IEC 62443 工业网络安全标准
Sytance · 更新于
IEC 62443 是面向工业自动化和控制系统（IACS）的网络安全标准系列。不同部分分别规定运行组织、服务提供方、系统设计、安全产品开发和组件能力的要求。
工业控制系统标准
该系列面向工业自动化和控制系统的全生命周期。它不只是设备标准，也不只是网络安全基线。同一个现场可能需要同时提供资产所有者的安全计划记录、服务提供方的工作记录、系统设计资料和供应商的产品资料。
角色和范围
常见错误是简单说某个产品、服务或工厂符合 IEC 62443。符合性声明需要说明角色、标准部分、版本和评定范围。
资产所有者
负责运行环境、政策、风险决策和许多现场级控制。
系统设计方
定义系统边界、区域、通道、要求和目标安全等级。
产品供应商
提供所供应产品的安全开发记录，以及证明组件安全能力的资料。
服务提供方
在所选要求子集（profile）和服务范围内，说明集成、维护及相关服务能力。
实务中常用的主要部分
以下六个部分是常用的阅读起点，分别对应 IACS 生命周期中的不同责任和工作阶段。
IEC 62443-2-1
面向运行中 IACS 的资产所有者安全计划。
IEC 62443-2-4
面向集成和维护的服务提供方能力。
IEC 62443-3-2
系统风险评估、区域、通道和目标安全等级。
IEC 62443-3-3
系统安全要求和安全等级。
IEC 62443-4-1
面向产品供应商的安全产品开发生命周期。
IEC 62443-4-2
面向 IACS 组件的技术安全能力要求。
区域、通道和安全等级
系统评估通常先明确受评系统，划分区域和通道，再评估风险。安全等级说明该范围内的目标能力或已达到的能力，不宜脱离评估范围作为产品营销标签。
认证和产品法规
认证方案和产品法规使用 IEC 62443 的方式不同。证书可以在其声明范围内证明过程、组件、系统或服务能力。判断产品是否符合法规，仍需核对适用法律、具体产品及要求、所用标准版本，以及法规是否认可相应标准。