این گواهی چیست؟
IEC 62443 خانواده ای از استانداردهای امنیت سایبری برای اتوماسیون صنعتی و سیستم های کنترل (IACS) است. اولویت متفاوتی با امنیت فناوری اطلاعات دارد: در فناوری عملیاتی، در دسترس بودن و ایمنی فرآیند مقدم بر محرمانگی است. این استاندارد مسئولیت را در سه نقش — مالک دارایی، یکپارچه ساز سیستم و تامین کننده محصول — با بخش های جداگانه برای هر نقش توزیع می کند. در مرکز آن، مدل منطقه/مجرای و مفهوم سطح امنیتی (SL 1-4) قرار دارد.
برای چه کسانی لازم است؟
- تولید کنندگان سیستم های کنترل صنعتی (PLC، DCS، SCADA)
- یکپارچه سازهای سیستم های اتوماسیون
- بهره برداران تاسیسات انرژی، آب، شیمیایی و تولیدی
- اپراتورهای زیرساخت حیاتی
- ارائه دهندگان اینترنت اشیا صنعتی و راه حل های نظارت از راه دور
آیا اجباری است؟
خود استاندارد معمولاً اجباری نیست. با این حال، زیرساخت‌های حیاتی و مقررات امنیت شبکه (به عنوان مثال NIS2 در اتحادیه اروپا) تعهدات امنیتی را بر اپراتورها تحمیل می‌کنند و IEC 62443 در اجرای این تعهدات ارجاع داده می‌شود. صدور گواهینامه مبتنی بر نقش است: ارزیابی تحت IEC 62443-4-1/4-2 برای یک محصول، 62443-2-4 برای یکپارچه ساز و 62443-2-1 برای مالک دارایی انجام می شود.
دامنه استاندارد
- 62443-2-1 — مالک دارایی: برنامه و سیستم مدیریت امنیتی IACS
- 62443-2-4 — ارائه دهنده خدمات: الزامات برنامه امنیتی برای یکپارچه سازها
- 62443-3-2 — طراحی سیستم: ارزیابی ریسک، مدل سازی منطقه/مجری، تعیین سطح امنیت هدف
- 62443-3-3 — الزامات امنیتی سیستم: هفت الزامات اساسی (FR) و سطوح امنیتی
- 62443-4-1 — چرخه عمر توسعه محصول ایمن: مدل سازی تهدید، طراحی و کدگذاری ایمن، تست آسیب پذیری، مدیریت پچ، پایان پشتیبانی
- 62443-4-2 — الزامات امنیتی جزء: الزامات فنی برای دستگاه های تعبیه شده، دستگاه های میزبان، دستگاه های شبکه و برنامه های کاربردی
- الزامات اساسی (FRs): کنترل شناسایی و احراز هویت، کنترل استفاده، یکپارچگی سیستم، محرمانه بودن داده ها، محدودیت جریان داده، پاسخ به موقع به رویدادها، در دسترس بودن منابع
- سطوح امنیتی: SL 1 (اتفاقی/تصادفی) — SL 4 (یک مهاجم هدفمند و با منابع بالا)
فرآیند صدور گواهی
- 1کاربرد و توضیحات محصولخانواده محصول، لیست مدل، مشخصات فنی و بازار هدف مشخص می شود. استاندارد قابل اجرا و مسیر صدور گواهینامه در این مرحله مشخص می شود.
- 2بررسی فایل فنیاسناد طراحی، صورتحساب مواد، گواهینامه های اجزای حیاتی و دستورالعمل استفاده مورد بررسی قرار می گیرد.
- 3تست محصولتست های استاندارد مربوطه انجام می شود. گزارش آزمون مبنای اساسی برای تصمیم گیری گواهینامه است.
- 4حسابرسی کارخانهاگر طرح به آن نیاز داشته باشد، تداوم ساخت و کنترل تولید کارخانه (FPC) در محل تأیید می شود.
- 5صدور گواهینامه و علامت گذاریپس از تأیید انطباق، گواهی صادر می شود. قوانین علامت گذاری برای محصول و بسته بندی اعمال می شود.
- 6ممیزی های بعدیبسته به طرح، ممیزی های دوره ای کارخانه و/یا آزمایشات بعدی بر روی نمونه های گرفته شده از بازار انجام می شود.
مدت اعتبار
مدت اعتبار بسته به طرح متفاوت است: برخی از گواهی‌های محصول نامشخص هستند و به ممیزی‌های دوره‌ای کارخانه متکی هستند، در حالی که برخی از طرح‌ها (مانند علائم بازار کشور) نیاز به تمدید سالانه یا هر محموله دارند. هر تغییر طراحی در محصول مستلزم بررسی گواهی است.
مدارک لازم
- لیست مدل ها و انواع محصول
- نقشه های فنی، نمودارها و صورتحساب مواد
- گواهی برای اجزای حیاتی
- دستورالعمل استفاده و یک برچسب نمونه
- گزارش های آزمایشی موجود، در صورت وجود
- جزئیات سایت تولید
هزینه صدور گواهی
قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.
- تعداد مدل ها و انواع در خانواده محصول
- محدوده آزمون استاندارد قابل اجرا مورد نیاز است
- اینکه آیا ممیزی کارخانه مورد نیاز است یا خیر
- تعداد بازارهای هدف و اینکه آیا هر کدام به آزمایش جداگانه نیاز دارند یا خیر
- آیا می توان گزارش های آزمون موجود را پذیرفت یا خیر
اعتباربخشی
گواهینامه محصول تحت ISO/IEC 17065 انجام می شود. آزمایش هایی که مبنای صدور گواهینامه را تشکیل می دهند در آزمایشگاه هایی با اعتبار ISO/IEC 17025 انجام می شوند. این دو حوزه مجزا هستند. شناسایی بین نهادهای اعتباربخشی از طریق توافق نامه های IAF و ILAC ارائه می شود.
دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.
محدوده و مجوزهاگواهینامههای مرتبط
پرسش‌های متداول
کدام بخش از IEC 62443 برای من کاربرد دارد؟
بستگی به نقش شما دارد. اگر تولید کننده محصول هستید، 4-1 (فرایند توسعه) و 4-2 (الزامات جزء) اعمال می شود. اگر یک ادغام کننده سیستم هستید، 2-4 و 3-3. اگر اپراتور تأسیسات هستید، 2-1 و 3-2 اولویت دارند. استاندارد عمداً بر اساس نقش ساخته شده است.
آیا اگر از قبل ISO/IEC 27001 داشته باشم به IEC 62443 نیاز دارم؟
بله، اگر یک محیط فناوری عملیاتی دارید. ISO/IEC 27001 برای فناوری اطلاعات سازمانی طراحی شده است. IEC 62443 محدودیت های سیستم های کنترل بلادرنگ را در نظر می گیرد (بدون تحمل برای خرابی، تجهیزات با عمر طولانی، دستگاه های غیرقابل وصله). این دو مکمل یکدیگر هستند.
چه کسی سطح امنیت را تعیین می کند؟
مالک دارایی سطح امنیتی هدف (SL-T) را برای هر منطقه از طریق ارزیابی ریسک تحت 62443-3-2 تعیین می کند. تامین کننده محصول سطح قابلیت (SL-C) که جزء آن ارائه می کند را اعلام می کند. این دو باید مطابقت داشته باشند.