane z siedmioma podstawowymi wymaganiami. Stosuje się ją wraz z modelem stref i kanałów komunikacyjnych rozpatrywanego systemu przy ustalaniu docelowych poziomów bezpieczeństwa dla konkretnego zasobu.
IEC 62443-4-1:2018 dotyczy producenta i podmiotu utrzymującego produkty używane w IACS. IEC opisuje jej cykl życia jako obejmujący określanie wymagań bezpieczeństwa, bezpieczne projektowanie i wdrażanie, weryfikację i walidację, zarządzanie defektami i poprawkami oraz koniec cyklu życia produktu.
IEC 62443-4-2:2019 dotyczy komponentów IACS. Określa wymagania dla komponentów i poziomy możliwości w zakresie bezpieczeństwa komponentu zgodnie z siedmioma podstawowymi wymaganiami z IEC TS 62443-1-1.
IEC TS 62443-6-1:2024 to metodyka oceny zgodności z IEC 62443-2-4. Zgodnie z IEC wspiera powtarzalne i odtwarzalne wyniki oceny w działaniach związanych z oceną zgodności przez pierwszą, drugą lub trzecią stronę. Nie zastępuje wymagań 2-4.
Status źródeł
Przegląd opiera się na publicznych opisach IEC, ISA i ISAGCA. Szczegółowa ocena wymaga pełnego tekstu właściwej normy i określonego zakresu certyfikacji.
- Wydanie ma znaczenie: IEC wymienia IEC 62443-2-1 jako normę z 2024 r. oraz IEC 62443-2-4 jako normę z 2023 r., choć część istniejących materiałów certyfikacyjnych nadal odwołuje się do wydania z 2015 r. i AMD1:2017.
- Zakres oceny ma znaczenie: możliwości procesu, produktu, systemu i dostawcy usług oraz zastosowanie tych możliwości to różne deklaracje.
- Skutek prawny ma znaczenie: publikacja IEC lub ISA nie jest tym samym co norma zharmonizowana, której odniesienie opublikowano w Dzienniku Urzędowym na potrzeby domniemania zgodności z CRA.