這是什麼證書？

IEC 62443 是工業自動化和控制系統 (IACS) 的網路安全標準系列。它與 IT 安全具有不同的優先順序：在操作技術中，可用性和流程安全性優先於機密性。該標準將責任分配給三個角色——資產所有者、系統整合商和產品供應商——每個角色都有單獨的部分。其核心是區域/管道模型和安全等級 (SL 1-4) 概念。

誰需要它？

工業控制系統（PLC、DCS、SCADA）製造商
自動化系統整合商
能源、水、化學和製造設施營運商
關鍵基礎設施營運商
工業物聯網和遠端監控解決方案供應商

是否為強制？

標準本身一般不具強制性。然而，關鍵基礎設施和網路安全法規（例如歐盟的 NIS2）對營運商施加了安全義務，並在履行這些義務時引用了 IEC 62443。認證基於角色：產品根據 IEC 62443-4-1/4-2 進行評估，整合商根據 IEC 62443-2-4 進行評估，資產所有者根據 62443-2-1 進行評估。

標準適用範圍

62443-2-1 — 資產所有者：IACS 安全計畫與管理系統
62443-2-4 — 服務提供者：整合商的安全計畫要求
62443-3-2 — 系統設計：風險評估、區域/管道建模、確定目標安全級別
62443-3-3 — 系統安全要求：七個基本要求 (FR) 和安全級別
62443-4-1 — 安全產品開發生命週期：威脅建模、安全設計與編碼、漏洞測試、修補程式管理、支援終止
62443-4-2 — 元件安全需求：嵌入式設備、主機設備、網路設備和應用程式的技術要求
基本要求（FR）：識別和認證控制、使用控制、系統完整性、資料機密性、受限資料流、及時回應事件、資源可用性
安全等級：SL 1（偶然/巧合）— SL 4（資源豐富、有針對性的攻擊者）

驗證流程

1應用及產品說明確定產品系列、型號清單、技術規格和目標市場。在此步驟中，適用的標準和認證途徑變得清晰。
2技術文件審查檢查設計文件、物料清單、關鍵零件證書和使用說明。
3產品測試進行相關標準要求的測試。檢測報告是認證決定的根本依據。
4工廠審核如果方案需要，則現場驗證製造的連續性和工廠生產控制（FPC）。
5頒發證書和標記驗證合格後，頒發證書；適用產品和包裝的標記規則。
6後續審核根據計劃，定期進行工廠審核和/或對從市場上抽取的樣品進行後續測試。

有效期限

有效期限因方案而異：某些產品證書是無限期的，依賴定期的工廠審核，而某些方案（例如國家市場標誌）則要求每年或每次裝運更新。產品的每次設計變更都需要審查證書。

所需文件

產品型號和變型列表
技術圖、圖表和材料清單
關鍵部件證書
使用說明和樣本標籤
現有的測試報告（如果有）
生產現場詳情

驗證費用

無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。

產品系列中的型號和變型數量
適用標準要求的測試範圍
是否需要工廠審核
目標市場的數量以及每個市場是否需要單獨測試
是否可以接受現有的測試報告

認證

產品認證根據ISO/IEC 17065進行；構成認證基礎的測試是在獲得 ISO/IEC 17025 認證的實驗室中進行的。這兩個範圍是分開的。認證機構之間的認可是透過 IAF 和 ILAC 協議提供的。

此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。

範圍和授權

常見問題

IEC 62443 的哪一部分適用於我？

這取決於你的角色。如果您是產品製造商，則4-1（開發流程）和4-2（組件要求）適用；如果您是系統整合商，2-4 和 3-3；如果您是設施操作員，則優先考慮 2-1 和 3-2。該標準是按角色精心構建的。

如果我已經擁有 ISO/IEC 27001，我還需要 IEC 62443 嗎？

是的，如果您有操作技術環境。 ISO/IEC 27001 專為企業 IT 設計； IEC 62443 考慮了即時控制系統的限制（不能容忍停機、長壽命設備、不可修補的設備）。兩者相輔相成。

誰決定安全等級？

資產所有者透過 62443-3-2 下的風險評估來確定每個區域的目標安全等級 (SL-T)。產品供應商聲明其組件提供的能力等級（SL-C）；兩者需要匹配。

工業自動化資安 (IEC 62443) 驗證