IEC 62443-4-1：工業產品的安全開發生命週期

什麼是 IEC 62443-4-1？

IEC 62443-4-1:2018（Security for industrial automation and control systems, Part 4-1: Secure product development lifecycle requirements）於 2018 年 1 月發布。依據標準本身的適用範圍，它「規定了工業自動化與控制系統所用產品之安全開發的流程要求」。其定義的生命週期涵蓋資安需求定義、安全設計、安全實作、驗證與確認、缺陷管理、修補程式管理，以及產品終止支援。

它適用於產品的開發者與維護者，也就是製造控制器、嵌入式裝置、網路設備、主機軟體或應用程式的產品供應商。它不適用於產品的系統整合商或使用者，他們在這個系列中有各自適用的部分。ISA 以 ISA/IEC 62443 的名稱發布此系列。

這份標準描述的是流程要求、政策與程序，而非技術性的資安功能。元件的技術要求則規定於 IEC 62443-4-2。

IEC 62443-4-1 的八項實務

這些要求分為八項實務，每項都有一個簡短的縮寫，作為其要求編號的字首。ISA Global Cybersecurity Alliance 列出的要求共有 47 項：

實務	要求	涵蓋內容
1. 資安管理（SM）	SM-1 至 SM-13	規劃與執行資安流程：職責、專業能力、開發環境安全、私密金鑰、外部提供與第三方元件、流程驗證、持續改善
2. 資安需求規格（SR）	SR-1 至 SR-5	產品資安情境、威脅模型、產品資安需求及其審查
3. 安全設計（SD）	SD-1 至 SD-4	安全設計原則、縱深防禦設計、設計審查、設計最佳實務
4. 安全實作（SI）	SI-1 至 SI-2	資安實作審查與安全程式碼撰寫標準
5. 資安驗證與確認測試（SVV）	SVV-1 至 SVV-5	需求測試、威脅緩解測試、漏洞測試、滲透測試、測試人員獨立性
6. 資安相關問題管理（DM）	DM-1 至 DM-6	接收、審查、評估、處理與揭露產品中的資安問題
7. 資安更新管理（SUM）	SUM-1 至 SUM-5	及時驗證、記錄並交付資安更新
8. 資安指引（SG）	SG-1 至 SG-7	關於縱深防禦、強化、安全操作、帳戶管理與報廢處置的使用者文件

實務 6：資安相關問題管理（DM）

DM 是 PSIRT 會認為屬於自己的實務。根據 ISAGCA 的說明，其流程用於處理依縱深防禦策略設定之產品的資安相關問題。它的六項要求追蹤一個問題從通報到結案的過程：

• DM-1：接收資安相關問題的通報
• DM-2：審查資安相關問題
• DM-3：評估資安相關問題
• DM-4：處理資安相關問題
• DM-5：揭露資安相關問題
• DM-6：定期審查資安缺陷管理實務

簡單來說：接收通報、加以檢查、進行評估、修正問題、告知使用者，並審查流程本身。

這個順序其實就是換了名稱的漏洞管理生命週期，而 DM-1 與 DM-5 正是協同漏洞揭露介入的環節。揭露內容可以 CSAF 資安公告的形式發布，並針對未受影響的版本附上 VEX 聲明。

實務 7：資安更新管理（SUM）

SUM 接續 DM 決定修正方式之後的工作。依 ISAGCA 的摘要，其流程確保產品硬體、軟體或韌體的資安更新經過迴歸測試，並及時提供給使用者。五項要求如下：

• SUM-1：資安更新的驗證
• SUM-2：資安更新的文件
• SUM-3：相依元件或作業系統資安更新的文件
• SUM-4：資安更新的交付
• SUM-5：及時交付資安修補程式

SUM-3 是觸及您供應鏈的那一項：您的產品所依賴的元件與作業系統的更新。對於建構在 Linux 發行版上的嵌入式產品而言，這可能占了您出貨的大部分修補程式。

成熟度等級

IEC 62443-4-1 問的不是流程是否存在，而是流程有多成熟。它以 CMMI for Development 為基礎，採用四個成熟度等級：

等級	意義
ML1 Initial	流程以臨時方式執行，或未經文件化
ML2 Managed	流程已文件化，並說明活動如何交付與管理
ML3 Defined (Practiced)	流程已文件化、確實執行且可重複
ML4 Improving	流程會運用績效與成效指標持續改善

ML2 與 ML3 的差別在於實踐。一份書面的 DM 流程可以達到 ML2。ML3 則代表流程已經執行並重複進行：問題已接收、評估並結案，更新已交付，而且有記錄可以證明。

認證

• ISASecure SDLA。Security Development Lifecycle Assurance 計畫依據 IEC 62443-4-1 認證開發組織的生命週期流程。評估由經認可為符合性評鑑機構的特許 SDLA 實驗室執行。
• 認證機構與 IECEE CB Scheme。Applus+ 與 TÜV Rheinland 等測試與認證機構，會依據 62443-4-1 評估供應商並註明所達到的成熟度等級，包括在適用於 50 多個國家的 IECEE CB Scheme 之下進行。

