Estrutura e responsabilidades da série IEC 62443
Sytance · Atualizado
A IEC 62443 distribui responsabilidades pelas organizações que desenvolvem, integram, mantêm e operam sistemas industriais. A parte adequada depende do papel e de a avaliação dizer respeito a um processo, a um sistema ou a um componente.
Distribuição de papéis
Os principais papéis são o proprietário do ativo, o prestador de serviços de integração, o prestador de serviços de manutenção e o fornecedor do produto. A ISAGCA explica que um papel não corresponde necessariamente a uma organização. Uma organização pode desempenhar vários papéis e um papel pode estar repartido por várias organizações.
Proprietário do ativo
Responsável pelo IACS e, normalmente, operador do IACS e dos equipamentos sob controlo.
Prestador de serviços de integração
Concebe, instala, configura, testa e coloca em serviço uma Solução de Automação, procedendo à sua entrega.
Prestador de serviços de manutenção
Presta serviços de suporte e manutenção a uma Solução de Automação após a entrega ou durante o respetivo processo.
Fornecedor do produto
Desenvolve e presta suporte a produtos de hardware ou software, incluindo sistemas de controlo, dispositivos incorporados, dispositivos anfitriões, dispositivos de rede e aplicações de software.
Principais partes
O número da parte revela, em geral, o nível a que se refere a alegação. A parte 2 diz respeito sobretudo a programas e processos de serviço; a parte 3, à análise e aos requisitos do sistema; a parte 4, ao desenvolvimento de produtos e à capacidade dos componentes; e os documentos da parte 6 apoiam a metodologia de avaliação.
A IEC 62443-2-1:2024 aborda o programa de segurança do proprietário do ativo para um IACS em funcionamento. A IEC indica que, neste contexto, o proprietário do ativo inclui o operador. O tema são as políticas e os procedimentos relativos à segurança do IACS, e não um conjunto de funcionalidades técnicas nativas que todos os sistemas legados já tenham de possuir.
Esta parte é frequentemente relevante quando se pergunta como um local em funcionamento gere papéis, métodos de avaliação de riscos, limitações à aplicação de correções, medidas compensatórias, responsabilidades dos fornecedores e sistemas de longa duração.
A IEC 62443-2-4:2023 aborda os processos relacionados com a segurança que os prestadores de serviços de IACS podem disponibilizar ao proprietário do ativo durante a integração e manutenção de uma Solução de Automação. A IEC descreve estas capacidades como relacionadas com políticas, procedimentos, práticas e pessoal.
Esta parte diz respeito aos processos dos integradores de sistemas e dos prestadores de serviços de manutenção. As capacidades dos produtos e o programa operacional do proprietário do ativo são avaliados ao abrigo de outras partes.
A IEC 62443-3-2:2020 estabelece requisitos para definir o sistema em análise, dividi-lo em zonas e conduítes, avaliar os riscos de cada zona e conduíte, estabelecer o SL-T e documentar os requisitos de segurança.
A IEC 62443-3-3:2013 apresenta requisitos detalhados para sistemas de controlo, associados aos sete requisitos fundamentais. É utilizada com as zonas e os conduítes do sistema em análise para determinar níveis de segurança alvo para um ativo específico.
A IEC 62443-4-1:2018 aplica-se aos responsáveis pelo desenvolvimento e pela manutenção de produtos utilizados em IACS. A IEC descreve o ciclo de vida como abrangendo a definição de requisitos de segurança, a conceção segura, a implementação segura, a verificação e validação, a gestão de defeitos, a gestão de correções e o fim de vida do produto.
A IEC 62443-4-2:2019 aplica-se a componentes de IACS. Define requisitos para componentes e níveis de capacidade de segurança dos componentes com base nos sete requisitos fundamentais da IEC TS 62443-1-1.
A IEC TS 62443-6-1:2024 é uma metodologia de avaliação da IEC 62443-2-4. A IEC afirma que apoia resultados de avaliação repetíveis e reproduzíveis em atividades de avaliação da conformidade de primeira, segunda ou terceira parte. Não substitui os requisitos da parte 2-4.
Estado das fontes
A visão geral baseia-se em descrições públicas da IEC, da ISA e da ISAGCA. Uma avaliação detalhada exige o texto integral da norma aplicável e a indicação do âmbito de certificação.
- A edição é importante: a IEC enumera a IEC 62443-2-1 como edição de 2024 e a IEC 62443-2-4 como edição de 2023, embora alguns materiais de certificação existentes ainda façam referência à edição de 2015 e à AMD1:2017.
- O âmbito da avaliação é importante: capacidade de processo, capacidade de produto, capacidade de sistema, capacidade do prestador de serviços e aplicação de capacidades são alegações distintas.
- O efeito jurídico é importante: uma publicação IEC ou ISA não equivale a uma norma harmonizada citada no JO para efeitos de presunção de conformidade com o CRA.