ISA/IEC 62443 標準に従ってサイバーセキュリティ管理システム (CSMS) を監視および改善するには、システムが効果的であり、新たな脅威に対応できることを保証するいくつかの重要なアクティビティが必要です。
この継続的なプロセスの 2 つの重要な要素は次のとおりです。
* A. スタッフのトレーニングとセキュリティ意識の向上：安全な運用環境を維持するためには、定期的なトレーニングとスタッフのセキュリティ意識の向上が不可欠です。この予防策は、人的ミスの削減とサイバーセキュリティインシデントへの効果的な対応能力の向上に役立ちます。
* D. システムログおよびその他の主要データファイルのレビュー：潜在的なセキュリティインシデントの検知、調査、対応には、システムログおよびその他の関連データファイルの継続的なレビューと分析が不可欠です。この監視は、セキュリティ侵害や対応が必要な運用上の問題を示唆する異常を特定するのに役立ちます。

侵入検知システム（IDS）は、ネットワークトラフィックを監視し、事前定義されたルールやシグネチャに基づいて疑わしいアクティビティや悪意のあるアクティビティを検出するツールです。IDSは既知の脆弱性に対して有効であり、既知の攻撃パターンや行動に一致するとシステム管理者やセキュリティ担当者に警告を発することができます。しかし、IDSには、特に産業用オートメーション・制御システム（IACS）に適用する場合、いくつかの制限と課題があります。その一部を以下に示します。
* 最新のIDSは、汎用ITネットワークとプロトコル向けに設計されているため、デフォルトではIACSデバイスを認識しません。そのため、IACS固有のデバイス、プロトコル、またはトラフィックパターンを処理する際に、誤検知または誤検知が発生する可能性があります。これを克服するには、IDSをIACS環境とコンテキストに合わせてカスタマイズまたは適応させる必要があり、追加の専門知識とリソースが必要になる場合があります。
* 綿密な計画、設定、テスト、メンテナンスが必要となるため、設計と導入にかかるコストはそれほど高くありません。また、ファイアウォール、ウイルス対策、パッチ管理、インシデント対応など、他のセキュリティツールやプロセスとの統合も必要です。さらに、ネットワークパフォーマンスの低下、データプライバシーの問題、法的責任など、追加のコストやリスクが生じる可能性があります。
* 定義済みのルールやシグネチャに依存しているため、未知の脆弱性やゼロデイ脆弱性には効果がありません。これらのルールやシグネチャは、あらゆる攻撃シナリオや攻撃手法を網羅しているとは限りません。そのため、新しい脆弱性や未発見の脆弱性を悪用する、斬新な攻撃や高度な攻撃を検知できない可能性があります。こうした脆弱性を軽減するには、IDSに加えて、異常検知、脅威インテリジェンス、機械学習といった他のセキュリティ対策も活用する必要があります。
* 継続的な更新、調整、監視が必要となるため、多大な管理とメンテナンスが必要です。また、大量のデータとアラートを生成するため、システム管理者やセキュリティ担当者の負担が大きくなる可能性があります。そのため、データ分析、アラートのフィルタリング、優先順位付け、相関分析、可視化といった適切なツールとプロセスによるサポートが必要です。
参考資料: ISA/IEC 62443-2-1:2010 - 産業オートメーションおよび制御システムのセキュリティプログラムの確立、ISA/IEC 62443-3-3:2013 - システムセキュリティ要件とセキュリティレベル、ISA/IEC 62443 サイバーセキュリティ基礎スペシャリストトレーニングコース、[侵入検知システムを使用した Modbus/TCP ベースの産業オートメーションおよび制御システムのセキュリティ強化]

承認とは、ネットワークリソースまたは機能へのアクセスを許可または拒否するプロセスです。承認（ユーザーアカウント）は、特定のロールに基づいて付与する必要があります。ロールとは、ユーザーまたはユーザーグループに割り当てられた権限と責任のセットとして定義されます。ロールは最小権限の原則に基づく必要があります。つまり、ユーザーはタスクの実行に必要な最小限のアクセスレベルのみを持つべきです。また、ロールは職務分離の原則に基づく必要があります。つまり、システムのセキュリティや整合性を損なう可能性のある、相反する責任や重複する責任をユーザーに持たせるべきではありません。
個人の好みや大規模グループにおける共通のニーズに基づく承認は推奨されません。過剰または不必要なアクセス権、あるいはポリシーの不整合や矛盾が生じる可能性があるためです。システムの複雑さに基づく承認も適切な基準ではありません。管理や監査が困難になるような、過度に複雑または不明確な役割が生じる可能性があります。参考資料：
* ISA/IEC 62443-3-3:2013 - 産業オートメーションおよび制御システムのセキュリティ - パート3-3：システムセキュリティ要件とセキュリティレベル1
* ISA/IEC 62443-2-1:2010 - 産業オートメーションおよび制御システムのセキュリティ - パート2-1:
産業オートメーションおよび制御システムのセキュリティプログラムの確立2
* ISA/IEC 62443-4-1:2018 - 産業オートメーションおよび制御システムのセキュリティ - パート4-1：製品セキュリティ開発ライフサイクル要件3