La convergencia entre las redes corporativas y las redes de automatización ha expuesto a los sistemas de control industrial (IACS, Industrial Automation and Control Systems) a amenazas que durante décadas fueron ajenas al entorno de planta. Protocolos concebidos para operar en redes cerradas, equipos con ciclos de vida de quince o veinte años y arquitecturas donde la disponibilidad prevalece sobre cualquier otro atributo conforman un escenario en el que las prácticas de seguridad propias del mundo IT no pueden trasladarse de forma directa.
La serie IEC 62443 responde a esa realidad con un marco específico para automatización y control. Dentro de ella, la parte 4 concentra los requisitos aplicables al fabricante del componente y constituye la base sobre la cual el integrador y el propietario del activo construyen la seguridad del sistema completo.
Estructura de la serie y ubicación de la parte 4
La serie IEC 62443 se organiza en cuatro grupos de documentos que se corresponden con distintos niveles de responsabilidad [5]:
- Grupo 1 (62443-1-x): conceptos, terminología y modelos de referencia.
- Grupo 2 (62443-2-x): políticas y procedimientos del propietario del activo (asset owner) y del proveedor de servicios.
- Grupo 3 (62443-3-x): requisitos a nivel de sistema, incluidas la definición de zonas y conductos y la evaluación de riesgo.
- Grupo 4 (62443-4-x): requisitos aplicables al fabricante del producto (product supplier).
El grupo 4 se compone de dos documentos complementarios. IEC 62443-4-1 define cómo debe desarrollarse el producto; IEC 62443-4-2 define qué debe ser capaz de hacer el producto en materia de seguridad. Uno regula el proceso, el otro la capacidad técnica.
IEC 62443-4-1: ciclo de vida de desarrollo seguro
IEC 62443-4-1 establece los requisitos del ciclo de vida de desarrollo seguro (SDL, Secure Development Lifecycle) y se estructura en ocho prácticas [1]:
- Gestión del desarrollo seguro (SM): roles, responsabilidades y alcance del proceso.
- Especificación de requisitos de seguridad (SR): definición del entorno de uso previsto y de las amenazas asociadas.
- Diseño seguro (SD): modelado de amenazas, defensa en profundidad y reducción de la superficie de ataque.
- Implementación segura (SI): reglas de codificación y revisión de la implementación.
- Verificación y validación de seguridad (SVV): pruebas funcionales de seguridad, análisis de vulnerabilidades conocidas, pruebas de robustez y de penetración.
- Gestión de defectos de seguridad (DM): recepción, evaluación y tratamiento de vulnerabilidades reportadas.
- Gestión de actualizaciones de seguridad (SUM): entrega, verificación y documentación de parches durante toda la vida útil.
- Guías de seguridad (SG): documentación de endurecimiento, configuración segura y retiro de servicio.
El cumplimiento se expresa mediante cuatro niveles de madurez —inicial, gestionado, definido y en mejora continua—, lo que permite acreditar de forma progresiva la robustez del proceso.
Para el usuario final, el valor de esta parte es indirecto pero determinante: un fabricante alineado con IEC 62443-4-1 dispone de un equipo formal de respuesta a incidentes de seguridad de producto (PSIRT), publica advisories de vulnerabilidades a través de canales reconocidos —como CERT@VDE en el ámbito industrial europeo— y mantiene un procedimiento verificable de publicación de firmware. Esto convierte la seguridad en un atributo sostenido en el tiempo y no en una característica declarada en el momento de la compra.
IEC 62443-4-2: requisitos técnicos del componente
IEC 62443-4-2 traduce los siete requisitos fundamentales (FR, Foundational Requirements) definidos para el nivel de sistema [3] en requisitos concretos de componente (CR) [2]:
- FR1 – Control de identificación y autenticación (IAC)
- FR2 – Control de uso (UC)
- FR3 – Integridad del sistema (SI)
- FR4 – Confidencialidad de los datos (DC)
- FR5 – Flujo de datos restringido (RDF)
- FR6 – Respuesta oportuna a eventos (TRE)
- FR7 – Disponibilidad de recursos (RA)
Los requisitos se particularizan para cuatro tipos de componente: dispositivos embebidos (EDR), dispositivos de red (NDR), dispositivos host (HDR) y aplicaciones de software (SAR). La norma incorpora además las restricciones comunes de seguridad de componente (CCSC), que obligan a considerar el contexto del sistema en el que el equipo será integrado.
