ISA/IEC 62443-3-2 規格によると、対策の実装は、システム設計のセキュリティ リスク評価の手順の 1 つです。この規格では、特定の産業オートメーションおよび制御システム (IACS) のリスクを評価し、そのリスクを許容レベルまで低減するためのセキュリティ対策を特定して適用するプロセスを通じて組織をガイドする包括的なエンジニアリング対策のセットを定義しています。この規格では、対策の実装に次の手順を推奨しています。
* リスク許容度の確立: このステップでは、ビジネス目標、法律および規制の要件、利害関係者の期待に基づいて、検討中の組織とシステムに対して許容できるリスク レベルを決定します。リスク許容度は、システム内の各ゾーンまたはコンジットのターゲット セキュリティ レベル (SL-T) として表すことができます。
* 共通対策の選択: このステップでは、SL-T とシステムの既存のセキュリティ レベル (SL-A) に基づいて、各ゾーンまたはコンジットに適切なセキュリティ対策を選択します。この標準では、物理セキュリティ、ネットワーク セキュリティ、システム セキュリティ、アプリケーション セキュリティの領域をカバーする、各セキュリティ レベルの共通対策のリストが提供されています。選択した対策は、セキュリティ リスク評価レポートに文書化され、正当化される必要があります。参考資料:
ISA/IEC 62443 サイバーセキュリティ シリーズが IEC 水平標準として指定され、ISA/IEC 62443-3-2 に準拠したサイバーセキュリティ リスク評価が実施

ISA/IEC 62443 シリーズの標準は、扱うトピックと観点に基づいて、文書の 4 つの主要カテゴリに分類されています。これらのカテゴリは、一般、ポリシーと手順、システム、およびコンポーネント 12 です。
* 一般: このカテゴリでは、用語、概念、モデル、標準の概要など、シリーズ全体に共通するトピックを扱います1。たとえば、ISA/IEC 62443-1-1 では、産業オートメーションおよび制御システム (IACS) セキュリティの用語、概念、モデルが定義されています3。
* ポリシーと手順: このカテゴリでは、リスク評価、システム設計、セキュリティ管理、セキュリティ プログラム開発など、IACS セキュリティに関連する方法とプロセスに焦点を当てています1。たとえば、ISA/IEC 62443-2-1 では、IACS のセキュリティを管理するためのポリシー、手順、およびプラクティスを定義する IACS セキュリティ管理システムの要素が指定されています4。
* システム: このカテゴリは、セキュリティ レベル、セキュリティ ゾーン、セキュリティ ライフサイクル、技術的なセキュリティ要件など、システム レベルの要件に関するものです1。たとえば、ISA/IEC 62443-3-3 は、IACS5 のゾーンとコンジットのシステム セキュリティ要件とセキュリティ レベルを規定しています。
* コンポーネント: このカテゴリでは、組み込みデバイス、ネットワーク デバイス、ソフトウェア アプリケーション、ホスト デバイスなどの IACS 製品の詳細な要件が規定されています1。たとえば、ISA/IEC 62443-4-2 では、識別と認証、アクセス制御、データの整合性、監査可能性など、IACS コンポーネントの技術的なセキュリティ要件が規定されています。
その他のオプションは、ISA/IEC 62443 シリーズの標準のドキュメントの有効なカテゴリではありません。標準の構造と範囲を反映していないか、異なるカテゴリでカバーされている IACS セキュリティのさまざまな側面が混在しているためです。たとえば、エンドユーザー、インテグレーター、ベンダー、規制当局はドキュメントのカテゴリではなく、IACS セキュリティに関与する役割または関係者です。評価、緩和、ドキュメント化、保守はドキュメントのカテゴリではなく、IACS セキュリティ ライフサイクルの一部であるアクティビティまたはフェーズです。人、プロセス、テクノロジー、トレーニングはドキュメントのカテゴリではなく、IACS セキュリティに不可欠な要素または次元です。
参考文献:
* ISA/IEC 62443 規格シリーズ - ISA1
* IEC 62443 - Wikipedia2
* ISA/IEC 62443-1-1: 概念とモデル3
* ISA/IEC 62443-2-1: セキュリティ管理システム4
* ISA/IEC 62443-3-3: システムセキュリティ要件とセキュリティレベル5
* ISA/IEC 62443-4-2: IACSコンポーネントの技術的セキュリティ要件