IEC 62443 産業サイバーセキュリティ規格
Sytance · 更新日
IEC 62443は、産業用オートメーションおよび制御システム (IACS) 向けのサイバーセキュリティ規格シリーズです。各パートでは、運用組織、サービスプロバイダー、システム設計、安全な製品開発、コンポーネントの能力を扱います。
産業用制御システムの規格
このシリーズは、ライフサイクル全体にわたる産業用オートメーションおよび制御システムを扱います。デバイスだけを対象とする規格でも、ネットワークセキュリティの基準だけでもありません。同一施設でも、資産所有者のセキュリティプログラム、提供サービス、システム設計、供給製品に関する記録が必要となる場合があります。
役割と適用範囲
製品、サービス、工場が単に「IEC 62443に準拠している」と述べるのはよくある誤りです。適合性を主張するには、役割、規格のパート、版、評価範囲を特定する必要があります。
資産所有者
運用環境、ポリシー、リスク判断、および多くの施設レベルの管理策を担います。
システム設計者
システム境界、ゾーン、コンジット、要件、目標セキュリティレベルを定めます。
製品サプライヤー
供給する製品について、安全な開発の証拠とコンポーネントの能力に関する証拠を提供します。
サービスプロバイダー
定義されたプロファイルに沿って、統合、保守、関連サービスに関する能力を示します。
実務でよく用いられる主要パート
以下の6パートが一般的な出発点です。それぞれ、IACSのライフサイクルにおける異なる責任と段階に要件を適用します。
IEC 62443-2-1
運用中のIACSに関する資産所有者のセキュリティプログラム。
IEC 62443-2-4
統合および保守を行うサービスプロバイダーの能力。
IEC 62443-3-2
システムリスク評価、ゾーン、コンジット、目標セキュリティレベル。
IEC 62443-3-3
システムのセキュリティ要件とセキュリティレベル。
IEC 62443-4-1
製品サプライヤー向けの安全な製品開発ライフサイクル。
IEC 62443-4-2
IACSコンポーネントの技術的セキュリティ能力要件。
ゾーン、コンジット、セキュリティレベル
システム評価では通常、まず評価対象システム、そのゾーンとコンジットを定義し、次にリスクを評価します。セキュリティレベルは、定義された範囲における目標または達成済みの能力を表します。製品の宣伝文句として曖昧に用いるべきではありません。
認証と製品法
認証スキームと製品法では、IEC 62443の使い方が異なります。認証書は、記載された範囲内のプロセス、コンポーネント、システム、またはサービスの能力を示すことがあります。製品法への適合性は、適用法、製品、要件、版、認められた規格ルートに基づいて判断されます。