IEC 62443运维服务提供商的安全程序要求演化分析

龚钢军，孟芷若*，田惠文，刘韧，金璐

（1.北京市能源电力信息安全工程技术研究中心（华北电力大学），北京102206；2.中国网络安全审查技术与认证中心，北京100020；3.北京华电云博科技有限公司，北京102206）

0 引言

IEC 62443 是面向各种工业自动化控制系统的安全程序要求，包括一系列标准［1］。制定工业控制安全程序要求对保护工业控制信息安全有着十分重要的意义［2］。IEC 62443 标准充分考虑了工业领域不同参与方的不同需求，比较符合各工业行业对信息安全标准的需要［3］。运维服务提供商通常是独立于资产所有者的组织，根据合同及资产所有者的要求执行自动化解决方案的维护和服务活动。

在IEC 62443-2-4 标准中，工业自动化和控制系统（IACS）安全第2―4 部分是针对IACS 服务提供商的安全程序要求，分为2 个部分：正文和附表A，而附表A 的修改部分又主要分为“需求说明”和“基本原理（BR）”2个部分。

IEC 62443-2-4 正文的开头部分对该标准的主要使用范围进行了叙述，接着阐述了该标准相关文件的引用规范。对涉及到的关键性术语给出了相关定义、缩略语和缩写。对文件涉及到的相关概念和成熟度模型进行了详细的说明，最后给出了该标准的要求综述。

IEC 62443-2-4的附表A是规范性附录，包含安全要求的12项详细内容：（1）解决方案的人员配置，描述了服务提供商向自动化解决方案相关活动指派人员的相关要求；（2）保证部分，描述了保证自动化解决方案安全策略强制实施的相关要求；（3）结构部分，描述了自动化解决方案设计方面的相关要求；……