PLC（プログラマブルロジックコントローラ）は、産業環境における物理的なプロセスや機器を制御するデバイスであるため、IACS環境においてネットワークセキュリティは重要です。サイバー攻撃を受けたPLCは、生産の中断、機器の損傷、安全性の低下、環境への悪影響など、コストのかかる危険な影響を及ぼす可能性があります。したがって、PLCやその他のIACSコンポーネントを不正アクセス、改ざん、または妨害から保護するために、ネットワークセキュリティは不可欠です。これらの選択肢は、IACS環境においてネットワークセキュリティが重要な主な理由ではありません。PLCは本質的に信頼性が低いわけではありませんが、温度、湿度、電磁干渉などの環境要因の影響を受ける可能性があります。PLCは、電気回路図に似たグラフィカルプログラミング言語であるラダーロジックを使用してプログラミングされます。PLCは、デバイスの種類と使用年数に応じて、シリアルまたはイーサネット通信方式を使用して、ヒューマンマシンインターフェース（HMI）、監視制御・データ収集（SCADA）システム、分散制御システム（DCS）などの他のIACSコンポーネントと通信します。参考文献：
* ISA/IEC 62443 産業用制御システムのセキュリティ確保のための標準トレーニングコース1
* ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト学習ガイド2
* ISA/IEC 62443規格を用いた制御システムのセキュリティ保護3

ISA/IEC 62443-6-1は、62443-2-4（サービスプロバイダ）および62443-4-1（セキュア開発ライフサイクル）での使用に特化したセキュリティ評価方法論を定義しています。適合性を検証するための評価手法とスコアリングモデルを提供します。
この規格は、ISA/IEC 62443シリーズの特定の部分への適合性評価に関する要件を規定し、ガイダンスを提供します。62443-2-4および62443-4-1に従ったサプライヤーの評価をサポートします。
- ISA/IEC 62443-6-1:2020、第1項 - 適用範囲
パッチ適用、テクノロジー、セキュリティ フェーズではなく、標準への準拠の評価と検証に重点を置いています。
参考文献:
ISA/IEC 62443-6-1:2020 - 条項1および4
ISA/IEC 62443-2-4および4-1 - 評価の適用性に関する参照

CCSCは「共通コンポーネントセキュリティ基準」の略称です。ISA/IEC 62443シリーズの第4部では、
2. CCSCとは、組み込みデバイス、ネットワークデバイス、ホストデバイス、ソフトウェアアプリケーションなど、IACS内の個々のコンポーネントに適用される、統一されたセキュリティ基準のセットを指します。これらの基準は、各コンポーネントがサイバーセキュリティの一貫したベースラインを満たしていることを保証し、システム全体のセキュリティをサポートするために使用されます。
参照: ISA/IEC 62443-4-2:2019、セクション 4.1 (CCSC の定義)。用語集。

