IEC 62443-2-4: wymagania dla usługodawców
Sytance · Zaktualizowano
IEC 62443-2-4:2023 to część dotycząca programu bezpieczeństwa dostawcy usług. Obejmuje procesy związane z bezpieczeństwem, które dostawcy usług IACS mogą oferować właścicielowi zasobów podczas integracji i utrzymania rozwiązania automatyki. Nie jest normą dotyczącą wymagań dla komponentów ani własnym programem eksploatacyjnym właściciela zasobów.
Zakres dostawcy usług
Dostawcy usług IACS wykonują integrację, utrzymanie lub oba rodzaje prac. Dostawcą może być zewnętrzny usługodawca lub zespół wewnętrzny. Ta część normy jest przydatna, ponieważ decyzje dotyczące integracji i utrzymania mogą wzmacniać lub podważać założenia bezpieczeństwa, od których zależy właściciel zasobów.
Dostawca usług integracyjnych
Projektuje, instaluje, konfiguruje, testuje i uruchamia rozwiązanie automatyki oraz przekazuje je właścicielowi zgodnie z jego wymaganiami.
Dostawca usług utrzymania
Wspiera rozwiązanie automatyki podczas eksploatacji, w tym wykonuje zmiany, wspiera aktualizowanie i usuwanie problemów, zapewnia dostęp zdalny oraz realizuje inne działania utrzymaniowe.
Możliwości w zakresie integracji i utrzymania
IEC opisuje możliwości według 2-4 jako dotyczące polityki, procedur, praktyk i personelu. To ważna granica. Deklaracja dotycząca możliwości dostawcy usług powinna wykazywać, jak wykonuje on prace związane z bezpieczeństwem na rzecz właściciela zasobów, a nie tylko to, że sprzedaje bezpieczny produkt.
- planowanie bezpieczeństwa i podział obowiązków w ramach zamówionej usługi;
- bezpieczne prace inżynierskie, konfigurowanie, testowanie i przekazywanie rozwiązania podczas integracji;
- praktyki dotyczące dostępu zdalnego, kont, zdarzeń, kopii zapasowych, złośliwego oprogramowania, poprawek i podatności właściwe dla usługi;
- koordynacja z politykami i procedurami bezpieczeństwa IACS właściciela zasobów;
- kompetencje personelu i obsada projektu dotyczące świadczonej usługi.
Dostosowywanie wymagań za pomocą profili
IEC 62443-2-4:2023 dopuszcza profile, ponieważ nie każde wymaganie pasuje do każdej grupy branżowej, organizacji lub środowiska usługi. Profil może zawęzić zbiór wymagań, ale ogranicza także zakres deklaracji. Certyfikat lub ocenę opartą na profilu należy interpretować z uwzględnieniem profilu, zakresu usługi, wydania, poziomu dojrzałości i wyłączonych działań.
Profil
Określony podzbiór wymagań dostosowuje je do konkretnego środowiska lub kontekstu usługi.
Zakres usługi
Deklaracja powinna określać, jakie czynności integracyjne lub utrzymaniowe wykonuje dostawca.
Poziom dojrzałości
Deklaracja poziomu dojrzałości dotyczy procesu. Nie jest tym samym co poziom możliwości bezpieczeństwa komponentu.
Granice z innymi rolami
IEC 62443-2-4 łączy właściciela zasobów z dostawcą produktu. Dostawca usług może korzystać z informacji o produkcie, wymagań systemowych i polityk właściciela zasobów, ale zbiór wymagań dla dostawcy nadal dotyczy jego procesów.
- Nie zastępuje IEC 62443-2-1 w zakresie programu bezpieczeństwa IACS właściciela zasobów.
- Nie zastępuje IEC 62443-3-2 w zakresie oceny ryzyka systemu, stref, kanałów komunikacyjnych, SL-T i udokumentowanych wymagań.
- Nie zastępuje IEC 62443-3-3 w zakresie wymagań bezpieczeństwa systemu sterowania.
- Nie zastępuje IEC 62443-4-1 ani IEC 62443-4-2 w zakresie cyklu życia dostawcy produktu i deklaracji możliwości komponentu.
Dowody i zakres certyfikatu
Ocena na podstawie 2-4 określa usługę, koordynację z właścicielem zasobów, granice rozwiązania automatyki, właściwy profil i wydanie oraz wykonywane działania. Materiały ISASecure ACSSA traktują odpowiednią certyfikację 2-4 jako dowód, który może wnieść wkład w ocenę IACS, ale ocena badanego systemu IACS może nadal wymagać dodatkowych dowodów.
Wspiera dowody dotyczące systemu
Dowody dotyczące procesu dostawcy mogą pomóc w dokumentacji systemu, zwłaszcza w zakresie integracji, utrzymania i zarządzania zmianami.
Nie certyfikuje produktu
Produkt lub komponent nadal wymaga własnego zakresu, wersji, deklaracji możliwości i dowodów cyklu życia dostawcy.