安全管理スタッフは、CSMS（サイバーセキュリティ管理システム）の利害関係者です。CSMS は、ISA/IEC 62443-2-1 標準1 に基づいて、産業オートメーションおよび制御システム (IACS) のサイバーセキュリティを管理するためのフレームワークです。CSMS は、ICS セキュリティ プログラム全体の目的、ポリシー、メトリック、ガバナンスを定義します2。CSMS には、リスク評価、セキュリティ設計、実装、監視、改善のプロセスも含まれます3。安全管理スタッフは、IACS とそれに依存する人、環境、資産の安全性を確保する責任があるため、CSMS の開発と実装に関与しています。安全管理スタッフは、セキュリティ管理スタッフと連携して、安全性とセキュリティの要件を調整し、サイバー脅威から生じる安全性のリスクを特定して軽減し、サイバー攻撃によって引き起こされる安全性インシデントを監視および対応する必要があります。
参考文献:
* 1: ISA/IEC 62443-2-1: 産業オートメーションおよび制御システムのセキュリティ プログラムの確立、ISA、2010 年。
* 2: IEC 62443規格を採用するための実践的なアプローチ - ISAGCA
* 3: ISA ISA-IEC-62443 ISA/IEC 62443 サイバーセキュリティ基礎スペシャリストオンライントレーニング - Exam4Training
* [4]: ISA/IEC 62443規格を使用した制御システムのセキュリティ保護、ISA、2018年。

IACS のリスク分析カテゴリは、ビジネス上の根拠とリスクの特定と分類の 2 つの要素で構成されています1。ビジネス上の根拠は、リスク分析の範囲、目的、基準、および関連する利害関係者の役割と責任を定義するプロセスです。リスクの特定と分類は、IACS に対するサイバー攻撃の資産、脅威、脆弱性、および結果を識別し、攻撃の可能性と影響に基づいて各シナリオにリスク レベルを割り当てるプロセスです1。これらの要素は、IACS の現在のリスク状況のベースラインを確立し、リスクを許容レベルまで低減するための適切なリスク処理対策を決定するために不可欠です。参考文献: 1:
ISA/IEC 62443-3-2:2020、産業オートメーションおよび制御システムのセキュリティ - パート3-2：システム設計のセキュリティリスク評価、国際オートメーション協会、リサーチトライアングルパーク、ノースカロライナ州、米国、2020年。

対策の選択は、産業オートメーションおよび制御システム (IACS) 内の各ゾーンとコンジットのリスクとそれに関連する可能性および結果を特定するリスク評価の出力によって決定されます。リスク評価では、各ゾーンとコンジットの目標セキュリティ レベル (SL-T) も決定されます。これは、特定された脅威に対する望ましい保護レベルを表します。次に、対策は、ゾーンとコンジットの SL-T と既存のセキュリティ レベル (SL-A)、および実装のコストと実現可能性に基づいて選択されます。対策は、SL-T を満たすか超えるように SL-A を増やすことで、リスクを許容レベルまで低減することを目指す必要があります。参考文献: ISA/IEC 62443-3-2:2018 - システム設計のセキュリティ リスク評価、ISA/IEC 62443-3-3:2013 - システム セキュリティ要件とセキュリティ レベル、ISA/IEC 62443 サイバーセキュリティの基礎スペシャリスト トレーニング コース