IEC 62443-2-4：服务提供方要求

服务提供方及其工作范围

IACS 服务提供方承担集成、维护或两类工作，可以是外部供应商，也可以是内部团队。集成和维护的具体做法，可能使资产所有者赖以保证安全的条件得到维持，也可能破坏这些条件。

集成和维护过程

IEC 将 2-4 能力描述为与政策、程序、实践和人员相关。服务提供方能力声明应说明提供方如何为资产所有者执行安全相关工作，而不仅是说明提供方销售安全产品。

• 合同服务的安全规划和责任；
• 集成期间的安全工程、配置、测试和移交活动；
• 服务中采用的远程访问和账户管理、事件处置、备份、恶意软件防护、补丁与漏洞处理做法；
• 与资产所有者 IACS 安全政策和程序的协调；
• 提供该项服务所需的人员能力和项目人员安排。

通过 profile 选定适用要求

IEC 62443-2-4:2023 允许根据行业、组织或服务环境，选定适用的要求子集，称为 profile。基于 profile 的评估或认证只覆盖该子集，因此需要同时查看所选要求、服务范围、标准版本、成熟度等级和排除的活动。

与资产所有者及产品供应商的分工

服务提供方需要与资产所有者和产品供应商协作。执行 IEC 62443-2-4 时，可以使用产品信息、系统要求和资产所有者的政策，但评估对象仍是服务提供方的工作过程。

• 它不替代 IEC 62443-2-1 中资产所有者的 IACS 安全计划。
• 它不替代 IEC 62443-3-2 中系统风险评估、区域、通道、SL-T 和形成文件的要求。
• 它不替代 IEC 62443-3-3 中控制系统安全要求。
• 它不替代 IEC 62443-4-1 或 IEC 62443-4-2 中产品供应商生命周期和组件能力声明。

服务记录与认证范围

2-4 评估资料应说明提供了哪些服务、如何与资产所有者协作、自动化解决方案的范围，以及适用的 profile、标准版本和实际完成的活动。ISASecure ACSSA 材料把适当的 2-4 认证视为可支持 IACS 评价的证据，但被评价 IACS 仍可能需要补充证据。