IEC 62443: Cómo proteger los IACS (sistemas de automatización y control industrial)

La norma IEC 62443 es una serie de normas internacionales que define un marco basado en el riesgo para la seguridad de los sistemas de automatización y control industrial (IACS), abarcando a las personas, los procesos y la tecnología en los entornos de tecnología operativa (OT). 

Puntos Clave 

• La norma IEC 62443 es el estándar global líder en ciberseguridad para sistemas de tecnología operativa (OT) y sistemas de control industrial automatizados (IACS), desarrollado conjuntamente por el comité ISA99 y la IEC. 
• Utiliza un modelo de zonas y conductos y cuatro niveles de seguridad (SL 1 a SL 4) establecidos mediante una evaluación de riesgos, no por conjeturas. 
• Siete requisitos fundamentales (FR 1 a FR 7) definen qué medidas de protección debe implementar cada zona. 
• La edición de 2024 de la norma IEC 62443-2-1 reestructura los requisitos del propietario de los activos en elementos del programa de seguridad y añade un modelo de madurez. 
• La infraestructura de clave pública (PKI) y los certificados digitales sustentan la autenticación de dispositivos y usuarios (FR 1) y proteger los datos integridad y confidencialidad (FR 3 y FR 4). 

¿Qué es la norma IEC 62443 y quién se encarga de su mantenimiento? 

La norma IEC 62443 es una familia de normas para la seguridad de los sistemas de automatización y control industrial a lo largo de todo su ciclo de vida. Fue creada por el comité ISA99 de la Sociedad Internacional de Automatización (ISA) y se publica conjuntamente con la Comisión Electrotécnica Internacional (IEC), por lo que a menudo se la denomina ISA/IEC 62443. Esta serie se aplica a sectores que utilizan tecnología operativa, como la fabricación, la energía, el agua, el petróleo y el gas, el transporte y la automatización de edificios. 

A diferencia de los estándares centrados en TI, la norma IEC 62443 está diseñada para entornos donde la disponibilidad y la seguridad son primordiales y donde los equipos pueden permanecer en servicio durante décadas. Considera la seguridad como una responsabilidad compartida entre todos los que construyen, integran y operan el sistema. 

Estructura de la norma IEC 62443: las partes 

La norma IEC 62443 se organiza en cuatro grupos que corresponden a conceptos generales, políticas y procedimientos, diseño de sistemas y requisitos de componentes. La siguiente tabla enumera las partes a las que hacen referencia la mayoría de los equipos. 

La serie continúa expandiéndose. La norma IEC PAS 62443-1-6:2025 añade directrices para el Internet industrial de las cosas (IIoT). Confirme la edición actual de cada parte en la tienda en línea de la IEC antes de citar una versión en la documentación oficial.

Grupo procesos	Parte clave	Lo que cubre
General	62443-1-1	Terminología, conceptos y modelos para toda la serie.
Políticas y procedimientos	62443-2-1 (edición 2024)	Requisitos para el programa de seguridad IACS del propietario de un activo, ahora organizados en elementos del programa de seguridad con un modelo de madurez.
Políticas y procedimientos	62443-2-4	Requisitos de seguridad para proveedores e integradores de servicios IACS.
Sistema	62443-3-2	La evaluación de riesgos se utiliza para dividir un sistema en zonas y conductos, y para establecer niveles de seguridad objetivo.
Sistema	62443-3-3	Requisitos de seguridad técnica a nivel de sistema, vinculados a los siete requisitos fundamentales.
Componente	62443-4-1	Garantizar los requisitos del ciclo de vida del desarrollo de productos para los proveedores.
Componente	62443-4-2	Requisitos de seguridad técnica para componentes individuales como controladores, sensores y aplicaciones.

La serie continúa expandiéndose. La norma IEC PAS 62443-1-6:2025 añade directrices para el Internet industrial de las cosas (IIoT). Confirme la edición actual de cada parte en la tienda en línea de la IEC antes de citar una versión en la documentación oficial.

Niveles de seguridad (SL 1 a SL 4) 

El nivel de seguridad mide la confianza que se tiene en que una zona o conducto pueda resistir un determinado tipo de atacante. La norma IEC 62443 define cuatro niveles, que se asignan en función del riesgo, en lugar de aplicar el nivel más alto en todas partes. 

FR	Requisitos de la Fundación	Lo que impone
FR 1	Control de identificación y autenticación (CAI)	Verifique la identidad de cada usuario, proceso y dispositivo antes de otorgar acceso.
FR 2	Control de uso (CU)	Aplicar privilegios tras la autenticación, restringir el uso de medios portátiles y registrar las acciones.
FR 4	Confidencialidad de los datos (CD)	Proteja la información confidencial, tanto en reposo como en tránsito, para evitar su divulgación.
FR 5	Flujo de datos restringido (RDF)	Segmenta la red utilizando zonas y conductos para limitar el flujo de datos.
FR 6	Respuesta oportuna a los eventos (TRE)	Detectar, informar y responder a incidentes de seguridad con registros auditables.
FR 7	Disponibilidad de recursos (AR)	Mantenga los sistemas de control disponibles y resistentes ante ataques de denegación de servicio.

