Ciberseguridad de la automatización industrial (IEC 62443) — certificación

IEC 62443 es una familia de estándares de ciberseguridad para sistemas de control y automatización industrial (IACS). Tiene un orden de prioridad diferente al de la seguridad informática — en la tecnología operativa, la disponibilidad y la seguridad de los procesos están por delante de la confidencialidad. El estándar distribuye la responsabilidad entre tres roles (propietario de activos, integrador de sistemas y proveedor de productos) con partes separadas para cada rol. En su centro se encuentran el modelo de zona/conducto y el concepto de nivel de seguridad (SL 1-4).

• Fabricantes de sistemas de control industrial (PLC, DCS, SCADA)
• Integradores de sistemas de automatización
• Operadores de instalaciones de energía, agua, productos químicos y de fabricación.
• Operadores de infraestructuras críticas
• Proveedores de IoT industrial y soluciones de monitorización remota

La norma en sí no suele ser obligatoria. Sin embargo, las regulaciones de infraestructura crítica y seguridad de red (por ejemplo, NIS2 en la UE) imponen obligaciones de seguridad a los operadores, y se hace referencia a IEC 62443 para cumplir con estas obligaciones. La certificación se basa en roles: la evaluación se lleva a cabo según IEC 62443-4-1/4-2 para un producto, 62443-2-4 para un integrador y 62443-2-1 para un propietario de activos.

• 62443-2-1 — Propietario del activo: el programa de seguridad y el sistema de gestión IACS
• 62443-2-4 — Proveedor de servicios: requisitos del programa de seguridad para integradores
• 62443-3-2 — Diseño del sistema: evaluación de riesgos, modelado de zonas/conductos, determinación del nivel de seguridad objetivo
• 62443-3-3 — Requisitos de seguridad del sistema: los siete requisitos fundamentales (FR) y niveles de seguridad
• 62443-4-1 — ciclo de vida de desarrollo de productos seguro: modelado de amenazas, diseño y codificación seguros, pruebas de vulnerabilidad, gestión de parches, fin del soporte
• 62443-4-2 — Requisitos de seguridad de los componentes: requisitos técnicos para dispositivos integrados, dispositivos host, dispositivos de red y aplicaciones
• Requisitos fundamentales (FR): control de identificación y autenticación, control de uso, integridad del sistema, confidencialidad de los datos, flujo de datos restringido, respuesta oportuna a eventos, disponibilidad de recursos
• Niveles de seguridad: SL 1 (casual/coincidente) — SL 4 (un atacante dirigido con muchos recursos)

1. 1Aplicación y descripción del productoSe determina la familia de productos, lista de modelos, especificaciones técnicas y mercado objetivo. La norma aplicable y la ruta de certificación quedan claras en este paso.
2. 2Revisión de expediente técnicoSe examinan los documentos de diseño, la lista de materiales, los certificados de componentes críticos y las instrucciones de uso.
3. 3Pruebas de productosSe realizan los ensayos que exige la norma correspondiente. El informe de prueba es la base fundamental para la decisión de certificación.
4. 4Auditoría de fábricaSi el esquema lo requiere, se verifica en sitio la continuidad de la fabricación y el control de producción en fábrica (FPC).
5. 5Expedición del Certificado y MarcadoUna vez verificada la conformidad, se emite el certificado; Se aplican las reglas de marcado del producto y embalaje.
6. 6Auditorías de seguimientoDependiendo del esquema, se realizan auditorías periódicas de fábrica y/o pruebas de seguimiento de muestras tomadas del mercado.

El período de validez varía según el esquema: algunos certificados de productos son indefinidos y dependen de auditorías periódicas de fábrica, mientras que algunos esquemas (por ejemplo, marcas de mercado de países) requieren una renovación anual o por envío. Cada cambio de diseño del producto requiere la revisión del certificado.

• La lista de modelos y variantes de productos.
• Dibujos técnicos, diagramas y lista de materiales.
• Certificados para componentes críticos.
• Las instrucciones de uso y una etiqueta de muestra.
• Informes de prueba existentes, si los hubiera
• Detalles del sitio de producción

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

• El número de modelos y variantes de la familia de productos.
• El alcance de la prueba que requiere la norma aplicable.
• Si se requiere una auditoría de fábrica
• El número de mercados objetivo y si cada uno requiere pruebas por separado.
• Si se pueden aceptar los informes de prueba existentes

La certificación del producto se realiza bajo ISO/IEC 17065; Las pruebas que forman la base de la certificación se llevan a cabo en laboratorios con acreditación ISO/IEC 17025. Los dos ámbitos están separados. El reconocimiento entre organismos de acreditación se proporciona a través de acuerdos IAF e ILAC.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

• Common CriteriaCriterios comunes
• Cybersecurity AssessmentEvaluación de ciberseguridad
• ISO/IEC 27001Gestión de seguridad de la información
• ISO/IEC 27017Seguridad en la nube
• ISO/IEC 27018Datos personales en la nube
• ISO/IEC 27701Gestión de la información de privacidad
• ISO/IEC 42001Sistema de gestión de inteligencia artificial
• SOC 1Controles de informes financieros