IEC 62443-2-1：資産所有者のセキュリティプログラム
Sytance · 更新日
IEC 62443-2-1:2024は、運用中IACSに関する資産所有者のセキュリティプログラムを扱うパートです。この文脈の運用者を含む資産所有者向けのポリシー・手順規格です。レガシーシステムの技術的能力が限られていることから生じるリスクを含め、組織がセキュリティをどのように管理するかを扱います。
資産所有者の責任
IEC 62443-2-1:2024は、運用中IACSを管理するためのポリシーと手順を扱います。以前の資料では、これをサイバーセキュリティ管理システムと呼ぶことが多くありました。いずれの場合も、対象はシステム全体にわたる資産所有者の継続的なセキュリティ管理です。
資産所有者と運用者
2-1の適用範囲は、運用中IACSに責任を負う組織です。IECの2024年公開説明では運用者も含まれます。
セキュリティプログラム
プログラムでは、安全な運用、リスク処置、責任、監視、継続的な管理に関するポリシーと手順を定めます。
運用中IACS
対象は、人員と業務プロセスを含む、運用環境下の産業用オートメーションおよび制御システムです。
技術能力に関するポリシー
IEC 62443-2-1:2024は、プログラム上の責任と本来備わる技術能力を意図的に区別しています。資産所有者は、関連するセキュリティ領域に関するポリシーと手順を整備する必要があります。この規格によって、旧式のコントローラー、サポート対象外のエンジニアリングワークステーション、長期運用のSCADAシステムに最新のセキュリティ機能が備わるわけではありません。
- プログラムの対象となる資産インベントリーとIACS境界。
- IACSの運用、保守、変更に関する役割と責任。
- 可用性、安全性、パッチ適用期間など、IACS特有の制約を考慮したリスク処置の判断。
- 脆弱性対応、アクセス、バックアップ、リモートアクセス、マルウェア対策、変更管理に関するポリシー。
- 資産所有者のプログラムと整合させる必要があるサプライヤーおよびサービスプロバイダーの責任。
レガシーシステムと代替措置
IECは、IACSの寿命が20年を超えることがあり、一部のレガシーハードウェアまたはソフトウェアはサポート対象外になる可能性を認めています。リスク処置と代替措置により、欠けている能力を補うことができます。評価では、こうした措置と製品に組み込まれた機能を区別する必要があります。
サポート対象外のコンポーネント
サポート対象外のソフトウェアや利用できないバックアップツールによって、資産所有者のリスク管理方法が変わります。プログラムでは、パッチ適用や復旧に関する制約に対処する必要があります。
代替措置
本来備わる技術能力が存在しない場合、または許容できない運用上の影響なしには利用できない場合、代替措置をプログラムに含めます。
IEC 62443の他のパートとの境界
資産所有者のプログラムはIEC 62443の他のパートと連携しますが、それらに代わるものではありません。同一組織が複数の役割を担う場合でも、主張には正しいパートと評価対象を明記する必要があります。
- IEC 62443-2-4は、統合および保守活動に関するサービスプロバイダーのセキュリティプロセスを扱います。
- IEC 62443-3-2は、定義された評価対象システム、ゾーン、コンジット、SL-T、文書化されたセキュリティ要件のリスク評価を扱います。
- IEC 62443-3-3は、制御システムのセキュリティ要件とシステム能力を扱います。
- IEC 62443-4-1は、製品サプライヤーの安全な開発ライフサイクルを扱います。
- IEC 62443-4-2は、IACSコンポーネントの技術的能力を扱います。
委託しても適用範囲は移転しない
資産所有者は、証拠や実務の遂行をサプライヤー、インテグレーター、保守プロバイダーに頼ることができますが、2-1に関する主張は引き続き、当該IACSに対する資産所有者のセキュリティプログラムを対象とします。
製品法上の扱いは別個
運用管理、施設上の責任、長期運用IACSのリスク管理が論点となる場合、IEC 62443-2-1は製品法または顧客向けの証拠を裏付けることがあります。それだけで製品認証書、コンポーネント能力レベル、CRA上の適合性推定が成立するわけではありません。法的なファイルには、適用法令、製品またはシステムの境界、裏付ける要件、使用する規格の情報源の状況を記載する必要があります。