Normas de cibersegurança industrial IEC 62443
Sytance · Atualizado
A IEC 62443 é uma série de normas de cibersegurança para sistemas de automação e controlo industrial (IACS). As diferentes partes abordam a organização operacional, os prestadores de serviços, a conceção do sistema, o desenvolvimento seguro de produtos e as capacidades dos componentes.
Normas para sistemas de controlo industrial
A série aborda os sistemas de automação e controlo industrial ao longo do respetivo ciclo de vida. Não é apenas uma norma de dispositivos nem apenas uma linha de base de segurança de rede. A mesma instalação pode necessitar de registos do programa de segurança do proprietário do ativo, dos serviços prestados, da conceção do sistema e dos produtos fornecidos.
Funções e âmbito
Um erro comum é afirmar simplesmente que um produto, serviço ou instalação está em conformidade com a IEC 62443. Uma declaração de conformidade tem de identificar a função, a parte da norma, a edição e o âmbito da avaliação.
Proprietário do ativo
É responsável pelo ambiente operacional, pelas políticas, pelas decisões de risco e por muitos controlos ao nível da instalação.
Projetista de sistemas
Define o limite do sistema, as zonas, os conduítes, os requisitos e os níveis de segurança-alvo.
Fornecedor de produtos
Fornece evidências de desenvolvimento seguro e de capacidades dos componentes para os produtos fornecidos.
Prestador de serviços
Demonstra capacidades de integração, manutenção e serviços conexos dentro de um perfil definido.
Principais partes utilizadas na prática
As seis partes abaixo são pontos de partida comuns. Os respetivos requisitos aplicam-se a responsabilidades e fases diferentes do ciclo de vida dos IACS.
IEC 62443-2-1
Programa de segurança do proprietário do ativo para um IACS em funcionamento.
IEC 62443-2-4
Capacidades dos prestadores de serviços para integração e manutenção.
IEC 62443-3-2
Avaliação dos riscos do sistema, zonas, conduítes e níveis de segurança-alvo.
IEC 62443-3-3
Requisitos de segurança do sistema e níveis de segurança.
IEC 62443-4-1
Ciclo de vida de desenvolvimento seguro de produtos para fornecedores de produtos.
IEC 62443-4-2
Requisitos técnicos das capacidades de segurança para componentes IACS.
Zonas, conduítes e níveis de segurança
A avaliação do sistema começa normalmente pela definição do sistema em consideração, das suas zonas e dos seus conduítes e, em seguida, pela avaliação dos riscos. Os níveis de segurança exprimem depois uma capacidade-alvo ou alcançada num âmbito definido; não devem ser utilizados como rótulos de marketing vagos para produtos.
Certificação e legislação de produtos
Os regimes de certificação e a legislação de produtos utilizam a IEC 62443 de formas diferentes. Um certificado pode demonstrar capacidades de processo, componente, sistema ou serviço dentro do âmbito declarado. A conformidade com a legislação de produtos continua a depender da legislação, do produto, do requisito, da edição e da via baseada numa norma reconhecida.