リスク分析カテゴリには、検討中のサイバーフィジカルシステム (CPS) に関連するリスクを特定して評価するために使用される背景情報が含まれています。この情報には、システムの説明、脅威モデル、脆弱性分析、リスク評価方法、およびリスク受け入れ基準が含まれます。リスク分析カテゴリは、リスク ID、リスク削減、リスク受け入れ、およびリスク監視要素など、CSMS 内の他の多くの要素の入力として使用されます。リスク分析カテゴリは、リスク管理プロセスの基礎を提供し、CPS におけるサイバーセキュリティへの一貫性のある体系的なアプローチを確保するのに役立ちます。参考文献:
* ISA/IEC 62443規格を使用した制御システムのセキュリティ保護、13ページ
* [ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト学習ガイド]、34ページ

安全な製品開発ライフサイクル要件に対応するフレームワークを提供する主な目的の 1 つは、セキュリティ ポリシーと手順が適切に文書化されていることを確認することです。この目的は、ソフトウェアまたはシステムの開発プロセス全体に統合された、構造化され標準化されたセキュリティ アプローチを確立するため、非常に重要です。このフレームワークは、開発プロセスをセキュリティのベスト プラクティスに合わせるのに役立ち、セキュリティの脆弱性に関連するリスクを軽減します。セキュリティ ポリシーと手順を文書化することで、セキュリティに関する考慮事項が一貫して適用され、ISA/IEC 62443 などの関連規格への準拠が維持されます。この基本的なアプローチは、セキュリティを後から考慮するのではなく、製品開発のライフサイクルにセキュリティに関する考慮事項を直接組み込むことで、全体的なセキュリティ体制をサポートします。

IPSec は、VPN 経由の安全なデータ転送を管理するためによく使用されるプロトコルです。IPSec は Internet Protocol Security の略で、IP ネットワーク上の 2 台以上のデバイス間でやり取りされるデータ パケットを暗号化および認証する方法を定義する一連の標準です。IPSec は、トランスポート モードとトンネル モードの 2 つのモードで動作できます。トランスポート モードでは、IPSec は IP パケットのペイロードのみを暗号化し、ヘッダーはそのまま残します。トンネル モードでは、IPSec は IP パケット全体を暗号化し、新しい IP ヘッダーにカプセル化します。トンネル モードは、IP パケットの元の送信元アドレスと送信先アドレスを盗聴やなりすましから保護できるため、より安全で VPN に適しています。IPSec は、認証ヘッダー (AH) とカプセル化セキュリティ ペイロード (ESP) という 2 つの主要なプロトコルを使用してセキュリティ サービスを提供します。AH はデータの整合性とソース認証を提供しますが、機密性は提供しません。ESP は、データの整合性、ソース認証、および機密性を提供します。 IPSec は、暗号化と認証に使用されるパラメータとキーであるセキュリティ アソシエーション (SA) を確立および管理するために、インターネット キー交換 (IKE) とインターネット セキュリティ アソシエーションおよびキー管理プロトコル (ISAKMP) という 2 つのプロトコルも使用します。IKE は、2 つのデバイス間で暗号化キーをネゴシエートして交換するプロトコルです。ISAKMP は、キー交換と SA 管理に使用されるメッセージの形式と構造を定義するプロトコルです。
参考文献:
* ISA/IEC 62443-3-3:2018、セクション4.2.3.7.1、VPN1
* ISA/IEC 62443-4-2:2019、セクション4.2.3.7.1、VPN
* ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト学習ガイド、セクション 5.3.2、VPN
* ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト試験仕様、セクション5.3.2、VPN

ISA/IEC 62443 規格によれば、セキュリティ ゾーン間の接続はコンジットと呼ばれます。コンジットは、共通のセキュリティ要件を共有する 2 つ以上のゾーンを接続する通信チャネルの論理的または物理的なグループとして定義されます。コンジットを使用すると、ゾーン間のデータ フローを制御および監視したり、暗号化、認証、フィルタリング、ログ記録などのセキュリティ対策を適用したりできます。また、セキュリティ侵害やインシデントが発生した場合に、コンジットを使用してゾーンを相互に分離することもできます。コンジットは、ファイアウォール、ルーター、スイッチ、ケーブル、ワイヤレス リンクなどのさまざまなテクノロジを使用して実装できます。
ただし、これらのテクノロジはコンジットのコンポーネントにすぎないため、コンジットと同義ではありません。たとえば、ファイアウォールは、異なるゾーン間に複数のコンジットを作成したり、単一のゾーンを外部の脅威から保護したりするために使用できます。したがって、他のオプション (ファイアウォール、トンネル、パスウェイ) は、セキュリティ ゾーン間の接続の正しい名前ではありません。参考資料:
* ISA/IEC 62443-3-2:2016 - 産業オートメーションおよび制御システムのセキュリティ - パート3-2: セキュリティリスク評価とシステム設計1
* ISA/IEC 62443-3-3:2013 - 産業オートメーションおよび制御システムのセキュリティ - パート3-3: システムセキュリティ要件とセキュリティレベル2
* ゾーンとコンジット | Tofino 産業セキュリティ ソリューション 3
* ISA/IEC 62443 の主要概念: ゾーンとセキュリティ レベル | Dragos4

ISA/IEC 62443 標準に従ってサイバーセキュリティ管理システム (CSMS) を監視および改善するには、システムが引き続き有効であり、新たな脅威に対応できるようにするいくつかの重要なアクティビティが必要です。
この継続的なプロセスの 2 つの重要な要素は次のとおりです。
* A. スタッフのトレーニングとセキュリティ意識の向上: 定期的なトレーニングとスタッフのセキュリティ意識の向上は、安全な運用環境を維持するために不可欠です。この予防策は、人為的ミスを減らし、サイバーセキュリティ インシデントに効果的に対応する能力を高めるのに役立ちます。
* D. システム ログおよびその他の重要なデータ ファイルのレビュー: システム ログおよびその他の関連データ ファイルの継続的なレビューと分析は、潜在的なセキュリティ インシデントの検出、調査、および対応に不可欠です。この監視は、セキュリティ侵害や注意が必要な運用上の問題を示す可能性のある異常を特定するのに役立ちます。