我的工控產品要做 IEC 62443 的哪一部分？
IEC 62443 是一系列標準，適用組合依角色而定：
| 子標準 | 管什麼 |
|---|---|
| 4-1 | 產品的安全開發流程 |
| 4-2 | 元件的技術要求 |
| 3-3 | 系統的安全要求與安全等級 |
| 2-1 | 資產擁有者的安全計畫 |
| 2-4 | 服務商 |
資產擁有者、系統整合與服務商、產品製造商適用的組合不同，組合選錯就是白做。產品經理要先確認客戶要的是元件產品認證、系統的安全等級，還是供應商的開發流程能力。
4-2 產品認證要多久？怎麼排進上市時程？
服務頁所列時程（積穗科研的輔導經驗，不是標準或驗證機構的規定）：
| 項目 | 時程 |
|---|---|
| 4-1 SDL 組織認證 | 通常 6–9 個月 |
| 4-2 產品認證 | 4–8 個月（不含 4-1） |
| 2-1 管理系統 | 4–6 個月 |
| 2-4 服務供應商認證 | 3–5 個月 |
順序很重要：取得 4-2 產品認證前，組織必須先完成 4-1 SDL 認證。4-1 尚未建立時，產品經理要把兩段時程都算進上市里程碑。
有 IEC 62443 認證，工控產品就能進歐盟嗎？
不等於。EU CRA 並未要求 IEC 62443 認證，取得認證也不等於推定符合 CRA；推定符合只來自刊登於歐盟公報的協調標準、共同規格或指定認證方案（CRA 第 27 條）。在工業、能源、製造等領域，IEC 62443 可作為落實 CRA 附件 I 要求與差距分析的參考。
產品仍要依 CRA 類別走評估路徑，以工業產品為例：
- 一般產品：PLC、HMI、工業控制器
- 重要產品第 I 類：具管理平面的工業交換器、工業路由器
- 重要產品第 II 類：工業防火牆、入侵偵測或防禦系統
產品規格上的安全等級（SL）怎麼定？
IEC 62443-3-3 依攻擊者的手段、資源、技能與動機區分安全等級：SL 1 防護偶發或意外的違規，SL 4 防護以精密手段、大量資源、工控專業技能與高動機進行的蓄意攻擊。
目標安全等級要依客戶規格或風險評估決定。做法是依 3-2 劃分區域與管道（zone and conduit）、進行風險評估並設定目標安全等級，再依 3-3 評估系統的安全能力等級。產品經理要讓規格書上的 SL 與客戶需求一致，避免為不需要的等級過度投入。
4-1 安全開發流程會改變產品開發的哪些關卡？
4-1 要求建立安全需求、安全架構、程式碼審查、安全測試與漏洞管理流程。服務頁所列的 SDL 落地內容包括威脅建模、SAST/DAST 測試、滲透測試與 SBOM 建立。對應到既有關卡：
- 立案與設計審查：安全需求、安全架構、威脅建模
- 開發與測試：程式碼審查、SAST/DAST、滲透測試
- 上市與維護：SBOM 與漏洞管理
產品要出口歐盟時，這些產出也可作為落實 CRA 附件 I 要求的參考。
客戶要我們出示認證，由誰發證？顧問能做什麼？
依目標認證等級，可安排符合性自評，或委託認證機構進行第三方認證並準備技術文件包。認證機構負責認證測試與發證、不提供制度建立輔導；依 ISO/IEC 17065 第 4.2.6 條，驗證機構及同一法人、其組織控制下的單位不得向其客戶提供顧問服務。
所以建制度、做認證前預審的是顧問；發證的是企業選定的驗證機構。安全開發流程與文件已經成熟、只差第三方認證時，直接找驗證機構即可。
積穗科研怎麼協助產品經理處理 IEC 62443？
積穗科研依企業角色與目標，診斷最小必要的子標準組合，避免過度投入不需要的認證；子標準適用性診斷免費。接著：
- 要取得 4-2 產品認證時，先依 4-1 建立安全需求、安全架構、程式碼審查、安全測試與漏洞管理流程
- 依標準建立技術文件，執行認證前預審，協調與認證機構的溝通
- 同時確認產品依 CRA 應採用的符合性評估程序
積穗科研是顧問、不發證，由副總、董事級顧問全程親自輔導、不外包。延伸：IEC 62443 輔導、IEC 62443 顧問怎麼選、CRA 產品分級。申請免費機制診斷