Question 1

研發長導入 IEC 62443-4-1：安全開發流程要改什麼、要多久？

Accepted Answer

研發長導入 IEC 62443，先依公司角色判定要做哪幾個子標準；產品製造商的核心是 4-1 安全開發生命週期（SDL），而且取得 4-2 產品認證前，組織必須先完成 4-1 認證。服務頁所列時程：4-1 SDL 組織認證通常 6–9 個月，4-2 產品認證 4–8 個月（不含 4-1）。IEC 62443 認證本身不等於推定符合 EU CRA（CRA 第 27 條），產品出口歐盟時要另外確認 CRA 的符合性評估程序。

Question 2

研發長要先判定 IEC 62443 的哪幾個子標準？

Accepted Answer

IEC 62443 是一系列標準，資產擁有者、系統整合與服務商、產品製造商適用的組合不同，組合選錯就是白做：
子標準 / 管什麼
2-1 / 資產擁有者的安全計畫
2-4 / 服務商
3-3 / 系統的安全要求與安全等級
4-1 / 產品的安全開發流程
4-2 / 元件的技術要求
研發長要先回答：公司是資產擁有者、系統整合與服務商，還是產品製造商？再依角色與客戶目標，決定最小必要的子標準組合，避免投入不需要的認證。

Question 3

4-1 安全開發生命週期，要在開發流程裡加哪些活動？

Accepted Answer

要取得 4-2 產品認證時，先依 4-1 建立五項流程：安全需求、安全架構、程式碼審查、安全測試與漏洞管理。積穗科研的 EU CRA 輔導流程，也依 IEC 62443-4-1 的八個安全開發生命週期實踐落地，包含威脅建模、SAST/DAST 測試、滲透測試與 SBOM 建立。
掛進既有流程的原則：62443-4-1 的安全開發活動，放進既有的設計審查與測試關卡；研發記錄與文件沿用既有的保管規則，不另建一套。公開發行公司的內部控制已涵蓋研發循環（內控處理準則第 7 條第八款）；非公開發行公司不受此準則規範，可以自願參考。

Question 4

產品認證要排多久？4-1 和 4-2 的先後怎麼算進上市時程？

Accepted Answer

先 4-1、後 4-2：取得 4-2 產品認證前，組織必須先完成 4-1 SDL 認證。服務頁所列時程（積穗科研的輔導經驗，不是標準或驗證機構的規定）：
項目 / 通常時程
4-1 SDL 組織認證 / 6–9 個月
4-2 產品認證 / 4–8 個月（不含 4-1 建立時程）
2-1 管理系統 / 4–6 個月
2-4 服務供應商認證 / 3–5 個月
排產品上市時程時，4-2 的月數要加在 4-1 之後計算，不能並列。

Question 5

目標安全等級（SL）與系統分區，研發要依什麼決定？

Accepted Answer

目標安全等級要先確認依據：是依客戶規格，還是依風險評估決定。IEC 62443-3-3 依攻擊者的手段、資源、技能與動機區分安全等級：
SL 1：防護偶發或意外的違規。
SL 4：防護以精密手段、大量資源、工控專業技能與高動機進行的蓄意攻擊。
系統面依 3-2 劃分區域與管道（zone and conduit）、進行風險評估並設定目標安全等級，再依 3-3 評估系統的安全能力等級；資產擁有者或服務商依 2-1 或 2-4 建立管理制度。研發長要讓設計文件寫明目標等級的來源，避免驗證時說不清楚。

Question 6

客戶要 IEC 62443 認證，和歐盟 CRA 是什麼關係？

Accepted Answer

CRA 並未要求 IEC 62443 認證，取得認證也不等於推定符合 CRA。依 CRA 第 27 條，推定符合只來自刊登於歐盟公報的協調標準、共同規格，或依歐盟《網路安全法》（(EU) 2019/881）採行的歐洲網路安全認證方案。
在工業、能源、製造等領域，IEC 62443 可作為落實 CRA 附件 I 要求與差距分析的參考。所以研發長要分兩條線排程：一是客戶要的 62443 認證，二是產品依 CRA 應採用的符合性評估程序（含產品在 CRA 屬於哪一級）。

Question 7

送驗前研發要準備什麼？驗證機構和顧問怎麼分工？

Accepted Answer

依目標認證等級，安排符合性自評，或委託認證機構進行第三方認證，並準備技術文件包。
認證機構：執行認證測試與核發證書，但不提供制度建立輔導。依 ISO/IEC 17065 第 4.2.6 條，驗證機構及同一法人、其組織控制下的單位不得向其客戶提供顧問服務。
顧問：診斷子標準組合，依標準建立 SDL 流程、管理制度與技術文件，執行認證前預審，並協調與認證機構的溝通。
研發長選定驗證機構時，要確認它和顧問不是同一法人或其控制下的單位。

Question 8

積穗科研怎麼協助研發長處理 IEC 62443？

Accepted Answer

由副總、董事級顧問全程親自輔導、不外包。服務頁所列五步：
角色定位與子標準適用性診斷，找出最小必要的子標準組合。
4-1 SDL 安全開發能力建立（組織前置）。
2-1／2-4 安全管理制度建立。
3-3／4-2 技術要求評估與落地。
符合性評估與第三方認證：準備技術文件包、認證前預審、協調認證機構，並確認產品依 CRA 應採用的符合性評估程序。
積穗科研是顧問、不發證，也不把 IEC 62443 認證當作 CRA 的推定符合。
深入：IEC 62443 工控資安輔導、IEC 62443 顧問怎麼選、研發長要放進研發流程的要求、EU CRA 合規輔導。申請免費機制診斷