ISA/IEC 62443-3-2は、単一のリスク評価方法論を意図的に強制することを避けています。その代わりに、リスク評価プロセスの結果と一貫性に関する要件を定義しています。
ステップ1：方法論の柔軟性
この標準により、資産所有者は、システムの複雑さ、組織の成熟度、利用可能なデータに基づいて、定性的、定量的、またはハイブリッドな方法を使用できます。
ステップ2: 一貫性の要件
ISA/IEC 62443 で要求されているのは、特にリスクのランク付けおよび比較方法において、方法論が文書化され、反復可能で、一貫性があることです。
ステップ3: セキュリティレベルの決定
一貫したリスク ランク付けは、ターゲット セキュリティ レベル (SL-T) を決定し、監査中にセキュリティ上の決定を正当化するために不可欠です。
ステップ4: 他の選択肢が間違っている理由
標準を避けることは厳密さを損なう。定性的な方法のみを用いるのは不十分な場合がある。複数の方法論を混在させると、一貫性が失われ、比較が不可能になる可能性がある。
したがって、ISA/IEC 62443 に最も適合するアプローチは、一貫したリスクランキングスケールを使用する文書化された方法論に従うことです。

IACS サービス プロバイダーのセキュリティ要件を定義する ISA/IEC 62443-2-4 に従って、サイバー セキュリティ プラクティスの成熟度を測定するための評価基準として 4 つの成熟度レベル (ML1 ～ ML4) が確立されています。
これらは：
ML1 - 初期
ML2 - マネージド
ML3 - 定義
ML4 - 改善中
「この規格では、サービスプロバイダーのサイバーセキュリティプロセスの実装範囲を評価するために、4 つの成熟度レベル (ML1 から ML4) を定義しています。」
- ISA/IEC 62443-2-4:2015、第5.1項 - 成熟度レベルの概要
これらの成熟度レベルは、パッチ適用、アクセス制御、インシデント対応などのさまざまなドメインにわたるサービス プロバイダーのプラクティスをベンチマークし、認定するために使用されます。
参考文献:
ISA/IEC 62443-2-4:2015 - 条項5.1
ISA/IEC 62443-1-1 - 成熟度モデルの定義

産業用ネットワークの場合、最も効果的なアプローチは、産業用プロトコル (Modbus、DNP3、OPC UA など) のディープ パケット インスペクション (DPI) を実行する IACS 固有のファイアウォールを使用することです。
「DPI 機能を備えた産業専用のファイアウォールは、制御システムのプロトコルを検査し、時間に敏感な操作を中断することなく、きめ細かなアクセス制御を実施できます。」
- ISA/IEC 62443-3-3:2013、SR 5.1 - ゾーン境界保護
一般的な IT ファイアウォールとは異なり、IACS 固有のファイアウォールは次の特徴を備えています。
OTプロトコルを理解する
リアルタイム制約の適用
決定論的なトラフィックフローをサポート
参考文献:
ISA/IEC 62443-3-3:2013 - SR 5.1
ISA/IEC 62443-1-1 - ゾーンおよび導管保護技術

ISA/IEC 62443 サイバーセキュリティの基礎によると、リスクマトリックスは特定のイベントのリスクを評価するためのツールです。リスクマトリックスは、発生可能性、結果、リスクの3つのカテゴリに分類されます。発生可能性とはイベントが発生する確率、結果とはイベントが及ぼす影響、そしてリスクとはこれら2つを組み合わせたものです。この場合、発生可能性が中程度で結果が大きいイベントのリスクは、マトリックスの赤いセルで示されているように、高リスクとなります。参考文献：
* ISA/IEC 62443 サイバーセキュリティの基礎
* [ISA/IEC 62443 サイバーセキュリティ認定プログラム]
* [サイバーセキュリティライブラリ]
* [ISA/IEC 62443規格を用いた制御システムのセキュリティ確保]