IEC 62443シリーズの構成と役割

IEC 62443-2-1:2024は、運用中IACSに関する資産所有者のセキュリティプログラムを扱います。IECによれば、この文脈では資産所有者に運用者も含まれます。対象はIACSセキュリティに関するポリシーと手順であり、すべてのレガシーシステムがすでに備えていなければならない技術機能の一覧ではありません。

運用施設における役割、リスク手法、パッチ適用の制約、代替措置、サプライヤーの責任、長期運用システムの管理方法が論点となる場合、このパートがよく関係します。

IEC 62443-2-4:2023は、自動化ソリューションの統合および保守において、IACSサービスプロバイダーが資産所有者に提供できる、セキュリティ関連プロセスを扱います。IECは、これらの能力をポリシー、手順、実務、人員に関するものと説明しています。

このパートは、システムインテグレーターと保守プロバイダーのプロセスを対象とします。製品能力と資産所有者の運用プログラムは、別のパートで評価します。

IEC 62443-3-2:2020は、評価対象システムの定義、ゾーンとコンジットへの分割、各ゾーンおよびコンジットのリスク評価、SL-Tの設定、セキュリティ要件の文書化に関する要件を定めます。

IEC 62443-3-3:2013は、7つの基本要件に結び付いた詳細な制御システム要件を定めます。特定の資産について目標セキュリティレベルを策定する際は、評価対象システムのゾーンおよびコンジットと併せて用います。

IEC 62443-4-1:2018は、IACSで用いる製品の開発者および保守者に適用されます。IECが示すライフサイクルには、セキュリティ要件の定義、安全な設計、安全な実装、検証と妥当性確認、欠陥管理、パッチ管理、製品のライフ終了が含まれます。

IEC 62443-4-2:2019はIACSコンポーネントに適用されます。IEC TS 62443-1-1の7つの基本要件を通じて、コンポーネント要件とコンポーネントのセキュリティ能力レベルを定義します。

IEC TS 62443-6-1:2024は、IEC 62443-2-4の評価方法です。IECによれば、第一者、第二者、第三者による適合性評価活動において、再現性のある評価結果を支援します。2-4の要件に代わるものではありません。