IEC 62443 es una serie de normas que abordan la ciberseguridad de la tecnología operativa en sistemas de automatización y control . La serie se divide en diferentes secciones y describe tanto los aspectos técnicos como los relacionados con los procesos de la ciberseguridad de los sistemas de automatización y control. La serie también se conoce como ISA/IEC 62443 en reconocimiento al hecho de que gran parte del desarrollo inicial fue realizado por el comité ISA99 de la Sociedad Internacional para la Automatización.
Divide los temas de ciberseguridad por categoría/roles de las partes interesadas, incluidos:
Los diferentes roles siguen un enfoque basado en riesgos para prevenir y gestionar los riesgos de seguridad en sus actividades.
Como norma internacional, la familia de normas IEC 62443 es el resultado del proceso de creación de normas de la Comisión Electrotécnica Internacional (IEC), en el que todos los comités nacionales involucrados acordaron una norma común. Varias organizaciones y comités enviaron aportes a los grupos de trabajo de la IEC y ayudaron a dar forma a la familia de normas IEC 62443.
A partir de 2002, la Sociedad Internacional de Automatización (ISA), una sociedad de ingeniería de automatización profesional y una organización de desarrollo de normas acreditada por ANSI (SDO), estableció el comité de normas de seguridad de sistemas de control y automatización industrial (ISA99). El comité ISA99 desarrolló una serie de normas e informes técnicos de varias partes sobre la ciberseguridad de los sistemas de control y automatización industrial (IACS). La ISA presentó estos productos de trabajo para su aprobación y luego los publicó como normas ANSI de América del Norte . Los documentos de normas ISA, originalmente denominados normas ANSI/ISA-99 o ISA99, fueron renumerados para ser la serie ANSI/ISA-62443 en 2010. El contenido de esta serie fue presentado a los grupos de trabajo de IEC y utilizado por ellos.
Paralelamente, las asociaciones de ingeniería alemanas VDI y VDE publicaron en 2011 las directrices VDI/VDE 2182. Las directrices describen cómo gestionar la seguridad de la información en entornos de automatización industrial y también fueron presentadas y utilizadas por los grupos de trabajo de IEC.
En 2021, la IEC aprobó la familia de normas IEC 62443 como "normas horizontales". Esto significa que cuando los expertos en la materia desarrollan normas sectoriales específicas para la tecnología operativa, las normas IEC 62443 deben utilizarse como base para los requisitos que abordan la ciberseguridad en esas normas. Este enfoque sirve para evitar la proliferación de requisitos parciales o contradictorios para abordar la ciberseguridad de la tecnología operativa en todos los sectores industriales en los que se implementan la misma tecnología o productos o tecnologías similares en los sitios operativos.
La serie de normas IEC 62443 Redes de comunicación industrial - Seguridad de redes y sistemas está organizada en cuatro partes: [1]
La siguiente tabla enumera las partes de la serie de normas IEC 62443 publicadas hasta la fecha con su estado y título.
La norma IEC 62443 describe distintos niveles de madurez de los procesos y los requisitos técnicos. Los niveles de madurez de los procesos se basan en los niveles de madurez del marco de trabajo Capability Maturity Model Integration (CMMI).
La norma IEC 62443, basada en CMMI, describe diferentes niveles de madurez de los procesos a través de los denominados "niveles de madurez". Para cumplir con un determinado nivel de madurez, todos los requisitos relacionados con el proceso deben cumplirse siempre durante el desarrollo o la integración del producto, es decir, la selección únicamente de criterios individuales ("cherry picking") no cumple con la norma.
Los niveles de madurez se describen a continuación:
Los requisitos técnicos de los sistemas (IEC 62443-3-3) y de los productos (IEC 62443-4-2) se evalúan en la norma mediante cuatro niveles de seguridad (SL). Los diferentes niveles indican la resistencia frente a diferentes clases de atacantes. La norma destaca que los niveles deben evaluarse según los requisitos técnicos (véase IEC 62443-1-1) y no son adecuados para la clasificación general de productos.
Los niveles son:
La norma explica varios principios básicos que deben tenerse en cuenta para todos los roles en todas las actividades.
La defensa en profundidad es un concepto en el que se distribuyen varios niveles de seguridad (defensa) a lo largo del sistema. El objetivo es proporcionar redundancia en caso de que una medida de seguridad falle o se explote una vulnerabilidad.
Las zonas dividen un sistema en zonas homogéneas al agrupar los activos (lógicos o físicos) con requisitos de seguridad comunes. Los requisitos de seguridad se definen mediante el nivel de seguridad (SL). El nivel requerido para una zona se determina mediante el análisis de riesgos.
