IEC 62443, explicada en lenguaje de ingeniero.
La serie IEC 62443 es la forma de especificar la ciberseguridad industrial: una familia de normas que abarca el programa del asset owner, los proveedores de servicios, los sistemas y los componentes, escrita para entornos donde la disponibilidad y la safety priman sobre todo lo demás.
Qué es
Una familia, no un documento único. Nació como ISA-99 y creció hasta ser una serie internacional; sus partes se numeran por audiencia: las 2-x tratan programas y proveedores, las 3-x los sistemas, las 4-x los productos. El truco para leerla: primero encuentra tu rol y luego tus partes.
Los conceptos que hacen el trabajo
Qué exige
El punto de entrada para un asset owner es la evaluación de riesgos 3-2: delimitar el sistema, evaluar el riesgo inicial, particionar zonas y conduits, fijar objetivos, evaluar en detalle, documentar y aprobar. Siete pasos con puntos de control que terminan en la Initial Risk Assessment y la Cybersecurity Requirements Specification. Desde ahí, la 3-3 convierte los objetivos en requisitos de sistema, y las partes de programa lo mantienen vivo.
Mira el flujo en el producto →Nota de campo: cinco errores de partición de zonas que seguimos viendo →Cómo se relaciona con las leyes
Ninguna ley nombra tu PLC. Exigen seguridad adecuada y demostrable, y la IEC 62443 es la respuesta de OT: la evaluación de riesgos decide qué significa "adecuado" para tu instalación, y la evidencia lo hace demostrable.
Cómo lo ejecuta OTRISK
Preguntas que nos hacen
¿Podemos "certificarnos en IEC 62443"?
Existen programas de certificación para productos y procesos, gestionados por organismos certificadores. Para la planta de un asset owner, lo que produces es una evaluación conforme y su evidencia, que es lo que auditores y clientes realmente piden.
¿IEC 62443 frente a ISO 27001?
27001 gobierna el sistema de gestión; IEC 62443 habla OT: zonas, safety, niveles de seguridad. La mayoría de las organizaciones industriales acaban teniendo ambas, sostenidas por una sola disciplina de evidencia.
¿Tenemos que comprar las normas?
Sí. OTRISK cita las cláusulas; el texto licenciado permanece en tus copias. Presupuesta las partes que tu rol necesita.
¿Por dónde empezamos?
Con un sistema y su diagrama de red. La evaluación 3-2 delimita el resto. Ese es precisamente su propósito.
De la norma al documento firmado.
Piensa en una instalación concreta. En treinta minutos te enseñamos qué partes de OTRISK encajan con tu situación y cómo se trabaja en el día a día. Te vas con próximos pasos concretos y una orientación de precio.