IACSのリスク分析カテゴリーは、ビジネス上の根拠とリスクの特定と分類という2つの要素で構成されています1。ビジネス上の根拠とは、リスク分析の範囲、目的、基準、および関係する利害関係者の役割と責任を定義するプロセスです。リスクの特定と分類とは、IACSに対するサイバー攻撃の資産、脅威、脆弱性、および結果を特定し、攻撃の可能性と影響に基づいて各シナリオにリスクレベルを割り当てるプロセスです1。これらの要素は、IACSの現在のリスク状況のベースラインを確立し、リスクを許容レベルまで低減するための適切なリスク対応策を決定するために不可欠です。参考文献：1：
ISA/IEC 62443-3-2:2020、産業オートメーションおよび制御システムのセキュリティ - パート3-2：システム設計のセキュリティリスク評価、国際オートメーション協会、リサーチトライアングルパーク、ノースカロライナ州、米国、2020年。

ISO/IEC 27019 は、ISO/IEC 27002 制御を拡張してエネルギーユーティリティ制御システムで使用するためのセクター固有の規格であり、次の内容が含まれます。
SCADA
分散制御システム（DCS）
エネルギー自動化システム
「ISO/IEC 27019 は、エネルギー公益事業業界のプロセス制御システムに適用可能な情報セキュリティ管理について、ISO/IEC 27002 に基づいたガイドラインを提供します。」
- ISO/IEC 27019:2017 - 適用範囲
エネルギー分野における産業オートメーション向けに特別に設計されており、最適な選択肢となります。
参考文献:
ISO/IEC 27019:2017 - 適用範囲と概要
ISO/IEC 27000シリーズのICS環境へのマッピング

IEC 62443-1-1 によれば、脆弱性は次のように定義されています。
「脅威源によって悪用される可能性のある、資産またはその資産に関連する保護対策の弱点」。より広義には、確実な侵害や特定のイベントではなく、セキュリティ侵害の可能性を表します。
これは、サイバーセキュリティリスク管理における理解と一致しています。つまり、脆弱性はインシデントや結果と同じではなく、むしろ悪用される可能性のあるものです。
誤ったオプション:
A). 管理における悪用可能な欠陥 - 範囲が狭すぎます。脆弱性は管理だけでなく、システム、ソフトウェア、デバイスにも存在します。
B). セキュリティを侵害する可能性のあるイベント - これは脆弱性ではなく脅威です。
D). 特定のインシデントから生じる結果 - これは脆弱性そのものではなく、結果または影響と見なされます。
参考文献:
ISA/IEC 62443-1-1:2007 - 「用語、概念、およびモデル」
ISA/IEC 62443 学習ガイド

ISA/IEC 62443-3-2規格によると、対策の実施は、システム設計におけるセキュリティリスク評価のステップの一つです。この規格は、特定の産業オートメーションおよび制御システム（IACS）のリスクを評価し、そのリスクを許容レベルまで低減するためのセキュリティ対策を特定・適用するプロセスを組織がガイドするための包括的なエンジニアリング対策を定義しています。この規格では、対策の実施にあたり、以下の手順を推奨しています。
リスク許容度の確立：このステップでは、ビジネス目標、法的および規制上の要件、そして利害関係者の期待に基づき、組織および検討対象のシステムにとって許容可能なリスクレベルを決定します。リスク許容度は、システム内の各ゾーンまたはコンジットの目標セキュリティレベル（SL-T）として表すことができます。
共通対策の選択：このステップでは、SL-Tとシステムの既存のセキュリティレベル（SL-A）に基づいて、各ゾーンまたはコンジットに適切なセキュリティ対策を選択します。この規格は、物理セキュリティ、ネットワークセキュリティ、システムセキュリティ、アプリケーションセキュリティの各領域を網羅する、各セキュリティレベルの共通対策のリストを提供しています。選択された対策は、セキュリティリスク評価報告書に文書化され、その正当性が示される必要があります。参考文献：IEC水平標準に指定されたISA/IEC 62443サイバーセキュリティシリーズ、ISA/IEC 62443に基づくサイバーセキュリティリスク評価
3-2