Cada requisito puede incluir mejoras (RE) que elevan el nivel de seguridad de capacidad (SL-C) alcanzado, en una escala de cuatro niveles:
- SL 1: protección frente a violaciones casuales o accidentales.
- SL 2: protección frente a acciones intencionales con medios simples, recursos escasos y motivación baja.
- SL 3: protección frente a medios sofisticados, recursos moderados y conocimiento específico de IACS.
- SL 4: protección frente a medios sofisticados con recursos extendidos y alta motivación.
Beneficios operativos de la adopción
Especificación objetiva. El SL-C y los FR proporcionan un lenguaje técnico común para redactar bases de licitación y comparar ofertas sobre criterios verificables, en lugar de descripciones comerciales de seguridad.
Coherencia con la arquitectura. Al compartir la estructura de requisitos fundamentales con la parte 3-3, los componentes conformes se integran de manera consistente en el modelo de zonas y conductos, sin discontinuidades entre el nivel de sistema y el de dispositivo.
Continuidad operacional. El FR7 aborda explícitamente la disponibilidad de recursos: resistencia a condiciones de sobrecarga de red, protección frente a agotamiento de recursos y capacidad de recuperación a un estado conocido. Se trata de atributos directamente ligados a la producción.
Gestión de la vida útil. Las prácticas DM y SUM respaldan la trazabilidad de vulnerabilidades y actualizaciones a lo largo de todo el período de servicio del equipo, aspecto crítico cuando la vida útil del activo excede ampliamente los ciclos habituales del software.
Preparación regulatoria. El marco IEC 62443 se ha consolidado como referencia técnica en esquemas de certificación reconocidos internacionalmente y como base para requisitos contractuales en industrias reguladas, energía e infraestructura crítica.
Consideraciones para la implementación
Un componente con un SL-C determinado no resuelve por sí solo la seguridad de la instalación. La norma distingue entre el nivel de seguridad objetivo (SL-T), que el propietario del activo define a partir de la evaluación de riesgo descrita en IEC 62443-3-2 [4], el nivel de capacidad del componente (SL-C) y el nivel efectivamente alcanzado (SL-A), que depende de la configuración, la integración y los procedimientos operativos.
En consecuencia, la selección de equipos conformes debe acompañarse de una segmentación adecuada de la red, del cambio de credenciales predeterminadas, de la habilitación exclusiva de los protocolos requeridos por la aplicación y de un plan definido de actualización de firmware. Cuando un componente no alcanza el SL-T establecido, la norma admite el uso de contramedidas compensatorias implementadas en la zona o en el conducto correspondiente.
Conclusión
IEC 62443-4-1 e IEC 62443-4-2 desplazan la ciberseguridad desde la capa perimetral hacia el propio componente y hacia el proceso que lo origina. Para el ingeniero de automatización, ofrecen criterios verificables para especificar, evaluar y operar los equipos de una arquitectura de control; para la organización, respaldan una gestión del riesgo documentada y sostenible durante toda la vida útil de la instalación.
Referencias
- IEC 62443-4-1:2018, Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements. International Electrotechnical Commission.
- IEC 62443-4-2:2019, Security for industrial automation and control systems – Part 4-2: Technical security requirements for IACS components. International Electrotechnical Commission.
- IEC 62443-3-3:2013, System security requirements and security levels. International Electrotechnical Commission.
- IEC 62443-3-2:2020, Security risk assessment for system design. International Electrotechnical Commission.
- IEC TS 62443-1-1, Terminology, concepts and models. International Electrotechnical Commission.
