IEC 62443 en el ciclo de desarrollo

IEC 62443 es una serie de normas. Tres partes interesan a un fabricante. La 4-1 fija los requisitos del ciclo de desarrollo seguro de productos: es sobre el proceso de quien fabrica. La 4-2 fija los requisitos técnicos de seguridad de un componente: es sobre el producto. La 3-3 fija los requisitos de seguridad de un sistema y sus niveles de seguridad: es sobre lo que integra y opera el cliente.

Los niveles de seguridad van de SL 1 a SL 4; el objetivo (SL-T) es el que se busca para una zona o un componente, y se distingue del alcanzado.

La 4-1 se organiza en ocho prácticas: gestión de seguridad, especificación de requisitos, diseño seguro, implementación segura, pruebas de verificación y validación, gestión de problemas de seguridad, gestión de actualizaciones y guías de seguridad. En una matriz de evidencia, cada práctica se enlaza a algo que existe en el repositorio o en el pipeline.

Abre la matriz de Palosanto y busca la práctica que declara su estado sin ninguna evidencia.

Un nivel de seguridad objetivo no es una calificación: es lo que el diseño busca cumplir según el riesgo de la zona donde se usará el componente. Lee la ficha del componente y las zonas y conductos de la subestación tipo, y localiza el objetivo declarado para la pasarela.

La matriz distingue tres estados: cubierta, parcial y sin evidencia. Para decir qué tan lejos está el producto, se cuentan las prácticas que no están cubiertas del todo.

Un cliente pregunta si el producto «cumple IEC 62443». El borrador tiene dos textos posibles. La afirmación que se hace a un cliente es una promesa: si la evidencia no la sostiene, es un riesgo legal y de confianza.