ISASecure適合認証プログラムは、エンドユーザー、サプライヤー、インテグレーターを含む業界関係者グループによって2007年に設立された非営利団体、Security Compliance Institute（ISCI）によって管理されています。ISCIの使命は、デバイスセキュリティを推進する業界共通のデバイスおよびプロセス要件セットを提供することで、資産所有者の調達を簡素化し、機器ベンダーのデバイス保証を実現することです12。参考資料：1：ISASecure - IEC 62443適合認証 - 公式サイト 2：
認定資格 - ISASecure

セキュリティゾーンとは、重要度、影響、脆弱性、脅威といった要素に基づいて、共通のセキュリティ要件を共有する資産の論理的なグループ分けです。セキュリティゾーンは、多層防御の原則を適用するために使用されます。多層防御とは、サイバー攻撃を防止または軽減するために多層的な保護を構築することを意味します。セキュリティゾーンを作成することで、資産所有者は、最も重要度または機密性の高い資産を、それほど重要度または機密性が高くない資産から分離し、リスク評価に基づいて各ゾーンに異なるレベルのセキュリティ制御を適用できます。セキュリティゾーンは、必ずしも物理ネットワークセグメントと一致しているわけではありません。同じネットワーク内の資産でも、セキュリティ要件が異なる場合があるためです。例えば、あるネットワークセグメントに安全計装システム（SIS）とヒューマンマシンインターフェース（HMI）の両方が含まれる場合がありますが、SISのセキュリティ要件はHMIよりも高いです。したがって、SISとHMIは、たとえ同じネットワークセグメント内であっても、異なるセキュリティゾーンに配置する必要があります。同様に、同じ論理通信ネットワーク内の資産でも、セキュリティ要件が異なる場合があり、同じセキュリティゾーンに配置するべきではありません。例えば、論理通信ネットワークは工場や本社など複数の物理的な場所にまたがる場合がありますが、工場内の資産はオフィス内の資産よりも高いセキュリティ要件が求められる場合があります。したがって、工場とオフィスの資産は、たとえ同じ論理通信ネットワーク内にあっても、異なるセキュリティゾーンに配置する必要があります。さらに、大規模または複雑なシステム内のすべてのコンポーネントを同じセキュリティゾーンに配置することは避けるべきです。単一障害点が生じ、システム全体がサイバー攻撃の脅威にさらされる可能性があるためです。代わりに、コンポーネントをセキュリティ要件に基づいてより小さくシンプルなセキュリティゾーンに分割し、ゾーン間の通信はコンジットによって制御する必要があります。
コンジットは、データ フローとアクセス制御を可能にするセキュリティ ゾーン間の論理的または物理的な接続です。
コンジットは、ファイアウォール、暗号化、認証、認可などのセキュリティ制御を適用することで、攻撃対象領域とサイバー攻撃の潜在的な影響を最小限に抑えるように設計する必要があります。参考資料：
* ゾーンとコンジットの定義方法1
* 産業用ネットワークのセキュリティ確保: ISA/IEC 62443 とは何ですか?2
* ISA/IEC 62443規格シリーズ3

アプリケーションホワイトリスト（AWL）は、システム上で許可されたアプリケーションのみを実行できるようにし、不正なコードや悪意のあるコードの実行をブロックする技術です。AWLは、マルウェア感染を防ぎ、システムの攻撃対象領域を縮小する最も効果的な方法の1つです。AWLは、オペレーティングシステム、ネットワーク、アプリケーション自体など、さまざまなレベルで実装できます。AWLは、従来のウイルス対策ソフトウェアやその他のセキュリティソリューションと互換性のないレガシープラットフォームや独自仕様のプラットフォームで実行されることが多い産業用オートメーションおよび制御システム（IACS）に特に有効です。AWLは、セキュリティベンダーによって修正または検出されていない未知の脆弱性を悪用するゼロデイ攻撃からIACSを保護するのにも役立ちます。AWLは、ISA/IEC 62443規格において、IACSの悪意のあるコードからの保護の主要コンポーネントとして推奨されています。これらの規格によると、AWLは、それをサポートするすべてのIACSコンポーネントに適用し、組織のセキュリティポリシーと手順に従って設定および保守する必要があります。 IACS セキュリティに対する多層防御アプローチを実現するには、AWL に加えて、ネットワーク セグメンテーション、ゾーンとコンジット、パッチ管理といった他のセキュリティ対策も必要です。参考資料:
* ISA/IEC 62443-3-3:2013、システムセキュリティ要件とセキュリティレベル、セクション5.2.3.41
* ISA/IEC 62443-2-1:2010、産業オートメーションおよび制御システムのセキュリティプログラムの確立、セクション4.3.3.6.42
* ISA/IEC 62443-4-2:2019、IACSコンポーネントの技術セキュリティ要件、セクション4.2.3.43
* ISA/IEC 62443-3-2:2020、システム設計のためのセキュリティリスク評価、セクション7.3.3.44
* ISA/IEC 62443-4-1:2018、製品開発要件、セクション5.2.3.45