IEC 62443, la referencia técnica
No es una ley: es la serie de normas que define cómo se hace seguridad industrial bien hecha. Cuando un auditor, un cliente o un seguro quieren medir su planta, miden contra esto.
La serie IEC 62443 reparte responsabilidades entre tres papeles: el propietario del activo (usted, si opera la planta), el integrador que diseña y monta los sistemas, y el fabricante de los componentes. Cada parte de la serie se dirige a uno de ellos, y por eso intentar «cumplir la 62443» entera es un malentendido frecuente: a una planta le aplican sobre todo la 2-1, la 3-2 y la 3-3.
Su herramienta central son las zonas y conductos: agrupar los activos por criticidad y controlar estrictamente qué pasa entre grupos. Y su escala son los niveles de seguridad (SL 1 a 4), que gradúan las defensas según el atacante del que quiera protegerse: de un curioso con suerte a un grupo profesional con recursos.
| Requisito | Qué significa en OT |
|---|---|
| 62443-2-1 — Programa de seguridad (CSMS) | El sistema de gestión: política, roles, inventario, gestión de riesgos y mejora continua aplicados a OT. Es el paraguas del que cuelga todo lo demás. |
| 62443-3-2 — Evaluación de riesgos y particionado | Definir zonas y conductos sobre la red real y asignar a cada zona su nivel de seguridad objetivo (SL-T). Requiere conocer los flujos de verdad, no los del plano de proyecto. |
| 62443-3-3 — Requisitos de sistema por SL | El catálogo de requisitos técnicos que debe cumplir cada zona según su SL objetivo: autenticación, integridad, restricción de flujos, registro de eventos, disponibilidad. |
| Niveles SL 1–4 | SL1 protege frente a errores y curiosos; SL2 frente a atacantes con medios sencillos; SL3 frente a atacantes con medios y motivación; SL4 frente a grupos con grandes recursos. Elegir el SL es una decisión de negocio, no técnica. |
| 62443-2-4 — Requisitos a integradores | Qué debe exigir por contrato a quien le monta o mantiene sistemas: gestión de accesos, personal formado, entornos de prueba. Útil como anexo de compras. |
| 62443-4-1 y 4-2 — Fabricantes de producto | Ciclo de vida de desarrollo seguro y requisitos técnicos del componente. Si usted fabrica producto, es su parte de la serie y la antesala del CRA. |
Trabajamos con la 62443 como herramienta de diseño y de verificación, no como papeleo:
- Diagnóstico OT — evalúa su estado frente a la 2-1 y da el inventario que la 3-2 presupone.
- Segmentación IT/OT — es la 3-2 llevada a la práctica: zonas, conductos y SL objetivo por zona.
- Hacking ético IT y OT — verifica que el SL alcanzado es el declarado, que es lo que un papel no puede demostrar.
- Para fabricantes — 4-1 y 4-2: desarrollo seguro y certificación de componentes, camino también del CRA.