Cómo lograr el cumplimiento de la norma IEC 62443

Una organización que pretenda cumplir con la norma IEC 62443 debe realizar una evaluación de riesgos completa , que incluya la identificación de riesgos importantes, vulnerabilidades y activos críticos relacionados con la totalidad de los Sistemas de Automatización y Control Industrial (IACS). Con base en esta evaluación, se diseña el Sistema de Gestión de Seguridad (SMS), que contiene las políticas, los procesos y las responsabilidades para proteger los IACS, abarcando tanto la ciberseguridad técnica como la organizativa. La segmentación de la red se puede lograr mediante la creación de zonas seguras, cada una con un canal controlado para el movimiento de datos entre ellas. Se deben implementar mecanismos de control de acceso robustos , incluyendo la autenticación multifactor y el acceso basado en roles, para prevenir el acceso no autorizado.

Se debe establecer un sistema de monitoreo continuo para detectar y responder eficazmente a las amenazas a medida que surgen. Asimismo, se implementará un plan de respuesta a incidentes que describa las medidas para contener, recuperar y comunicarse con todas las partes interesadas en caso de incidentes de ciberseguridad. Se debe capacitar al personal para que sepa cómo actuar ante las amenazas de seguridad que enfrenta la organización. Además, todos los proveedores externos con los que trabaja la organización deben cumplir con sus requisitos de seguridad. Esto reduce la exposición a los sistemas de control de acceso e inteligencia (IACS) externos. Finalmente, se deben realizar auditorías de cumplimiento periódicas y obtener certificaciones de terceros para demostrar el cumplimiento de la norma IEC 62443.

¿Qué exige la norma IEC 62443-4-2?

Uno de sus requisitos clave es la adopción de un ciclo de vida de desarrollo seguro (SDL) , que integra la seguridad desde el inicio del desarrollo del producto, asegurando que las pruebas y la validación de seguridad se realicen en cada etapa para salvaguardar la integridad del producto. El estándar también exige procesos de gestión de parches para garantizar actualizaciones oportunas de vulnerabilidades relacionadas con la seguridad operativa. IEC 62443-4-2 destaca la importancia de los mecanismos de control de acceso y autenticación robustos , asegurando que solo los usuarios autorizados puedan acceder a los componentes de IACS, lo que se alinea con la seguridad de confianza cero.

También incorpora medidas de seguridad física para prevenir el acceso físico no autorizado y proteger los sistemas aislados de la red. La protección de datos es un aspecto clave, con requisitos de cifrado para salvaguardar la información confidencial, además de controles para mantener la integridad del sistema y detectar malware o modificaciones no autorizadas. La norma también hace hincapié en la resiliencia del sistema ante ciberataques , exigiendo que los componentes mantengan operaciones seguras ante amenazas, y establece mecanismos obligatorios de detección y respuesta ante incidentes para abordar rápidamente las brechas de seguridad.

El cumplimiento de la norma IEC 62443-4-2 no es sencillo debido a su alta complejidad técnica, la gran demanda de recursos y experiencia, y la necesidad de un monitoreo y mantenimiento continuos de las medidas de seguridad durante todo el ciclo de vida de los componentes de los sistemas de control industrial. La implementación de la norma requiere un profundo conocimiento tanto de los principios de ciberseguridad como de los requisitos operativos específicos de los sistemas de control industrial. Además, implica abordar desafíos como los sistemas heredados, los recursos limitados para las organizaciones más pequeñas y la naturaleza cambiante de las ciberamenazas, lo que exige actualizaciones y ajustes constantes de las prácticas de seguridad.

Dónde encajan la criptografía y la infraestructura de clave pública (PKI) en la norma IEC 62443. 

La criptografía es fundamental para cumplir con varios requisitos básicos en la práctica. La autenticación de dispositivos y usuarios según el FR 1 depende cada vez más de certificados digitales emitidos por una infraestructura de clave pública (PKI), de modo que cada controlador, sensor o estación de operador pueda demostrar su identidad en lugar de compartir una contraseña estática. La autenticación basada en certificados es una forma común de alcanzar el nivel de seguridad 2 y superiores para el FR 1.

La integridad del sistema (FR 3) utiliza firmware firmado y firma de código para confirmar que el software no ha sido alterado, y la confidencialidad de los datos (FR 4) utiliza TLS y otros canales cifrados a través de las conexiones. Implementar esto a escala industrial implica emitir, renovar y revocar un gran número de certificados de forma fiable, y es aquí donde una infraestructura de clave pública (PKI) gestionada y la gestión del ciclo de vida de los certificados se convierten en parte del programa de seguridad de la tecnología operativa (OT). Véase también cómo la PKI protege el ecosistema de IoT.

Funciones y certificación 

La norma IEC 62443 asigna responsabilidades a tres roles, y existe una certificación para cada uno. El propietario del activo opera el sistema de control integrado de seguridad (IACS) y es responsable del programa de seguridad general. El integrador de sistemas diseña y pone en marcha la solución. El proveedor del producto fabrica los componentes y sigue el ciclo de vida de desarrollo seguro descrito en la norma 62443-4-1. 

La conformidad independiente está disponible a través del programa ISASecure, que certifica componentes (CSA), sistemas (SSA) y procesos de desarrollo (SDLA) según las partes pertinentes del estándar. Obtener una certificación es una prueba que puede presentar a clientes, reguladores y aseguradoras. 

Cómo iniciar un programa IEC 62443 

La mayoría de los equipos siguen esta secuencia para pasar de no tener un programa formal a tener uno defendible: 

1. Identifique el sistema en cuestión e inventarien todos los activos, incluidos los dispositivos heredados. 

2. Realice una evaluación inicial de riesgos de alto nivel para determinar las peores consecuencias posibles. 

3. Divida el sistema en zonas y conductos y asigne un nivel de seguridad objetivo a cada uno (62443-3-2). 

4. Realizar un detallado evaluación de riesgos por zona y documentar los controles necesarios en una especificación de requisitos de ciberseguridad. 

5. Asigne cada control a un requisito fundamental y seleccione los sistemas y componentes que cumplan con los niveles de capacidad (62443-3-3 y 62443-4-2). 

6. Construir el programa de apoyo: políticas, administración de certificados y claves, monitoreo y respuesta a incidentes (62443-2-1). 

7. Valide los niveles de seguridad alcanzados y, a continuación, manténgalos y reevalúelos a medida que cambien la planta y el panorama de amenazas. 

Cómo ayuda la consultoría de cifrado 

Los servicios de asesoramiento en cumplimiento normativo de Encryption Consulting ayudan a los propietarios e integradores de activos a desarrollar un programa IEC 62443, realizar la evaluación de riesgos de zonas y conductos 62443-3-2 e implementar la gestión de certificados y claves de la que dependen las normas FR 1, FR 3 y FR 4. Nuestro trabajo está respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

En lo que respecta a la capa criptográfica, CertSecure Manager y nuestros servicios PKI emiten y gestionan certificados de dispositivos y usuarios en entornos OT a gran escala.

Preguntas frecuentes 

¿Es obligatoria la norma IEC 62443? 

La norma IEC 62443 es voluntaria, no obligatoria. Sin embargo, los organismos reguladores y los clientes la exigen cada vez con mayor frecuencia. Marcos normativos como la Directiva NIS2 de la UE y las regulaciones sectoriales señalan a la IEC 62443 como el método reconocido para garantizar la seguridad de los sistemas industriales, y muchos contratos de adquisición exigen ahora la certificación ISASecure o el cumplimiento de la norma 62443, lo que la convierte, en la práctica, en obligatoria en muchas cadenas de suministro. 

Cuál es la diferencia entre ¿IEC 62443 y NIST CSF? 

El Marco de Ciberseguridad del NIST es un conjunto amplio e independiente del sector para gestionar el riesgo cibernético en TI y OT. La norma IEC 62443 está diseñada específicamente para sistemas de automatización y control industrial y profundiza en el tema, con requisitos técnicos específicos para zonas, conductos, niveles de seguridad y componentes. Muchas organizaciones utilizan el Marco de Ciberseguridad del NIST para la gobernanza y la norma IEC 62443 para los controles detallados de OT. 

¿Cuáles son los niveles de seguridad de la norma IEC 62443? 

La norma IEC 62443 define cuatro niveles de seguridad. El nivel 1 protege contra el uso indebido casual o accidental, el nivel 2 contra ataques intencionados simples, el nivel 3 contra ataques sofisticados que utilizan habilidades específicas de IACS, y el nivel 4 contra ataques sofisticados con recursos ampliados, como los de actores estatales. Se asigna un nivel objetivo a cada zona en función de una evaluación de riesgos. 

¿La norma IEC 62443 exige cifrado? 

La norma IEC 62443 no impone un algoritmo específico, pero sus requisitos fundamentales guían la criptografía en la práctica. El control de identificación y autenticación (FR 1) suele utilizar la autenticación de dispositivos mediante certificados; la integridad del sistema (FR 3) utiliza firmware y código firmados; y la confidencialidad de los datos (FR 4) utiliza canales cifrados como TLS. Cuanto mayor sea el nivel de seguridad deseado, mayor será la cantidad de controles criptográficos que normalmente requiere una zona. 

¿Qué relación guarda la norma IEC 62443 con la norma NIS2? 

La Directiva NIS2 de la UE establece obligaciones legales en materia de ciberseguridad para entidades esenciales e importantes, incluyendo a muchos operadores industriales. NIS2 especifica las obligaciones, pero no los detalles técnicos. La norma IEC 62443 proporciona dichos detalles para las tecnologías operativas (OT), por lo que implementar la IEC 62443 es una vía práctica para demostrar la gestión de riesgos y la seguridad de la cadena de suministro que exige NIS2. 

Cree su programa IEC 62443 

¿Listo para delimitar sus zonas y subsanar sus deficiencias de seguridad? Hable con un asesor de cumplimiento de Encryption Consulting o comience a sentar las bases criptográficas con CertSecure Manager.