Las zonas tienen límites que separan los elementos dentro de la zona de los que están fuera. La información se mueve dentro de las zonas y entre ellas. Las zonas se pueden dividir en subzonas que definen diferentes niveles de seguridad (Nivel de seguridad) y, por lo tanto, permiten una defensa en profundidad.
Los conductos agrupan los elementos que permiten la comunicación entre dos zonas. Proporcionan funciones de seguridad que permiten una comunicación segura y permiten la coexistencia de zonas con diferentes niveles de seguridad.
Los procesos, sistemas y productos utilizados en entornos de automatización industrial pueden certificarse de acuerdo con la norma IEC 62443. Muchas empresas de pruebas, inspección y certificación (TIC) ofrecen certificaciones de productos y procesos basadas en la norma IEC 62443. Al acreditarse de acuerdo con la serie de normas ISO/IEC 17000, las empresas comparten un conjunto único y coherente de requisitos de certificación para las certificaciones IEC 62443, lo que aumenta la utilidad de los certificados de conformidad resultantes.
Varias empresas globales de pruebas, inspección y certificación (TIC) han establecido esquemas de certificación IEC 62443. Los esquemas se basan en las normas de referencia y definen métodos de prueba, políticas de auditoría de vigilancia, políticas de documentación pública y otros aspectos específicos de su programa. Muchos organismos de certificación (OC) reconocidos ofrecen programas de certificación de ciberseguridad para las normas IEC 62443 a nivel mundial, incluidos Bureau Veritas , Intertek , SGS-TÜV Saar , TÜV Nord, TÜV Rheinland, TÜV SÜD y UL .
Una infraestructura global de organismos nacionales de acreditación (OA) garantiza una evaluación coherente de la norma IEC 62443. Los OA operan según los requisitos de la norma ISO/IEC 17011, que contiene requisitos para la competencia, la coherencia y la imparcialidad de los organismos de acreditación a la hora de acreditar organismos de evaluación de la conformidad. Los OA son miembros de la IAF para el trabajo en sistemas de gestión, productos, servicios y acreditación de personal o de la ILAC para la acreditación de laboratorios. Un Acuerdo de Reconocimiento Multilateral (MLA) entre OA garantizará el reconocimiento global de los OC acreditados.
Las empresas TIC están acreditadas por un OA para proporcionar inspección según ISO/IEC 17020, laboratorios de pruebas según ISO/IEC 17025 y certificación de productos, procesos y servicios según ISO/IEC 17065.
El Sistema IEC para Esquemas de Evaluación de la Conformidad de Equipos y Componentes Electrotécnicos ( IECE ) y el Esquema de Organismos de Certificación ( Esquema CB ) es un acuerdo multilateral que facilita el acceso al mercado para los fabricantes de productos eléctricos y electrónicos. En virtud del Esquema CB, los procesos, productos y sistemas pueden certificarse de acuerdo con la norma IEC 62443.
El origen del Esquema CB proviene de la CEE (antigua "Comisión Europea para Pruebas de Conformidad de Equipos Eléctricos") y se integró en la IEC en 1985. Actualmente, 54 Organismos Miembros están en la IECEE, 88 NCB (Organismos Nacionales de Certificación) y 534 Laboratorios de Pruebas CB (CBTL). En el campo de la certificación de productos, este procedimiento se utiliza para reducir la complejidad en el procedimiento de aprobación para los fabricantes de productos probados y certificados según normas armonizadas. Un producto que ha sido probado por un CBTL (laboratorio de pruebas certificado) según una norma armonizada como la IEC 62443, puede utilizar el informe CB como base para una certificación y aprobación nacional posterior como GS, PSE, CCC, NOM, GOST/R, BSMI.
El ISA Security Compliance Institute (ISCI), una subsidiaria de propiedad absoluta de la ISA, creó un esquema de evaluación de conformidad por consenso de la industria que certifica según las normas ISA/IEC 62443 y opera bajo la marca ISASecure. Este esquema se utiliza para certificar sistemas, componentes y procesos de control de automatización. Las certificaciones ISASecure se ampliaron para incluir la certificación de componentes de IoT industrial (ICSA) en diciembre de 2022. Los organismos de certificación del esquema de certificación ISASecure están acreditados de forma independiente por los organismos de acreditación ISO 17011 según los requisitos de preparación técnica de ISASecure y las normas ISO 17025 e ISO 17065. Los acuerdos de reconocimiento multilateral en el marco del IAF garantizan que las certificaciones ISASecure sean reconocidas mutuamente por todos los signatarios globales del IAF.
El ISCI ofrece múltiples certificaciones bajo la marca ISASecure: