APEM 达到 IEC 62443-4-1 成熟度等级 2

目录

• APEM 达到 IEC 62443-4-1 成熟度等级 2

• 什么是 IEC 62443-4-1？

• 成熟度等级 2 意味着什么？

• APEM 为何选择 IEC 62443-4-1？

• 从流程认证到安全产品

• IEC 62443-4-1 与《网络弹性法案》

• 网络安全，责任归谁？

• PSIRT：产品发布后的漏洞管理

• 在 APEM 和 IDEC 内部构建网络安全专业能力

• 漏洞和网络安全事件报告表

APEM 在产品网络安全体系建设中达成重要里程碑：必维集团 LCIE（Bureau Veritas LCIE）已成功验证 APEM 符合 IEC 62443-4-1 成熟度等级 2 的评估要求。

该标准面向工业自动化和控制系统组件和解决方案供应商，规定了产品安全开发要求。

就 APEM 而言，采用 IEC 62443-4-1 意味着构建一种结构化网络安全框架——贯穿产品开发和维护全过程，同时助力公司及其客户为日益严格的网络安全法规做好准备。

安全开发生命周期的各个阶段：

• 网络安全需求；

• 安全产品架构和设计；

• 实施；

• 安全验证和确认；

• 漏洞管理；

• 产品维护；

• 产品最终退役。

APEM 和 IDEC 选择 IEC 62443-4-1 作为产品网络安全开发方法的基础，是因为该标准既提供广受认可的框架，又有助于企业为满足欧洲法规要求做好准备。

具体而言，该方法有助于规划以下相关活动：

• 《网络弹性法案（CRA）》；

• 欧盟《机械法规》；

• 网络安全风险分析；

• 技术文档；

• 符合性评估准备。

IEC 62443-4-1 主要针对制造商的开发流程。

这一点至关重要。

开发组织获得认证，并不意味着其每一款产品都自动获得 IEC 62443 认证。相反，该认证建立一套安全开发框架，方便产品在此框架下进行后续设计、评估和维护。APEM 下一阶段的网络安全体系建设目标，是将经认证的网络安全参考架构部署至嵌入式产品系列。这些架构将作为未来开发的即用型基础，助力客户加速创新，同时从项目启动之初便着手满足网络安全合规要求，将合规性从限制因素转化为竞争优势。

对客户而言，这种方法提升了网络安全管理的透明度，使其能够更清晰地了解产品开发前、开发中和开发后各阶段的网络安全管理状况。

网络安全与合规责任的划分，取决于 APEM 产品的供应和集成方式。APEM 是提供组件、销售独立产品，还是开发客户定制化解决方案，决定 APEM 与原始设备制造商（OEM）之间如何分担责任，尤其是在《网络弹性法案》和《机械法规》的相关要求下。

产品安全开发并不随产品出厂而终止。产品投入使用后，仍可能发现新漏洞，制造商需评估这些漏洞的影响，并判断是否有必要采取纠正措施。

为此，APEM 成立了产品安全事件响应团队（PSIRT）。

该团队负责管理漏洞报告、评估漏洞的严重程度、协调采取纠正措施、管理相关沟通工作。

IEC 62443-4-1 也是集团全面提升网络安全专业能力的关键举措之一。

APEM 已在法国设立功能安全与网络安全能力中心，旨在为产品团队提供方法论支持，并协助开展相关开发和认证活动。

对 OEM 和系统集成商而言，这意味着 APEM 并未将 IEC 62443-4-1 视为一项孤立的认证工作，而是将其纳入更全面的体系建设，旨在将网络安全深度融入 APEM 的工程流程、产品架构和全生命周期支持。

如果您发现 APEM 产品存在潜在漏洞，或在产品使用过程中遭遇网络安全事件，请通过此表单进行报告。