Что это за сертификат?

IEC 62443 — это семейство стандартов кибербезопасности для систем промышленной автоматизации и управления (IACS). У нее другой порядок приоритетов, чем у ИТ-безопасности: в операционных технологиях доступность и безопасность процессов важнее конфиденциальности. Стандарт распределяет ответственность между тремя ролями — владельцем активов, системным интегратором и поставщиком продукции — с отдельными частями для каждой роли. В ее центре находятся модель зоны/канала и концепция уровня безопасности (SL 1–4).

Кому он нужен?

Производители промышленных систем управления (ПЛК, РСУ, SCADA)
Интеграторы систем автоматизации
Операторы энергетических, водных, химических и производственных объектов
Операторы критической инфраструктуры
Поставщики промышленного Интернета вещей и решений для удаленного мониторинга

Обязателен ли он?

Сам стандарт, как правило, не является обязательным. Однако правила критической инфраструктуры и сетевой безопасности (например, NIS2 в ЕС) налагают обязательства по безопасности на операторов, и при выполнении этих обязательств ссылаются на IEC 62443. Сертификация основана на ролях: оценка проводится по стандарту IEC 62443-4-1/4-2 для продукта, 62443-2-4 для интегратора и 62443-2-1 для владельца актива.

Область применения стандарта

62443-2-1 — Владелец активов: программа безопасности и система управления IACS
62443-2-4 — Поставщик услуг: требования к программе безопасности для интеграторов
62443-3-2 — Проектирование системы: оценка рисков, моделирование зон/каналов, определение целевого уровня безопасности
62443-3-3 — Требования безопасности системы: семь основополагающих требований (FR) и уровни безопасности.
62443-4-1 — Жизненный цикл разработки безопасного продукта: моделирование угроз, безопасное проектирование и кодирование, тестирование уязвимостей, управление исправлениями, прекращение поддержки.
62443-4-2 — Требования безопасности компонентов: технические требования к встроенным устройствам, хост-устройствам, сетевым устройствам и приложениям.
Базовые требования (FR): контроль идентификации и аутентификации, контроль использования, целостность системы, конфиденциальность данных, ограничение потока данных, своевременное реагирование на события, доступность ресурсов.
Уровни безопасности: SL 1 (случайный/случайный) — SL 4 (целенаправленный злоумышленник с высокими ресурсами).

Процесс сертификации

1Применение и описание продуктаОпределяется семейство продукции, модельный ряд, технические характеристики и целевой рынок. На этом этапе становятся ясны применимый стандарт и путь сертификации.
2Обзор технических файловПроверяются проектная документация, спецификации, паспорта ответственных компонентов и инструкции по применению.
3Тестирование продуктаПроводятся испытания, требуемые соответствующим стандартом. Протокол испытаний является фундаментальной основой для принятия решения о сертификации.
4Заводской аудитЕсли этого требует схема, непрерывность производства и заводской производственный контроль (ЗПК) проверяются на месте.
5Выдача сертификата и маркировкаПосле подтверждения соответствия выдается сертификат; применяются правила маркировки продукции и упаковки.
6Последующие аудитыВ зависимости от схемы проводятся периодические заводские проверки и/или последующие испытания образцов, взятых с рынка.

Срок действия

Срок действия зависит от схемы: некоторые сертификаты на продукцию являются бессрочными и основаны на периодических заводских проверках, тогда как некоторые схемы (например, маркировка национального рынка) требуют ежегодного продления или продления каждой партии. Каждое изменение конструкции продукта требует проверки сертификата.

Необходимые документы

Список моделей и вариантов продукции
Технические чертежи, схемы и спецификация материалов
Сертификаты на критические компоненты
Инструкция по применению и образец этикетки
Существующие протоколы испытаний, если таковые имеются.
Подробности о производстве

Стоимость сертификации

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

Количество моделей и вариантов в семействе продуктов
Объем испытаний, требуемый применимым стандартом
Требуется ли заводской аудит
Количество целевых рынков и требует ли каждый из них отдельного тестирования.
Могут ли быть приняты существующие протоколы испытаний

Аккредитация

Сертификация продукции осуществляется по стандарту ISO/IEC 17065; Испытания, составляющие основу сертификации, проводятся в лабораториях, имеющих аккредитацию ISO/IEC 17025. Эти две области являются отдельными. Признание между органами по аккредитации обеспечивается соглашениями IAF и ILAC.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

Область применения и разрешения

Связанные сертификации

Частые вопросы

Какая часть IEC 62443 применима ко мне?

Это зависит от вашей роли. Если вы являетесь производителем продукта, применяются пункты 4-1 (процесс разработки) и 4-2 (требования к компонентам); если вы системный интегратор — 2-4 и 3-3; если вы оператор объекта, приоритет имеют 2-1 и 3-2. Стандарт намеренно структурирован по ролям.

Нужен ли мне IEC 62443, если у меня уже есть ISO/IEC 27001?

Да, если у вас есть операционная технологическая среда. ISO/IEC 27001 разработан для корпоративных ИТ; IEC 62443 учитывает ограничения систем управления в реальном времени (недопустимость простоев, длительный срок службы оборудования, не подлежащие исправлению устройства). Эти двое дополняют друг друга.

Кто определяет уровень безопасности?

Владелец актива определяет целевой уровень безопасности (SL-T) для каждой зоны посредством оценки рисков согласно 62443-3-2. Поставщик продукта заявляет уровень возможностей (SL-C), который обеспечивает его компонент; они должны совпадать.

Кибербезопасность промышленной автоматизации (IEC 62443) — сертификация