62443-4-1 證書涵蓋的是供應商的開發流程，而非單一產品。產品則另外依據 62443-4-2 進行評估。

62443-4-1 與系列中其他部分的關係

• IEC 62443-4-2，IACS 元件的技術資安要求：產品必須能做到什麼。4-1 則是您如何建置與維護它。
• IEC 62443-3-3，系統資安要求與安全等級：系統層級的對應技術要求。
• IEC 62443-2-4，IACS 服務供應商的資安計畫要求：在資產擁有者現場安裝與維修您產品的系統整合商與維護服務供應商，他們仰賴您的資安更新與指引。

將 IEC 62443-4-1 對應到 PSIRT 工作

PSIRT 活動	在 62443-4-1 中的對應位置
受理漏洞通報	DM-1
分級研判與分析	DM-2、DM-3
修補	DM-4、SUM-1
資安公告與揭露	DM-5、SUM-2
第三方元件的修補程式	SUM-3，以及關於外部提供與第三方元件的 SM-9 與 SM-10
發布修正	SUM-4、SUM-5
指標與流程審查	DM-6、SM-13

這份對應是我們依據要求名稱整理的。標準本身並未提到 PSIRT 這個名稱；相同的工作在 FIRST 的 PSIRT Services Framework 與 ISO/IEC 30111 中有所描述。

以 SBOM 作為 DM 與 SUM 的佐證資料

2018 年版的要求名稱並未提到 SBOM。但工業產品中的許多資安問題，存在於供應商並未自行撰寫的元件中：Linux 核心、OpenSSL、BusyBox、通訊協定堆疊。針對新的資安公告回應 DM-2 與 DM-3，就必須知道哪些產品與版本含有受影響的元件。記錄 SUM-3 的更新，則必須知道每個版本出貨時搭配了哪些元件版本。在 ML3，這些答案都需要有記錄作為依據。

手寫的元件清單或對原始碼樹的掃描都會過時。只要建置本身有被記錄，來自產出該版本之建置的 SBOM 就不會過時。

CRACI 的定位

CRACI 不會依據 IEC 62443 認證任何事物，也不會代為執行您的開發流程。它的記錄可以作為其中部分環節的佐證資料：每個版本中的元件資產清冊，以及針對新漏洞對已出貨建置的監控。

CRACI 在自己的執行器上執行 GitHub Actions 建置（包括 Yocto 建置），並記錄每個作業實際取用的套件，包括遞移相依套件、從快取還原的套件，以及任何鎖定檔都未列出的相依套件。每份 SBOM 都帶有完整性狀態，並可匯出為 CycloneDX 或 SPDX 格式。受監控的 SBOM 會持續重新評估，建置歷史會顯示哪些過往建置含有有漏洞的相依套件，資產清冊檢視則會顯示哪些版本部署在哪些產品上。外購元件的廠商 SBOM，也會與您自己的建置一併監控。請參閱漏洞追蹤與適用於 PSIRT 的 CRACI。

您是否為 OEM 供應產品或元件？請參閱供應商 SBOM 指南，以及您的客戶可能採用的 SBOM 品質檢查清單。

IEC 62443-4-1：常見問題

什麼是 IEC 62443-4-1？

IEC 62443-4-1:2018（Secure product development lifecycle requirements）是 IEC 62443 系列中，為開發工業自動化與控制系統所用產品之供應商訂定流程要求的部分。它涵蓋資安需求、安全設計、實作、驗證與確認、缺陷管理、修補程式管理，以及產品終止支援。

IEC 62443-4-1 的八項實務是什麼？

資安管理（SM）、資安需求規格（SR）、安全設計（SD）、安全實作（SI）、資安驗證與確認測試（SVV）、資安相關問題管理（DM）、資安更新管理（SUM），以及資安指引（SG）。合計共有 47 項要求。

IEC 62443-4-1 與 62443-4-2 有什麼不同？

4-1 關注的是供應商開發與維護產品所採用的流程。4-2 則為元件本身訂定技術資安要求，例如嵌入式裝置、網路裝置、主機裝置與軟體應用程式。供應商通常會依據 4-1 評估其開發流程，並依據 4-2 評估特定產品。

IEC 62443-4-1 的哪些實務涵蓋漏洞管理？

主要是實務 6，資安相關問題管理（DM-1 至 DM-6），涵蓋接收、審查、評估、處理與揭露資安問題；以及實務 7，資安更新管理（SUM-1 至 SUM-5），涵蓋及時驗證、記錄並交付資安更新。這正是 PSIRT 所做的工作。

IEC 62443-4-1 的成熟度等級有哪些？

以 CMMI for Development 為基礎的四個等級：ML1 Initial（臨時或未文件化）、ML2 Managed（流程已文件化）、ML3 Defined 或 Practiced（已文件化、確實執行且可重複），以及 ML4 Improving（運用績效指標持續改善流程）。

如何取得 IEC 62443-4-1 認證？

透過經認可的認證機構。ISASecure 的 SDLA 計畫透過特許實驗室，依據 IEC 62443-4-1 認證開發組織；TÜV Rheinland 與 Applus+ 等認證機構則會核發註明所達成熟度等級的 62443-4-1 證書，包括在 IECEE CB Scheme 之下核發。

IEC 62443-4-1 是否要求 SBOM？

2018 年版的要求名稱並未提到 SBOM。有數項要求涉及外部提供的元件，以及相依元件與作業系統的更新，而一份可靠的各版本元件清單，正是證明您如何處理這些項目的實際做法。