IEC 62443 系列结构与责任分工
Sytance · 更新于
IEC 62443 按工业系统的开发、集成、维护和运行职责组织要求。选择标准部分时，需要明确组织承担的角色，以及评估针对的是过程、系统还是组件。
角色边界决定标准部分
主要角色包括资产所有者、集成服务提供方、维护服务提供方和产品供应商。ISAGCA 说明，角色不一定等同于组织。一个组织可以承担多个角色，一个角色也可以由多个组织分担。
资产所有者
对 IACS 负责，通常也是 IACS 和受控设备的运行方。
集成服务提供方
设计、安装、配置、测试、调试并移交自动化解决方案。
维护服务提供方
在移交前后，为自动化解决方案提供支持与维护。
产品供应商
开发和支持硬件或软件产品，包括控制系统、嵌入式设备、主机设备、网络设备和软件应用。
主要部分及其适用对象
从标准编号可以初步判断其适用对象：2 系列主要涉及安全计划和服务过程，3 系列涉及系统分析和系统要求，4 系列涉及产品开发和组件能力，6 系列涉及评价方法。
IEC 62443-2-1:2024 面向运行中的 IACS 资产所有者安全计划。该部分的资产所有者也包括运行方。它的主题是 IACS 安全的政策和程序，不是要求每个旧系统已经具备所有原生技术功能。
这一部分通常用于说明运营现场如何分配职责、评估风险、处理补丁安装限制和采用补偿措施，以及如何管理供应商和长期运行的系统。
IEC 62443-2-4:2023 面向 IACS 服务提供方在集成和维护自动化解决方案时可向资产所有者提供的安全相关过程。IEC 将这些能力描述为与政策、程序、实践和人员相关。
这一部分适用于系统集成商和维护服务提供方的工作过程。产品能力和资产所有者的运行安全计划由其他部分规定。
IEC 62443-3-2:2020 要求先确定受评系统，再划分区域和通道，逐项评估风险、确定目标安全等级（SL-T），并将相应的安全要求形成文件。
IEC 62443-3-3:2013 提供与七个基础要求相关的详细控制系统要求。应用时需结合受评系统的区域和通道划分，为具体资产确定目标安全等级。
IEC 62443-4-1:2018 适用于 IACS 产品的开发者和维护者。IEC 描述的生命周期包括安全要求定义、安全设计、安全实现、验证和确认、缺陷管理、补丁管理和产品寿命结束。
IEC 62443-4-2:2019 适用于 IACS 组件。它通过 IEC TS 62443-1-1 中的七个基础要求定义组件要求和组件安全能力等级。
IEC TS 62443-6-1:2024 是 IEC 62443-2-4 的评价方法。IEC 表示它支持第一方、第二方或第三方合格评定活动中可重复和可复现的评价结果。它不替代 2-4 的要求。
标准版本与法律效力
本概览依据 IEC、ISA 和 ISAGCA 的公开说明编写。详细评估需要查阅适用标准的完整文本，并确认具体认证范围。
- 版本会改变结论：IEC 将 IEC 62443-2-1 列为 2024 版，将 IEC 62443-2-4 列为 2023 版，而部分既有认证材料仍引用 2015 版和 AMD1:2017。
- 评估范围会改变结论：过程能力、产品能力、系统能力、服务提供方能力和能力应用是不同声明。
- 法律效果会改变结论：IEC 或 ISA 出版物不等同于 CRA 下已在欧盟官方公报引用并可产生符合性推定的协调标准。