La IEC 62443 és una sèrie de normes que aborden la seguretat de la tecnologia operativa en sistemes d'automatització i control. La sèrie està dividida en diferents seccions i descriu aspectes tècnics i relacionats amb el procés de la seguretat dels sistemes d'automatització i control.
Història L'any 2002, la Societat Internacional d'Automatització (ISA), una societat professional d'enginyeria d'automatització i organització de desenvolupament d'estàndards (SDO) acreditada per l'ANSI, va establir un comitè d'estàndards (ISA99). Aquest comitè va desenvolupar una sèrie de diverses parts d'estàndards i informes tècnics que abordaven la ciberseguretat dels sistemes d'automatització i control. Aquests estàndards es van publicar inicialment com a estàndards ANSI/ISA-99 o ISA99.
Al voltant del 2010, ISA99 va enfortir la seva relació amb la Comissió Electrotècnica Internacional (IEC), cosa que va conduir al canvi de nom dels estàndards a ANSI/ISA-62443. El contingut disponible va ser enviat i utilitzat pels grups de treball de l'IEC. Des de llavors, la sèrie s'ha anomenat comunament IEC 62443.
Mentrestant, les associacions d'enginyeria alemanyes VDI i VDE van publicar les directrius VDI/VDE 2182 el 2011. Les directrius descriuen com gestionar la seguretat de la informació en entorns d'automatització industrial i també van ser presentades i utilitzades pels grups de treball de la IEC.
Situació actual La sèrie de normes IEC 62443 és mantinguda pel Grup de Treball 10 (IEC TC65 WG10) del Comitè Tècnic 65 de la Comissió Electrotècnica Internacional (IEC). El grup de treball de l'IEC i el comitè ISA99 continuen col·laborant, creant equips conjunts de lideratge i de projecte per desenvolupar les normes de la sèrie IEC 62443. La seva col·laboració integra els processos i procediments de les directives ISA i IEC, garantint l'alineació en el procés de desenvolupament.
Les normes resultants són publicades per ISA com a ANSI/ISA 62443 als Estats Units i per IEC com a IEC 62443 internacionalment. Per a qualsevol part de la sèrie, el contingut tècnic de les edicions ISA i IEC és idèntic quan ambdues organitzacions han acceptat el contingut.
Relació entre IEC i ISA La relació entre l'IEC i l'ISA en el desenvolupament de la sèrie IEC 62443 es caracteritza per funcions complementàries. L'IEC serveix com a organisme d'estandardització global responsable de la publicació i el manteniment de la sèrie IEC 62443, mentre que l'ISA aporta una important experiència tècnica, coneixements del sector i esborranys fonamentals a través del seu comitè ISA99.
L'ISA se centra principalment en el mercat nord-americà i publica normes sota la designació ANSI/ISA 62443. L'IEC, en canvi, garanteix l'adopció i l'harmonització globals de les normes com a IEC 62443.
Tot i que ambdues organitzacions col·laboren en la majoria d'estàndards, conserven la independència per desenvolupar i publicar estàndards per separat quan no s'arriba a un consens. Per exemple, l'IEC va desenvolupar i publicar l'IEC 62443-6-1 de manera independent sense la participació de l'ISA.
Aplicació industrial L'IEC ha aprovat la família de normes IEC 62443 com a "normes horitzontals". Això significa que quan experts en la matèria desenvolupen normes sectorials específiques per a la tecnologia operativa, les normes IEC 62443 s'han d'utilitzar com a base per als requisits que aborden la seguretat en aquestes normes. Aquest enfocament serveix per evitar la proliferació de requisits parcials i/o contradictoris per abordar la seguretat dels sistemes d'automatització i control en diversos sectors industrials on es despleguen la mateixa tecnologia o productes similars en llocs d'operació.
Estructura La sèrie de normes IEC 62443 Xarxes de comunicació industrials - Seguretat de xarxes i sistemes consta de diverses parts, que es divideixen en sis àrees:
General: Les parts d'aquesta categoria descriuen els termes, conceptes i models bàsics. Polítiques i procediments: Descriu principalment un sistema per gestionar la seguretat informàtica industrial. Sistema: Aquí es descriuen diverses especificacions per a les funcions de seguretat dels sistemes de control i automatització. Components i requisits: Aquí es descriuen els requisits per als processos de desenvolupament de productes per als components d'una solució d'automatització. Perfils: Aquesta secció té com a objectiu definir els requisits de ciberseguretat específics de la indústria i proporcionar un enfocament estructurat per implementar mesures basades en els perfils de ciberseguretat descrits a la norma IEC 62443-1-5. Avaluació: En aquesta secció es descriuen les metodologies d'avaluació que garanteixen que els resultats de l'avaluació siguin coherents i reproduïbles pel que fa als requisits de les parts individuals.
