「よくある落とし穴は、サイバーセキュリティを特定の組織とそのミッションに関連付ける、少なくとも高レベルの根拠がないまま、CSMSプログラムを開始しようとすることです。」CSMSプログラムとは、産業用制御システム（ICS）のセキュリティを確保するためのIEC 62443規格に準拠したサイバーセキュリティ管理システムプログラムです。CSMSプログラムを開始する際によくある落とし穴は、Dです。
詳細なリスク評価に直ちに着手する。詳細なリスク評価には、対象システム（SuC）の明確な定義、IACS資産のゾーンとコンジットへの割り当て、そして各ゾーンとコンジットにおける脅威、脆弱性、そして影響の特定が必要となるためです2。これらのステップは、セキュリティプログラム開発プロセスの最初のフェーズであるCSMSプログラムの評価フェーズの一部です2。ただし、評価フェーズを開始する前に、必要なアクションを実行するためにCSMSプログラムが十分な財務的および組織的リソースを確保できるよう、経営陣の支援を得ることが重要です2。したがって、経営陣の同意を得ずに詳細なリスク評価に飛びつくことは、CSMSプログラムの成功を危うくする可能性のあるよくある間違いです。

IEC 62443規格によると、機能セキュリティレベル（SL-C）は、「コンポーネントまたはシステムが適切に構成され、適切なセキュリティ対策によって保護されている場合に達成可能なセキュリティレベル」と定義されています1。コンポーネントまたはシステムは、設計と実装に応じて、異なるセキュリティ要件に対して異なるSL-Cを持つことができます。SL-Cは、セキュリティ要件に対応する一連のセキュリティテストケースに基づいてコンポーネントまたはシステムをテストすることによって決定されます。SL-Cは、コンポーネントまたはシステムの実際の運用環境や構成ではなく、その固有の機能に依存します。参考資料：
* IEC 62443 - Wikipedia