参照モデルは、適切なセキュリティ プログラムを設計するための全体的な概念的基礎を提供します。IACS セキュリティを担当するすべての関係者が使用できる共通の用語、概念、およびモデルを定義します。参照モデルでは、IACS の一般的な特性、一般的な脅威と脆弱性、セキュリティ ライフサイクル フェーズ、およびセキュリティ レベルについて説明します。参照モデルでは、ゾーンとコンジットの概念も紹介します。これらは、同様のセキュリティ要件を持つ資産をグループ化して分離し、それらの間の通信を制御するために使用されます。参考資料: https://www.cisco.com/c/en/us/td/docs/solutions/Verticals/IoT_Security_Lab/IEC62443_WP.pd
https://www.cisco.com/c/en/us/td/docs/solutions/Verticals/IoT_Security_Lab/IEC62443_WP.pdf

オープン システム インターコネクション (OSI) モデルは、ネットワーク システムの機能を説明するフレームワークです。OSI モデルは、さまざまなネットワーク コンポーネントのコンピューティング機能を分類し、ネットワークを構成するソフトウェアとハ​​ードウェアの相互運用性をサポートするために必要なルールと要件を概説します1。
OSI モデルは、上から順に、物理、データ リンク、ネットワーク、トランスポート、セッション、プレゼンテーション、アプリケーションの 7 つの抽象化層で構成されています。トランスポート層は OSI モデルの 4 番目の層であり、ネットワーク層とセッション層2 間の信頼性が高く効率的なデータ転送を確保する役割を担っています。トランスポート層は、伝送制御プロトコル (TCP) やユーザー データグラム プロトコル (UDP) などのプロトコルを使用して、エラー検出と訂正、フロー制御、輻輳制御、セグメンテーション2 などのエンドツーエンドの通信サービスを提供します。
送信された画像は、OSI モデルの 3D 表現を示しており、各層が積み重ねられています。欠落している層はトランスポート層で、白い矢印が指しているピンク色のボックスで表されます。矢印には「TCP、UDP」というラベルが付いています。
1: OSI モデルとは? 7 つのネットワーク層の説明 | Fortinet 2: OSI モデルとは | 7 つの層の説明
- オタクのためのオタク

OPC Classic は、1024 から 65535 までの任意のポートを動的に割り当てる DCOM を使用します。 包括的な説明: OPC Classic は、分散コンポーネント オブジェクト モデル (DCOM) プロトコルを使用して、異なる産業用制御システム間でのデータ転送を容易にするソフトウェア インターフェイス テクノロジです。 DCOM は、アプリケーションがネットワーク経由で通信できるようにする Microsoft テクノロジです。 ただし、DCOM はセキュリティを考慮して設計されておらず、ファイアウォールの構成にいくつかの課題があります。 主な課題の 1 つは、DCOM が固定の TCP ポート番号を使用せず、最初に開いた接続内で新しいポート番号をネゴシエートすることです。 つまり、中間ファイアウォールは、ワイド オープン ルールでのみ使用でき、攻撃を受ける可能性のあるポートの範囲が広く開いたままになります。 このため、OPC Classic は「ファイアウォールに非常に不向き」であり、提供されるセキュリティと保護が低下します。 参照:
* Tofino Security OPC Foundation ホワイトペーパー
* ステップ 2 (クライアントまたはサーバー): ファイアウォール設定の構成 - GE
* OPC Classic のセキュア ファイアウォール - Design World

セキュリティ ポリシーとは、産業用制御システム (ICS) などの重要なシステム リソースを組織が保護する方法を規定する内部ルールを指します。セキュリティ ポリシーでは、ICS 環境のセキュリティを確保するための目的、範囲、役割、責任、要件、およびセキュリティ対策の実装、監視、実施の手順とガイドラインを定義します。また、セキュリティ ポリシーでは、ICS に対するセキュリティ リスクを評価および管理し、関連する標準、規制、ベスト プラクティスに準拠するためのベースラインも確立します。セキュリティ ポリシーは、ICS セキュリティ プログラムの重要なコンポーネントであり、定期的に文書化、伝達、およびレビューする必要があります。
他の選択肢は、以下の理由により正しくありません。
* A. 正式なガイダンス。正式なガイダンスとは、標準、フレームワーク、ガイドライン、ベストプラクティスなど、組織のICSセキュリティ体制の改善に役立つ外部の情報源や推奨事項を指します。正式なガイダンスは内部ルールではなく、セキュリティポリシーとコントロールを開発、実装、評価するために使用できるリファレンスです。たとえば、ISA/IEC
62443 シリーズの標準は、サイバー脅威から ICS を保護する方法に関する正式なガイダンスを提供します1。
* B. 法律。法律とは、電力部門の NERC CIP 標準 2 や重要インフラ事業者の EU NIS 指令 3 など、ICS セキュリティ パフォーマンスに関して組織に法的義務と罰則を課す外部の法律や規制を指します。法律は内部ルールではなく、組織が満たさなければならないコンプライアンス要件です。組織はセキュリティ目標と実践を法的期待と結果に合わせる必要があるため、法律はセキュリティ ポリシーと制御にも影響を及ぼす可能性があります。
* D. 行動規範。行動規範とは、企業の行動を導く一連の倫理原則と価値観を指します。
* 組織とその従業員の行動と意思決定、たとえば正直さ、誠実さ、敬意、説明責任など。行動規範は、重要なシステム リソースを保護するための内部ルールではなく、ビジネスを遂行し、良好な評判を維持するための一般的な規範です。行動規範は、ICS 関係者の間で責任感と信頼感を育むことができるため、セキュリティ ポリシーと文化をサポートすることもあります。
参考文献:
* 1: 産業用制御システムを保護するための ISA/IEC 62443 規格
* 2: NERC重要インフラ保護基準
* 3: EUネットワークおよび情報システム指令

「リスクへの対処」CSMS カテゴリは、セキュリティ ポリシー、組織、および認識、選択されたセキュリティ対策、およびセキュリティ プログラムの実装の 3 つの要素グループで構成されています1。これらの要素グループは、セキュリティ目標、役割と責任、ポリシーと手順、認識とトレーニング、セキュリティ対策の選択と実装、およびセキュリティ プログラムの実行と保守の定義の側面をカバーしています1。「リスクへの対処」CSMS カテゴリは、検討中のシステム (SuC)1 に適切なセキュリティ対策を適用することにより、セキュリティ リスクを許容レベルまで低減することを目的としています。参照: 1: ISA/IEC 62443-2-1: 産業オートメーションおよび制御システムのセキュリティ:
産業オートメーションおよび制御システムのセキュリティ プログラムの確立