标准族的构成逻辑
IEC 62443 是面向工业自动化与控制系统的信息安全标准族，由多个部分组成，按「通用—策略与流程—系统—组件」四个层次组织，同时按角色区分资产所有者、系统集成商、产品供应商与服务提供商。它不是一份文档，而是一整套：通用的术语与模型、面向所有者与集成商的管理流程、面向系统的技术要求与安全等级、面向产品的开发与技术要求。使用时先确定自己处在哪个层次与哪个角色，再去定位对应部分。
四个层次
| 通用层 | 术语、概念、模型与常用安全技术，建立共同语言 |
|---|---|
| 策略与流程层 | 资产管理体系、补丁管理、服务提供商安全要求 |
| 系统层 | 风险评估与系统设计、系统安全要求与安全等级 |
| 组件层 | 产品安全开发生命周期、组件技术要求 |
| 角色维度 | 资产所有者、系统集成商、产品供应商、服务提供商各自适用不同部分 |
主要部分与使用者
| 部分 | 主题 | 主要使用者 |
|---|---|---|
| 62443-1-1 | 术语、概念与模型 | 所有角色，建议先读 |
| 62443-2-1 | IACS 安全管理体系要求 | 资产所有者 |
| 62443-2-3 | 补丁管理 | 所有者与集成商 |
| 62443-2-4 | 服务提供商安全要求 | 服务商与采购方 |
| 62443-3-1 | 工业自动化常用安全技术（技术报告性质） | 设计与运维人员 |
| 62443-3-2 | 风险评估与系统设计 | 集成商与所有者 |
| 62443-3-3 | 系统安全要求与安全等级 | 系统集成商 |
| 62443-4-1 | 产品安全开发生命周期 | 产品供应商 |
| 62443-4-2 | 组件技术要求 | 产品供应商 |
使用它的三条建议
- 从角色入口：先确认自己是所有者、集成商还是供应商，再定位应读的部分
- 从安全等级入手：用目标安全等级把风险评估、系统设计与验收串成一条线
- 不要当勾选清单：技术要求只有落到具体区域与管道上才有意义，逐条打勾不等于安全
各部分编号与范围随版本演进会有调整，引用条款时应以现行版本为准，并注意标准在被等同采用为本地标准时可能存在版本差异与补充内容。
常见误区是把 IEC 62443 当成认证目标来做：标准本身不规定认证细则，认证由各机构按其方案实施。企业应根据自身风险评估确定适用范围与等级要求，而不是照搬同行做法。