OSI参照モデルの第4層（トランスポート層とも呼ばれる）では、ホスト内部でパケットを処理するアプリケーションはTCP/UDPポート番号によって識別されます。ポート番号は、ホスト上で実行される特定のアプリケーションまたはサービスに割り当てられる16ビットの整数です。ポート番号は、ホストとエンドシステム間で交換されるデータストリームを多重化および逆多重化するために使用されます。多重化とは複数のデータストリームを1つに結合するプロセスであり、逆多重化とは1つのデータストリームを複数のデータストリームに分離するプロセスです。ポート番号は、トランスポート層プロトコルデータユニット（PDU）のヘッダーの一部であり、TCPではセグメント、UDPではデータグラムと呼ばれます。ヘッダーには、通信に関係するアプリケーションを示す送信元ポート番号と宛先ポート番号が含まれています。たとえば、デフォルトでポート 80 で実行される HTTP プロトコルを使用して、ホストが別のホストにパケットを送信する場合、送信元ポート番号は送信者が選択したランダムな番号になり、宛先ポート番号は 80 になります。受信側は宛先ポート番号を使用してパケットを多重分離し、HTTP アプリケーションに配信します。
ポート番号は、ウェルノウンポート（0～1023）、登録ポート（1024～49151）、動的ポートまたはプライベートポート（49152～65535）の3つの範囲に分けられます。ウェルノウンポートは、HTTP（80）、FTP（21）、SSH（22）など、一般的な標準化されたアプリケーションやサービス用に予約されています。登録ポートは、Skype（49175）やMinecraft（25565）など、特定のアプリケーションやサービスが要求した場合に、インターネット割り当て番号機関（IANA）によって割り当てられます。動的ポートまたはプライベートポートは、特定の機関によって割り当てられるものではなく、一時的な接続に使用されるエフェメラルポートなど、必要なアプリケーションやサービスであればどれでも使用できます。
その他のオプションは、OSIモデルの第4層でホスト内部のパケットを処理するアプリケーションの有効な識別子ではありません。TCP/UDPアプリケーションIDは、OSIモデルやTCP/IPモデルで使用される用語ではありません。
TCP/UDPホストIDは、OSIモデルやTCP/IPモデルでは使用されていない用語であり、ホストがIPアドレスで識別されるネットワーク層である第3層での使用に適しています。TCP/UDPレジストリ番号は、OSIモデルやTCP/IPモデルでは使用されていない用語であり、2つのホスト間のセッションを識別するために使用されるセッション層である第5層での使用に適しています。
参考文献:
* トランスポート層 | 第 4 層 | OSI モデル 1
* OSIモデル - Wikipedia2
* OSI参照モデルの第4層とは？ | 用語集 | A10 Networks3
* OSIモデルの7つの層とは？ | Webopedia4

セキュリティプログラム（SP）ポートフォリオは、ISA/IEC 62443規格群に準拠した、進化するIACSサイバーセキュリティアプローチのための適切な基礎文書です。ISA/IEC 62443は、静的または単発的なセキュリティ実装ではなく、継続的なリスク管理とライフサイクルベースのサイバーセキュリティという概念に基づいて明確に設計されています。
ステップ1: セキュリティプログラム(SP)の役割
ISA/IEC 62443-2-1は、IACSサイバーセキュリティ管理システムの構築、実装、維持、および継続的な改善に関する要件を規定しています。セキュリティプログラムは、ポリシー、役割、責任、手順、トレーニング、インシデント対応、変更管理、および継続的な改善活動を通じて、組織ガバナンスを実現します。これらの要素により、脅威、脆弱性、およびシステム構成の進化に合わせてサイバーセキュリティが適応することが保証されます。
ステップ2: 進化するセキュリティアプローチの必要性
この規格は、IACS環境が長期にわたって運用され、運用条件の変化、新たな脅威アクターの出現、新たな脆弱性の影響を受けることを認識しています。したがって、サイバーセキュリティは継続的なプロセスとして管理する必要があります。SPポートフォリオは、システムライフサイクル全体を通じて、リスクの定期的な再評価、コントロールの更新、セキュリティプロセスの改善を可能にします。
ステップ3: SPとSPSの関係
IEC 62443-2-2は、セキュリティ保護スキーム（SPS）を導入しています。これは、特定されたリスクを軽減するために選択された技術的、手順的、および物理的なセキュリティ対策を文書化したセットです。ただし、SPSは基盤ではなく、セキュリティプログラムの成果物です。SPは、SPSがどのように開発、実装、運用、そして時間の経過とともに変更されるかを規定します。
ステップ4: 誤った選択肢の排除
* 「IEC 62443-2-2 のみ」は、より広範なガバナンスなしで SPS 開発に対処しているため不十分です。
* IACS に関連しない企業 KPI では、サイバーセキュリティ リスクは管理されません。
* SPS だけでは、プログラムによる監視なしでは進化できません。
ISA/IEC 62443 の意図と構造に沿って、セキュリティ プログラム (SP) ポートフォリオは、継続的に進化する必要があるサイバーセキュリティ プランの適切な基盤となります。