IEC 62443 工業網絡安全標準
Sytance · 更新於
IEC 62443 是面向工業自動化和控制系統（IACS）的網絡安全標準系列。不同部分分別規定運行組織、服務提供方、系統設計、安全產品開發和組件能力的要求。
工業控制系統標準
該系列面向工業自動化和控制系統的全生命週期。它不只是設備標準，也不只是網絡安全基線。同一個現場可能需要同時提供資產所有者的安全計劃記錄、服務提供方的工作記錄、系統設計資料和供應商的產品資料。
角色和範圍
常見錯誤是簡單説某個產品、服務或工廠符合 IEC 62443。符合性聲明需要説明角色、標準部分、版本和評定範圍。
資產所有者
負責運行環境、政策、風險決策和許多現場級控制。
系統設計方
定義系統邊界、區域、通道、要求和目標安全等級。
產品供應商
提供所供應產品的安全開發記錄，以及證明組件安全能力的資料。
服務提供方
在所選要求子集（profile）和服務範圍內，説明集成、維護及相關服務能力。
實務中常用的主要部分
以下六個部分是常用的閲讀起點，分別對應 IACS 生命週期中的不同責任和工作階段。
IEC 62443-2-1
面向運行中 IACS 的資產所有者安全計劃。
IEC 62443-2-4
面向集成和維護的服務提供方能力。
IEC 62443-3-2
系統風險評估、區域、通道和目標安全等級。
IEC 62443-3-3
系統安全要求和安全等級。
IEC 62443-4-1
面向產品供應商的安全產品開發生命週期。
IEC 62443-4-2
面向 IACS 組件的技術安全能力要求。
區域、通道和安全等級
系統評估通常先明確受評系統，劃分區域和通道，再評估風險。安全等級説明該範圍內的目標能力或已達到的能力，不宜脱離評估範圍作為產品營銷標籤。
認證和產品法規
認證方案和產品法規使用 IEC 62443 的方式不同。證書可以在其聲明範圍內證明過程、組件、系統或服務能力。判斷產品是否符合法規，仍需核對適用法律、具體產品及要求、所用標準版本，以及法規是否認可相應標準。