API 1164は、パイプライン監視制御・データ収集（SCADA）システムのサイバーセキュリティに関するガイダンスを提供する業界固有の規格です。APIは、石油・天然ガス業界における米国最大の業界団体であるアメリカ石油協会（American Petroleum Institute）の略称です。API 1164は、2013年に初めて発行されました。
2004年に制定され、2009年と2021年に改訂されました。最新版の規格はISA/IEC 62443シリーズの規格に準拠しており、セキュリティレベル、ゾーン、コンジットの概念が組み込まれています。API 1164は、リスク評価、ポリシー策定、実装、保守に至るまで、パイプラインSCADAシステムのセキュリティライフサイクルを網羅しています。また、パイプラインSCADAシステムの役割と責任、セキュリティ要件、セキュリティ管理策、セキュリティ評価手法も定義しています。
参考文献:
* API 1164: パイプラインSCADAセキュリティ、第4版、2021年9月
* ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト学習ガイド、セクション2.2.2、業界固有の標準
* ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト試験仕様、セクション2.2.2、業界固有の標準

セキュリティポリシーとは、産業用制御システム（ICS）などの重要なシステムリソースを組織がどのように保護するかを規定する内部規則を指します。セキュリティポリシーは、ICS環境のセキュリティを確保するための目的、適用範囲、役割、責任、要件、そしてセキュリティ対策の実装、監視、適用に関する手順とガイドラインを定義します。また、セキュリティポリシーは、ICSに対するセキュリティリスクを評価および管理し、関連する標準、規制、ベストプラクティスへの準拠を確保するための基準を確立します。セキュリティポリシーはICSセキュリティプログラムの重要な構成要素であり、文書化、伝達、および定期的なレビューを行う必要があります。
その他の選択肢は、次の理由により正しくありません。
* A. 正式なガイダンス。正式なガイダンスとは、組織のICSセキュリティ体制の改善に役立つ外部の情報源や推奨事項を指します。これには、標準、フレームワーク、ガイドライン、ベストプラクティスなどが含まれます。正式なガイダンスは社内規則ではなく、セキュリティポリシーと管理策の策定、実装、評価に使用できるリファレンスです。例えば、ISA/IECは、
62443 シリーズの標準は、サイバー脅威から ICS を保護する方法に関する正式なガイダンスを提供します1。
* B. 法令。法令とは、電力部門向けのNERC CIP規格2や重要インフラ事業者向けのEU NIS指令3など、ICSセキュリティパフォーマンスに関して組織に法的義務と罰則を課す外部の法律や規制を指します。法令は社内規則ではなく、組織が遵守しなければならないコンプライアンス要件です。組織はセキュリティ目標と実践を法的期待と結果に整合させる必要があるため、法令はセキュリティポリシーと管理策にも影響を及ぼす可能性があります。
* D. 行動規範。行動規範とは、企業の行動を導く倫理原則と価値観の集合を指します。
* 組織とその従業員の行動と意思決定、例えば誠実さ、清廉さ、敬意、説明責任など。行動規範は、重要なシステムリソースを保護するための社内規則ではなく、むしろ業務を遂行し、良好な評判を維持するための一般的な規範です。行動規範は、ICSの利害関係者間の責任感と信頼感を育むことができるため、セキュリティポリシーと文化を支えることにもつながります。
参考文献:
* 1: 産業用制御システムを保護するためのISA/IEC 62443規格
* 2: NERC重要インフラ保護基準
* 3: EUネットワークおよび情報システム指令

データグラムトランスポート層セキュリティ（DTLS）とセキュアソケットレイヤー（SSL）はどちらも、インターネット上で安全なデータ転送を管理するために広く使用されているプロトコルです。DTLSはSSLの一種で、音声や動画などのリアルタイムアプリケーションで使用されるUDPなどのデータグラムプロトコル上で動作するように設計されています。
SSLは、TCP経由で送信されるデータの暗号化、認証、および整合性を提供するプロトコルであり、信頼性と秩序あるデータ配信に使用されます。DTLSとSSLはどちらも、証明書と非対称暗号化を使用して通信相手間の安全なセッションを確立し、その後、対称暗号化を使用して交換されるデータを暗号化します。DTLSとSSLは、Webブラウザ、メールクライアント、VPN、およびインターネット上での安全な通信を必要とするその他のアプリケーションで広く使用されています。参考資料：
* ISA/IEC 62443 産業用制御システムのセキュリティ保護規格、モジュール 3: 暗号化の概要、3-5 ～ 3-7 ページ
* ISA/IEC 62443規格を用いた制御システムのセキュリティ確保、第6章「通信のセキュリティ確保」、125～126ページ