IEC 62443-2-1: programa de segurança do proprietário dos ativos
Sytance · Atualizado
A IEC 62443-2-1:2024 é a parte relativa ao programa de segurança do proprietário do ativo para um IACS em funcionamento. É uma norma sobre políticas e procedimentos destinados ao proprietário do ativo, incluindo o operador neste contexto. Trata da forma como a organização gere a segurança, incluindo os riscos de sistemas legados com capacidades técnicas limitadas.
Responsabilidades do proprietário do ativo
A IEC 62443-2-1:2024 aborda as políticas e os procedimentos utilizados para gerir um IACS em funcionamento. Em documentação anterior, este conceito é frequentemente designado por sistema de gestão da cibersegurança. Em ambos os casos, o tema é a gestão contínua da segurança do sistema pelo proprietário do ativo.
Proprietário do ativo e operador
O âmbito da parte 2-1 é a organização responsável pelo IACS em funcionamento. A descrição pública da IEC de 2024 inclui o operador neste contexto.
Programa de segurança
O programa define políticas e procedimentos para o funcionamento seguro, o tratamento de riscos, as responsabilidades, a monitorização e o controlo contínuo.
IACS em funcionamento
O objeto é um sistema de automação e controlo industrial no seu contexto operacional, incluindo pessoas e processos de trabalho.
Políticas em função das capacidades técnicas
A IEC 62443-2-1:2024 distingue deliberadamente a responsabilidade pelo programa das capacidades técnicas nativas. O proprietário do ativo necessita de políticas e procedimentos para os temas de segurança relevantes. A norma não transforma um controlador antigo, uma estação de engenharia sem suporte ou um sistema SCADA de longa duração num produto que já disponha de todas as funcionalidades de segurança modernas.
- o inventário de ativos e o limite do IACS abrangidos pelo programa;
- os papéis e as responsabilidades pelo funcionamento, manutenção e alteração do IACS;
- as decisões de tratamento de riscos relativas a limitações específicas do IACS, como disponibilidade, segurança e períodos de aplicação de correções;
- as políticas relativas ao tratamento de vulnerabilidades, acesso, cópias de segurança, acesso remoto, proteção contra software malicioso e controlo de alterações;
- as responsabilidades dos fornecedores e prestadores de serviços que têm de estar alinhadas com o programa do proprietário do ativo.
Sistemas legados e medidas compensatórias
A IEC reconhece que um IACS pode ter uma vida útil superior a vinte anos e que algum hardware ou software legado pode já não ter suporte. O tratamento de riscos e as medidas compensatórias podem responder a capacidades em falta. A avaliação deve distinguir essas medidas das funções incorporadas no produto.
Componentes sem suporte
A falta de suporte para software ou a indisponibilidade de ferramentas de cópia de segurança altera a forma como o proprietário do ativo gere os riscos. O programa tem de abordar os limites daí resultantes em matéria de aplicação de correções ou recuperação.
Medidas compensatórias
As medidas compensatórias têm de fazer parte do programa quando a capacidade técnica nativa não existe ou não pode ser utilizada sem um impacto operacional inaceitável.
Limites relativamente a outras partes da IEC 62443
O programa do proprietário do ativo coordena-se com outras partes da IEC 62443, mas não as substitui. A mesma organização pode desempenhar vários papéis, mas a alegação continua a ter de indicar a parte e o objeto de avaliação corretos.
- A IEC 62443-2-4 diz respeito aos processos de segurança dos prestadores de serviços para atividades de integração e manutenção.
- A IEC 62443-3-2 diz respeito à avaliação de riscos de um sistema definido em análise, a zonas, conduítes, SL-T e requisitos de segurança documentados.
- A IEC 62443-3-3 diz respeito aos requisitos de segurança e à capacidade dos sistemas de controlo.
- A IEC 62443-4-1 diz respeito ao ciclo de vida de desenvolvimento seguro do fornecedor do produto.
- A IEC 62443-4-2 diz respeito à capacidade técnica dos componentes de IACS.
A delegação não transfere o âmbito
O proprietário do ativo pode recorrer a fornecedores, integradores e prestadores de serviços de manutenção para obter evidências e executar atividades, mas a alegação ao abrigo da parte 2-1 continua a dizer respeito ao programa de segurança do proprietário do ativo para o IACS.
A utilização no âmbito do direito dos produtos continua a ser distinta
A IEC 62443-2-1 pode apoiar evidências relativas ao direito dos produtos ou a requisitos dos clientes quando a questão envolve controlos operacionais, responsabilidades no local ou gestão dos riscos de IACS de longa duração. Por si só, não cria um certificado de produto, um nível de capacidade de componente nem uma presunção de conformidade com o CRA. Um processo de conformidade legal continua a necessitar da legislação aplicável, do limite do produto ou sistema, do requisito apoiado e do estado da fonte da norma utilizada.