IEC 62443-2-4：服務提供方要求

服務提供方及其工作範圍

IACS 服務提供方承擔集成、維護或兩類工作，可以是外部供應商，也可以是內部團隊。集成和維護的具體做法，可能使資產所有者賴以保證安全的條件得到維持，也可能破壞這些條件。

集成和維護過程

IEC 將 2-4 能力描述為與政策、程序、實踐和人員相關。服務提供方能力聲明應説明提供方如何為資產所有者執行安全相關工作，而不僅是説明提供方銷售安全產品。

• 合同服務的安全規劃和責任；
• 集成期間的安全工程、配置、測試和移交活動；
• 服務中採用的遠程訪問和賬户管理、事件處置、備份、惡意軟件防護、補丁與漏洞處理做法；
• 與資產所有者 IACS 安全政策和程序的協調；
• 提供該項服務所需的人員能力和項目人員安排。

通過 profile 選定適用要求

IEC 62443-2-4:2023 允許根據行業、組織或服務環境，選定適用的要求子集，稱為 profile。基於 profile 的評估或認證只覆蓋該子集，因此需要同時查看所選要求、服務範圍、標準版本、成熟度等級和排除的活動。

與資產所有者及產品供應商的分工

服務提供方需要與資產所有者和產品供應商協作。執行 IEC 62443-2-4 時，可以使用產品信息、系統要求和資產所有者的政策，但評估對象仍是服務提供方的工作過程。

• 它不替代 IEC 62443-2-1 中資產所有者的 IACS 安全計劃。
• 它不替代 IEC 62443-3-2 中系統風險評估、區域、通道、SL-T 和形成文件的要求。
• 它不替代 IEC 62443-3-3 中控制系統安全要求。
• 它不替代 IEC 62443-4-1 或 IEC 62443-4-2 中產品供應商生命週期和組件能力聲明。

服務記錄與認證範圍

2-4 評估資料應説明提供了哪些服務、如何與資產所有者協作、自動化解決方案的範圍，以及適用的 profile、標準版本和實際完成的活動。ISASecure ACSSA 材料把適當的 2-4 認證視為可支持 IACS 評價的證據，但被評價 IACS 仍可能需要補充證據。