La taula següent enumera les parts de la sèrie de normes IEC 62443 publicades fins ara amb el seu estat i títol. EstàndardTítolEstatDescripcióIEC 62443-1-1Conceptes i modelsEspecificació tècnica, edició 1.0, juliol de 2009Aquesta norma introdueix el conjunt d'elements principals de ciberseguretat (per exemple, termes, figures, requisits i conceptes) que s'apliquen a tota la sèrie i, en particular, aquells que apareixen en dues o més parts de la sèrie.IEC 62443-1-5Esquema per a perfils de seguretat IEC 62443Especificació tècnica, edició 1.0, setembre de 2023IEC 62443-2-1Requisits del programa de seguretat per als propietaris d'actius de l'IACSEdició 2.0, 2024Aquesta part de la norma està dirigida als operadors de solucions d'automatització i defineix els requisits sobre com s'ha de considerar la seguretat durant el funcionament de les plantes (vegeu ISO/IEC 27001).IEC 62443-2-3Gestió de pegats a l'entorn IACSInforme tècnic, edició 1.0, juny de 2015IEC 62443-2-4Requisits per als proveïdors de serveis IACSEdició 2.0, desembre de 2023Aquesta part defineix els requisits ("capacitats") per als integradors. Aquests requisits es divideixen en 12 temes: garantia, arquitectura, sense fil, sistemes d'enginyeria de seguretat, gestió de la configuració, accés remot, gestió i registre d'esdeveniments, gestió d'usuaris, protecció contra programari maliciós, gestió de pegats, còpia de seguretat i recuperació, i personal de projecte.IEC 62443-3-1Tecnologies de seguretat per a sistemes d'automatització i control industrialInforme tècnic, edició 1.0, juliol de 2009IEC 62443-3-2Avaluació de riscos de seguretat i disseny de sistemesEdició 1.0, juny de 2020IEC 62443-3-3Requisits de seguretat del sistema i nivells de seguretatEdició 1.0, agost de 2013IEC 62443-4-1Requisits del cicle de vida del desenvolupament de productes segursEdició 1.0, gener de 2018Aquesta part defineix com hauria de ser un procés de desenvolupament de productes segur. Es divideix en vuit àrees ("Pràctiques"): gestió del desenvolupament, definició dels requisits de seguretat, disseny de solucions de seguretat, desenvolupament segur, proves de les funcions de seguretat, gestió de vulnerabilitats de seguretat, creació i publicació d'actualitzacions i documentació de les funcions de seguretat.IEC 62443-4-2Requisits tècnics de seguretat per als components de l'IACSEdició 1.0, febrer de 2019Aquesta part defineix els requisits tècnics per a productes o components. Igual que els requisits per a sistemes (Secció -3-3), els requisits es divideixen en 12 àrees temàtiques i hi fan referència. A més dels requisits tècnics, es defineixen les restriccions de seguretat dels components comuns (CCSC), que els components han de complir per complir amb la norma IEC 62443-4-2:
La CCSC 1 descriu que els components han de tenir en compte les característiques generals de seguretat del sistema en què s'utilitzen. La CCSC 2 especifica que els requisits tècnics que el component no pot complir per si mateix es poden complir mitjançant contramesures compensatòries a nivell de sistema (vegeu IEC 62443-3-3). Per a aquest propòsit, les contramesures s'han de descriure a la documentació del component. La CCSC 3 requereix que s'apliqui el principi de "privilegi mínim" al component. CCSC 4 requereix que el component estigui desenvolupat i sigui compatible amb processos de desenvolupament compatibles amb la norma IEC 62443-4-1.IEC 62443-6-1Metodologia d'avaluació de seguretat per a la norma IEC 62443-4-2Especificació tècnica, edició 1.0, març de 2024
Referències
Categoria:Seguretat informàtica Categoria:Estàndards de l'IEC