安全产品开发
IEC 62443-4-1:2018 是面向产品供应商的安全开发部分。它关注用于开发、维护和退役 IACS 环境产品的生命周期过程。
安全开发生命周期是供应商过程声明
IEC 表示 IEC 62443-4-1 定义用于工业自动化和控制系统产品的安全开发生命周期要求。它适用于开发、维护和退役硬件、软件或固件的新过程或既有过程。它适用于产品开发者和维护者，而不是以集成商或用户身份工作的组织。
IEC 将生命周期描述为包括安全要求定义和安全设计。证据应把产品安全需求连接到设计决定、假设和预期用途。
生命周期还包括安全实现、编码指导、验证和确认。这使 4-1 成为可重复的过程声明，而不是一次性漏洞扫描。
IEC 公开材料列出缺陷管理、补丁管理和产品寿命结束。这些领域把开发生命周期连接到发布后的漏洞处理和支持。
实际声明因此是过程型声明：供应商能够证明安全活动可重复，并被应用到产品生命周期。只展示公司政策、孤立渗透测试或没有回连生命周期的缺陷日志，证明力更弱。
4-1 不能单独证明所有 IEC 62443 声明
IEC 62443-4-1 证据在许多产品供应商和认证语境中很重要，但它不能证明所有 IEC 62443 声明。它本身不证明组件满足 IEC 62443-4-2 技术要求，不证明控制系统满足 IEC 62443-3-3，也不证明已部署安装具有正确的 zones、conduits 和目标安全等级。
不是组件能力
组件能力需要相关 IEC 62443-4-2 范围、组件类型、接口和 SL-C(component) 声明。
不是系统风险结果
系统风险取决于 system under consideration、zones、conduits、运行假设和目标等级。
产品法规使用需要回到法律要求
当法律要求涉及安全设计、开发、漏洞处理、支持或生命周期控制时，IEC 62443-4-1 可以支持产品法规证据。它仍不替代法律。文件需要命名法律、产品、预期用途、安全语境、适用要求，以及 4-1 证据如何支持该要求。
- CRA：当前 CEN-CENELEC 工作把 EN IEC 62443-4-1:2018/A11:2026 描述为 CRA 对齐工作的一部分，但现行 2018 IEC 部分本身不是已在欧盟官方公报引用的 CRA 符合性推定声明。
- Machinery Regulation：4-1 可以支持防止 corruption 的开发过程证据，但机械安全要求仍是控制性法律要求。
- Certification：证书范围决定声明是过程能力评估、能力应用，还是组件能力声明的支持性引用。