Opracowana przez ISA99 i IEC TC 65/WG 10, adresuje terminologię, programy bezpieczeństwa, dostawców usług, ryzyko systemowe i wymagania, bezpieczny rozwój produktu oraz komponenty. Różne części mają zastosowanie do właścicieli zasobów, integratorów, dostawców usług, dostawców produktów i etapów cyklu życia.
Stosowanie IEC 62443 zaczyna się od zidentyfikowania systemu i ról, wyboru mających zastosowanie części i użycia oceny ryzyka do zdefiniowania wymagań. IEC 62443-3-2 adresuje podział rozpatrywanego systemu na strefy i przepływy, ocenę ryzyka i dokumentowanie docelowych poziomów bezpieczeństwa. IEC 62443-3-3 definiuje wymagania bezpieczeństwa systemu powiązane z wymaganiami podstawowymi i poziomami bezpieczeństwa zdolności.
Najważniejsze punkty
Wybierz właściwy dokument„Zgodność z IEC 62443" jest niekompletna bez mającej zastosowanie części, edycji, roli, zakresu systemu lub produktu, wymagań i podstawy oceny.
Używaj stref i przepływówGrupuj zasoby o kompatybilnych potrzebach bezpieczeństwa, definiuj kontrolowane ścieżki komunikacji, oceniaj ryzyko dla każdej i dokumentuj docelowy poziom bezpieczeństwa oraz wymagania.
Rozróżniaj poziomy bezpieczeństwaDocelowy, zdolności i osiągnięty poziom bezpieczeństwa odpowiadają na różne pytania; nie są generyczną skalą dojrzałości od jeden do cztery dla organizacji.
Traktuj bezpieczeństwo jako cykl życiaProgramy właściciela zasobów, praktyki rozwojowe dostawców, dostarczanie usług, integracja systemu, utrzymanie, łatanie, obsługa incydentów i wycofywanie wiążą się z różnymi odpowiedzialnościami.
Istotne ograniczenieIEC 62443 nie jest pojedynczym certyfikatem produktu ani skrótem do bezpiecznej eksploatacji. Certyfikat komponentu nie ustala, że zintegrowany system, program zakładowy, konfiguracja lub proces operacyjny jest zgodny. Środki cyberbezpieczeństwa muszą też być zaprojektowane tak, by nie podważały bezpieczeństwa funkcjonalnego ani wymaganej dostępności.