IEC 62443-2-4: requisitos para prestadores de serviços

Âmbito dos prestadores de serviços

Os prestadores de serviços de IACS realizam atividades de integração, manutenção ou ambas. O prestador pode ser um fornecedor externo ou uma equipa interna. Esta parte é útil porque as decisões de integração e manutenção podem reforçar ou comprometer os pressupostos de segurança de que o proprietário do ativo depende.

Capacidades de integração e manutenção

A IEC descreve as capacidades da parte 2-4 como relacionadas com políticas, procedimentos, práticas e pessoal. Esta delimitação é importante. Uma alegação relativa à capacidade do prestador de serviços deve demonstrar como este executa trabalhos relacionados com a segurança para o proprietário do ativo, e não apenas que vende um produto seguro.

• planeamento da segurança e responsabilidades pelo serviço contratado;
• atividades de engenharia segura, configuração, testes e entrega durante a integração;
• práticas de acesso remoto, gestão de contas e eventos, cópias de segurança, proteção contra software malicioso, aplicação de correções e gestão de vulnerabilidades relevantes para o serviço;
• coordenação com as políticas e os procedimentos de segurança do IACS do proprietário do ativo;
• competência do pessoal e constituição da equipa responsável pelo serviço prestado.

Adaptação dos requisitos através de perfis

A IEC 62443-2-4:2023 permite a utilização de perfis porque nem todos os requisitos são adequados a todos os grupos industriais, organizações ou ambientes de serviço. Um perfil pode restringir o conjunto de requisitos, mas também restringe a alegação. Um certificado ou uma avaliação baseados num perfil devem ser interpretados tendo em conta o perfil, o âmbito do serviço, a edição, o nível de maturidade e as atividades excluídas.

Limites relativamente a outros papéis

A IEC 62443-2-4 situa-se entre o proprietário do ativo e o fornecedor do produto. O prestador pode utilizar informações sobre o produto, requisitos do sistema e políticas do proprietário do ativo, mas o conjunto de requisitos dos prestadores de serviços continua a dizer respeito aos processos do prestador.

• Não substitui a IEC 62443-2-1 para o programa de segurança do IACS em funcionamento do proprietário do ativo.
• Não substitui a IEC 62443-3-2 para a avaliação de riscos do sistema, as zonas, os conduítes, o SL-T e os requisitos documentados.
• Não substitui a IEC 62443-3-3 para os requisitos de segurança dos sistemas de controlo.
• Não substitui a IEC 62443-4-1 nem a IEC 62443-4-2 para alegações relativas ao ciclo de vida do fornecedor do produto e à capacidade do componente.

Âmbito das evidências e do certificado

Uma avaliação segundo a parte 2-4 identifica o serviço, a coordenação com o proprietário do ativo, o limite da Solução de Automação, o perfil e a edição aplicáveis e as atividades executadas. O material da certificação ISASecure ACSSA considera que uma certificação adequada segundo a parte 2-4 pode contribuir para uma avaliação de IACS, mas ainda poderão ser necessárias evidências adicionais relativas ao IACS em avaliação.