市場上三種協助 IEC 62443 的角色
| 角色 | 主要做什麼 | 適合解決 |
|---|---|---|
| 驗證與測試機構 | 產品與流程的測試、第三方驗證與發證 | 制度與產品準備好之後的認證 |
| 資安工具與測試服務商 | OT 資產盤點、弱點掃描、滲透測試 | 技術證據的產出 |
| 管理顧問 | 子標準組合判定、安全開發流程與管理制度建立、技術文件與認證前預審 | 從判定到能通過認證的制度整體規劃 |
三者角色不同，多數企業會搭配使用。挑顧問時，要確認對方清楚自己在三者之間的定位。
八個判斷準則
| 準則 | 可以直接問任何顧問的問題 |
|---|---|
| 依角色判定子標準 | 我是資產擁有者、系統整合與服務商，還是產品製造商？要做 2-1、2-4、3-3、4-1、4-2 的哪幾個？ |
| 4-1 與 4-2 的先後 | 要做 4-2 元件認證，4-1 安全開發流程是否已經建立？ |
| 安全等級怎麼定 | 目標安全等級（SL）依據客戶規格還是風險評估決定？ |
| 系統分區與風險評估 | 區域與管道（zone and conduit）怎麼劃分？風險評估怎麼做（IEC 62443-3-2）？ |
| 和 CRA 的關係講清楚 | IEC 62443 認證能不能當作 CRA 的推定符合？我的產品在 CRA 屬於哪一級？ |
| 和驗證機構的分工 | 最後發證的是哪一家？顧問和驗證機構是不是同一法人或其控制下的單位？（依 ISO/IEC 17065 第 4.2.6 條，驗證機構及同一法人、其組織控制下的單位不得向其客戶提供顧問服務） |
| 誰主導、是否外包 | 實際帶案的是誰？有什麼資格？會不會轉包？ |
| 報價範圍是否清楚 | 報價包含哪些交付物、是否含認證前預審？認證費用是否另計？ |
什麼情況不一定需要找顧問
安全開發流程與文件已經成熟、只差第三方認證時，直接找驗證機構即可；只需要弱點掃描或滲透測試報告時，測試服務商可能更直接。產品要出口歐盟時，先確認產品在 CRA 的等級與符合性評估程序，再決定 IEC 62443 要做到哪裡。
積穗科研對應這些準則的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 依角色判定子標準：依設備製造商、系統整合商、服務供應商或資產擁有者的角色與目標，診斷最小必要的子標準組合
- 4-1 與 4-2 的先後：要取得 4-2 產品認證時，先依 4-1 建立安全需求、安全架構、程式碼審查、安全測試與漏洞管理流程
- 安全等級與系統分區：依 3-2 劃分區域與管道、進行風險評估並設定目標安全等級；依 3-3 評估系統的安全能力等級；依 2-1 或 2-4 建立管理制度
- 和 CRA 的關係：不把 IEC 62443 認證當作 CRA 的推定符合；同時確認產品依 CRA 應採用的符合性評估程序
- 和驗證機構的分工：積穗科研是顧問，不發證；認證由企業選定的驗證機構執行，積穗科研負責認證前預審與溝通協調
- 誰主導：副總、董事級顧問全程輔導，不外包
相關問題
- IEC 62443 和 CRA 有什麼關係？ CRA 並未要求 IEC 62443 認證，取得認證也不等於推定符合 CRA；在工業、能源、製造等領域，IEC 62443 可作為落實 CRA 附件 I 要求與差距分析的參考。台灣 CRA 顧問怎麼選
- IEC 62443 認證要多久？ 依積穗科研的輔導經驗（不是標準或驗證機構的規定），4-1 安全開發流程通常 6 至 9 個月；4-2 產品認證 4 至 8 個月（不含建立 4-1 的時間）；2-1 管理制度 4 至 6 個月；2-4 服務商 3 至 5 個月。IEC 62443 工控資安輔導
- SL 1 到 SL 4 差在哪？ IEC 62443-3-3 依攻擊者的手段、資源、技能與動機區分安全等級：SL 1 防護偶發或意外的違規，SL 4 防護以精密手段、大量資源、工控專業技能與高動機進行的蓄意攻擊。IEC 62443 工控資安輔導
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。