IEC 62443-4-2: requisitos dos componentes
Sytance · Atualizado
A IEC 62443-4-2:2019 é a parte relativa aos requisitos dos componentes. Define requisitos técnicos para componentes IACS e níveis de capacidade de segurança dos componentes através dos sete requisitos fundamentais.
Definição do componente
Um componente não corresponde à totalidade do IACS. A avaliação deve identificar o tipo de componente, a versão do produto, a utilização pretendida no IACS, as interfaces, os pressupostos, as funções excluídas e o nível SL-C(component) declarado. Estes detalhes determinam as utilizações e configurações às quais se aplica a capacidade avaliada.
Os dispositivos incorporados incluem controladores, PLC, acionamentos, gateways e dispositivos industriais dedicados fornecidos para utilização em IACS. O âmbito do componente deve indicar a versão do produto, as interfaces e a capacidade de segurança pretendida.
Os dispositivos de rede incluem comutadores industriais, routers, firewalls, gateways e produtos semelhantes que transportam ou restringem as comunicações IACS. As evidências do componente não substituem a conceção de conduítes.
Os dispositivos anfitriões incluem servidores, estações de trabalho, computadores industriais e plataformas semelhantes utilizadas para executar ou suportar funções IACS. A fronteira entre o anfitrião, o software instalado e o sistema configurado é muitas vezes o aspeto mais difícil.
As aplicações de software incluem ferramentas de engenharia, software HMI, historiadores, aplicações de controlo e software de suporte fornecido para utilização em IACS. O fornecedor do produto continua a ter de relacionar as evidências da IEC 62443-4-2 com o ciclo de vida de desenvolvimento seguro subjacente a essa versão.
Requisitos fundamentais
O material público da IEC enumera sete requisitos fundamentais utilizados pela IEC 62443-4-2. Estas famílias organizam os requisitos dos componentes e os níveis de capacidade; cada uma tem um significado técnico específico.
- controlo de identificação e autenticação (IAC);
- controlo da utilização (UC);
- integridade do sistema (SI);
- confidencialidade dos dados (DC);
- restrição do fluxo de dados (RDF);
- resposta atempada a eventos (TRE);
- disponibilidade dos recursos (RA).
O IAC é a família de requisitos fundamentais que diz respeito ao reconhecimento de utilizadores, processos de software, dispositivos e outros sujeitos antes da concessão de acesso.
O UC diz respeito à utilização autorizada depois de conhecida a identidade. Distingue-se da identificação, pois a questão é o que o sujeito autenticado pode fazer.
O SI diz respeito à proteção contra alterações não autorizadas, código malicioso e perda de integridade do componente ou da função do sistema de controlo.
O DC diz respeito à proteção das informações contra divulgação não autorizada. Não significa que todos os dados IACS tenham o mesmo grau de confidencialidade.
O RDF diz respeito à limitação dos fluxos de dados e dos percursos de comunicação. Ao nível do sistema, relaciona-se normalmente com zonas, conduítes e segmentação de rede.
O TRE diz respeito às capacidades de deteção, comunicação e resposta a eventos. Deve ser interpretado tendo em conta as funções reais de monitorização e registo do componente.
O RA diz respeito à preservação dos recursos necessários para que o componente ou sistema execute as respetivas funções de segurança e controlo previstas.
Limite de capacidade
A IEC indica que a IEC 62443-4-2 diz respeito ao SL-C(component), não ao SL-T nem ao SL-A. Esta distinção é importante. Um componente pode ter um nível de capacidade declarado, mas um sistema instalado continua a necessitar de um sistema em consideração, zonas, conduítes, avaliação de riscos, procedimentos operacionais e validação da configuração real.
Desenvolvimento seguro segundo a IEC 62443-4-1
As evidências do componente são mais sólidas quando o fornecedor também demonstra que o produto foi desenvolvido e mantido segundo o ciclo de vida da IEC 62443-4-1.
Integração no sistema
O projetista do sistema continua a decidir em que zona é colocado o componente, que conduítes utiliza e que controlos o rodeiam.
O material do webinar CEN-CENELEC de 9 de setembro de 2025 descreve trabalhos sobre a EN IEC 62443-4-2:2019/A11:2026 para alinhamento com o CRA, incluindo critérios de aplicabilidade e artefactos de avaliação. Esse trabalho europeu planeado não deve ser confundido com uma declaração de que todos os certificados 4-2 existentes resultam de uma norma harmonizada para o CRA.