L’implementazione del ciclo di vita per la progettazione e fabbricazione di componenti conformi agli standard di Industrial Cyber Security si basa sulla rispondenza tecnica del prodotto ai requisiti della norma IEC 62443, ed apre la strada anche a successivi processi di certificazione di Cyber Security OT.

Le attività raccomandate dagli standard IEC 62443 si concentrano sullo sviluppo del Threat Modeling, sulla stesura delle specifiche di prodotto, sulle procedure di test, l’implementazione del Security Plan, la revisione e l’auditing degli artefatti e del prodotto complessivo.

La nostra consulenza per lo sviluppo del ciclo di vita della sicurezza OT prevede una serie di attività modulari che agevolano i costruttori di componenti nel soddsifare la conformità agli standard IEC 62443:

• Sviluppo del Threat Modeling. La norma IEC 62443-4-1 richiede di eseguire l’identificazione delle minacce per indagare come le misure di sicurezza potrebbero essere sconfitte dagli attaccanti. Eseguimo il Threat Modeling con gli strumenti più indicati per il tipo di prodotto specifico (applicazioni software, componenti embedded, IoT o dispositivi di rete) con l’obiettivo di analizzare la robustezza delle misure di sicurezza.
• Specifiche di Prodotto. La capacità di sicurezza derivante dal Threat Modeling e dai requisiti contrattuali deve confluire all’interno di una specifica tecnica di sicurezza, in cui, per facilitare il costruttore, includiamo ciascun requisito di sicurezza da implementare fin dalla progettazione iniziale.
• Procedure di Test. Per convalidare i requisiti di sicurezza informatica, il prodotto deve essere testato come richiesto dalla norma IEC 62443-4-1; conduciamo le prove di tipo includendo le modalità di prova del prodotto in una procedura accompagnata dal test report che rilasciamo al costruttore.
• Security Plan per i Costruttori di Componenti. I produttori di componenti sono per eccellenza i fornitori ai sensi della norma IEC 62443. Per questo, col nostro supporto, il costruttore di componenti OT può implementare i processi di sicurezza informatica descritti nel ciclo di vita della norma IEC 62443-4-1, con la possibilità di certificare il processo in base agli standard ISA/IEC.
• Supporto per la Conformità degli Artefatti. Quando viene implementato nello sviluppo del prodotto, lo standard IEC 62443-4-1 richiede evidenza degli artefatti sviluppati per ogni prodotto. Ciò comprende il Threat Modling e la valutazione del rischio, le specifiche di sicurezza informatica, le procedure di test, la documentazione di progettazione, lo sviluppo e l’implementazione di patch; attività e documentazione che produciamo interamente per il costruttore.
• Revisione del Prodotto. Per soddisfare la conformità agli standard, è di aiuto eseguire una verifica di alto livello che evidenzi che vi siano i presupposti per la certificazione di Cyber Security del componente. La nostra consulenza prevede la revisione del livello di sicurezza ad alto livello di un prodotto specifico come richiesto dai requisiti IEC 62443-4-2, con l’obiettivo di confermare al fabbricante del prodotto se opportuno avviare un programma di certificazione oppure approfondire con una verifica più dettagliata.
• Audit della Security. Per avviare un programma di certificazione secondo ISASecure®, è importante verificare ad alto livello che i processi richiesti dalla norma IEC 62443-4-1 siano stati affrontati e implementati dal costruttore all’interno del proprio sistema di gestione, unitamente alla dimostrazione che il programma di sicurezza sia attivo all’interno della sua organizzazione. La nostra consulenza consiste nella verifica della presenza di tutti i processi richiesti dalle 8 pratiche standard stabilite da IEC 62443 e, di conseguenza, dell’idoneità ad avviare un processo di certificazione. In caso di criticità, il nostro compito è proporre soluzioni correttive e preparatorie al processo di certificazione del prodotto secondo gli standard ISA/IEC.

Le attivitià per l’ICS Lifecycle, se aggregate, costituiscono una consulenza completa; su richiesta, possono essere concordate separatamente.