ما هي الشهادة؟
IEC 62443 هي مجموعة من معايير الأمن السيبراني لأنظمة الأتمتة والتحكم الصناعية (IACS). وله ترتيب أولويات مختلف عن أمن تكنولوجيا المعلومات: في مجال التكنولوجيا التشغيلية، يأتي التوافر وسلامة العمليات قبل السرية. يوزع المعيار المسؤولية على ثلاثة أدوار — مالك الأصول ومتكامل الأنظمة ومورد المنتج — مع أجزاء منفصلة لكل دور. يوجد في وسطها نموذج المنطقة/القناة ومفهوم مستوى الأمان (SL 1-4).
لمن هو مطلوب؟
- مصنعي أنظمة التحكم الصناعية (PLC، DCS، SCADA)
- تكامل نظام الأتمتة
- مشغلو مرافق الطاقة والمياه والكيماويات والتصنيع
- مشغلي البنية التحتية الحيوية
- مزودو إنترنت الأشياء الصناعي وحلول المراقبة عن بعد
هل هو إلزامي؟
المعيار نفسه ليس إلزاميًا بشكل عام. ومع ذلك، فإن لوائح البنية التحتية الحيوية وأمن الشبكات (مثل NIS2 في الاتحاد الأوروبي) تفرض التزامات أمنية على المشغلين، ويتم الرجوع إلى المواصفة IEC 62443 في الوفاء بهذه الالتزامات. تعتمد الشهادة على الدور: يتم إجراء التقييم بموجب المواصفة IEC 62443-4-1/4-2 للمنتج، و62443-2-4 للمتكامل، و62443-2-1 لمالك الأصول.
نطاق المواصفة
- 62443-2-1 — مالك الأصل: برنامج الأمان ونظام الإدارة IACS
- 62443-2-4 — مزود الخدمة: متطلبات برنامج الأمان للمتكاملين
- 62443-3-2 — تصميم النظام: تقييم المخاطر، ونمذجة المنطقة/القناة، وتحديد مستوى الأمان المستهدف
- 62443-3-3 — متطلبات أمان النظام: المتطلبات الأساسية السبعة (FRs) ومستويات الأمان
- 62443-4-1 — دورة حياة تطوير المنتج الآمنة: نمذجة التهديدات، والتصميم الآمن والترميز، واختبار الثغرات الأمنية، وإدارة التصحيح، ونهاية الدعم
- 62443-4-2 — متطلبات أمان المكونات: المتطلبات الفنية للأجهزة المدمجة والأجهزة المضيفة وأجهزة الشبكة والتطبيقات
- المتطلبات الأساسية (FRs): التحكم في تحديد الهوية والمصادقة، والتحكم في الاستخدام، وسلامة النظام، وسرية البيانات، وتدفق البيانات المقيد، والاستجابة في الوقت المناسب للأحداث، وتوافر الموارد
- مستويات الأمان: SL 1 (عارض/مصادفة) — SL 4 (مهاجم مستهدف ذو موارد عالية)
عملية منح الشهادة
- 1التطبيق ووصف المنتجيتم تحديد عائلة المنتجات وقائمة الطرازات والمواصفات الفنية والسوق المستهدف. يصبح المسار القياسي وإصدار الشهادات المطبق واضحًا في هذه الخطوة.
- 2مراجعة الملف الفنيويتم فحص وثائق التصميم وقائمة المواد وشهادات المكونات الحرجة وتعليمات الاستخدام.
- 3اختبار المنتجيتم إجراء الاختبارات التي يتطلبها المعيار ذو الصلة. تقرير الاختبار هو الأساس الأساسي لقرار الشهادة.
- 4تدقيق المصنعإذا كان المخطط يتطلب ذلك، يتم التحقق من استمرارية التصنيع ومراقبة إنتاج المصنع (FPC) في الموقع.
- 5إصدار الشهادة والتأشيربمجرد التحقق من المطابقة، يتم إصدار الشهادة؛ يتم تطبيق قواعد وضع العلامات على المنتج والتعبئة والتغليف.
- 6متابعة عمليات التدقيقاعتمادًا على المخطط، يتم إجراء عمليات تدقيق دورية للمصنع و/أو اختبارات المتابعة على العينات المأخوذة من السوق.
مدة الصلاحية
تختلف فترة الصلاحية حسب المخطط: بعض شهادات المنتجات غير محددة وتعتمد على عمليات تدقيق دورية للمصنع، في حين تتطلب بعض المخططات (مثل علامات السوق القطرية) تجديدًا سنويًا أو لكل شحنة. يتطلب كل تغيير في تصميم المنتج مراجعة الشهادة.
المستندات المطلوبة
- قائمة نماذج المنتجات والمتغيرات
- الرسومات الفنية والرسوم البيانية وفاتورة المواد
- شهادات للمكونات الهامة
- تعليمات الاستخدام وتسمية العينة
- تقارير الاختبار الموجودة، إن وجدت
- تفاصيل موقع الإنتاج
تكلفة الشهادة
لا يوجد سعر قائمة ثابت؛ يتم حساب التكلفة بناءً على المتغيرات التالية وتقديمها كتابياً في عرض السعر.
- عدد النماذج والمتغيرات في عائلة المنتج
- نطاق الاختبار الذي يتطلبه المعيار المعمول به
- ما إذا كان التدقيق في المصنع مطلوبًا أم لا
- عدد الأسواق المستهدفة وما إذا كان كل منها يتطلب اختبارًا منفصلاً
- ما إذا كان يمكن قبول تقارير الاختبار الحالية
الاعتماد
يتم إصدار شهادة المنتج بموجب ISO/IEC 17065؛ يتم إجراء الاختبارات التي تشكل أساس الشهادة في مختبرات حاصلة على اعتماد ISO/IEC 17025. النطاقان منفصلان. يتم توفير الاعتراف بين هيئات الاعتماد من خلال اتفاقيات IAF و ILAC.
يختلف النطاق الذي يمكن تقديم هذا المخطط ضمنه حسب منتجكم ونشاطكم؛ ويتم تأكيده كتابياً في مرحلة عرض السعر.
النطاق والتفويضاتشهادات ذات صلة
الأسئلة الشائعة
أي جزء من المواصفة IEC 62443 ينطبق علي؟
ذلك يعتمد على دورك. إذا كنت شركة مصنعة للمنتج، فسيتم تطبيق 4-1 (عملية التطوير) و4-2 (متطلبات المكونات)؛ إذا كنت من تكامل الأنظمة، 2-4 و3-3؛ إذا كنت مشغل منشأة، فستأخذ الأولوية 2-1 و3-2. يتم تنظيم المعيار عمدا حسب الدور.
هل أحتاج إلى IEC 62443 إذا كان لدي بالفعل ISO/IEC 27001؟
نعم، إذا كان لديك بيئة تكنولوجية تشغيلية. تم تصميم ISO/IEC 27001 لتكنولوجيا المعلومات في المؤسسات؛ تأخذ المواصفة القياسية IEC 62443 في الاعتبار القيود المفروضة على أنظمة التحكم في الوقت الفعلي (عدم التسامح مع فترات التوقف عن العمل، والمعدات ذات العمر الطويل، والأجهزة غير القابلة للإصلاح). الاثنان يكملان بعضهما البعض.
من يحدد المستوى الأمني؟
يحدد مالك الأصل مستوى الأمان المستهدف (SL-T) لكل منطقة من خلال تقييم المخاطر بموجب 62443-3-2. يعلن مورد المنتج عن مستوى القدرة (SL-C) الذي يوفره المكون الخاص به؛ الاثنان بحاجة إلى التطابق.