ファイル転送プロトコル (FTP) は、ローカルとリモートのファイルシステム間でファイルを移動するアプリケーション層プロトコルです。HTTP と同様に、TCP 上で実行されます。ファイルを転送するために、FTP は制御接続とデータ接続の 2 つの TCP 接続を並行して使用します。制御接続は、クライアントとサーバー間でコマンドと応答を送信するために使用され、データ接続は実際のファイルを転送するために使用されます。FTP は TCP/IP モデルで定義された標準通信プロトコルの 1 つであり、OSI モデルには完全には適合しません。ただし、OSI モデルは各層の一般的な機能を記述する参照モデルであるため、FTP はユーザーサービスとネットワークへのインターフェイスを提供するため、OSI モデルのアプリケーション層プロトコルと見なすことができます。アプリケーション層は OSI モデルの最上位層であり、電子メール、Web 閲覧、ファイル転送、リモートログインなど、ユーザーにさまざまなネットワークサービスを提供する役割を担っています。
アプリケーション層は、データのフォーマット、暗号化、圧縮などを担うプレゼンテーション層と連携します。プレゼンテーション層は、アプリケーション間のセッションの確立、維持、終了を担うセッション層と連携します。セッション層は、信頼性の高いエンドツーエンドのデータ転送とフロー制御を担うトランスポート層と連携します。トランスポート層は、異なるネットワーク間でのパケットのルーティングとアドレス指定を担うネットワーク層と連携します。ネットワーク層は、フレーミング、エラー検出、メディアアクセス制御を担うデータリンク層と連携します。データリンク層は、物理媒体を介したビットの送受信を担う物理層と連携します。参考文献：
* アプリケーション層1のファイル転送プロトコル（FTP）
* FTPプロトコル2
* FTP はどの OSI 層ですか?3

ISA/IEC 62443フレームワークのセキュリティレベル（SL）は、特定の脅威アクターに対する保護レベルを定義します。SL 3は、中程度のスキル、中程度の動機、およびIACS固有の知識を備えた高度な手段を用いた意図的な侵害から保護するように設計されています。
「SL 3: 中程度のスキル、中程度の動機、および IACS 固有の知識を備えた、洗練された手段を使用した意図的な違反に対する保護。」
- ISA/IEC 62443-3-3:2013、表3 - ターゲットセキュリティレベルの定義
このレベルは、組織化されたサイバー犯罪者や高度な持続的脅威 (APT) などの十分なリソースを持つ脅威の主体に直面しているシステムによく適用され、SL1 または SL2 が提供するよりも高い保証が必要です。
参考文献:
ISA/IEC 62443-3-3:2013 - 表3
ISA/IEC 62443-1-1 - セキュリティレベルの定義
ISA/IEC 62443-3-2 - セキュリティレベルの選択と正当化のガイダンス

ISA/IEC 62443は、IACS環境におけるサイバーセキュリティリスク管理の中核となるアーキテクチャ概念として、ゾーンとコンジットを定義しています。リスク評価においては、利便性ではなく、リスク、機能、重要度に基づいてゾーンを明確に区分する必要があります。
ステップ1：ISA/IEC 62443におけるゾーンの定義
ゾーンとは、セキュリティ要件とリスクプロファイルが類似する資産のグループです。業務システム、安全性が重要な制御システム、無線システムは、それぞれ異なる脅威にさらされ、侵害を受けた場合の影響が異なります。
ステップ2：リスクに基づく分離原則
ISA/IEC 62443-3-2では、リスク評価において、影響度と脅威発生可能性の差異を特定することが求められています。セーフティクリティカルゾーンでは、人命や環境への潜在的な影響を考慮し、通常、より高いセキュリティレベルが求められます。一方、ビジネスゾーンでは、許容されるリスクレベルは異なります。
ステップ3：分離の目的
明確な分離により、各ゾーンにセキュリティ要件を適切に適用できます。また、重要度の低いゾーン（ビジネスネットワークやワイヤレスネットワークなど）から重要度の高いゾーンへの攻撃の伝播も抑制されます。
ステップ4: 他の選択肢が間違っている理由
* すべてのゾーンを組み合わせると、リスクの差別化が無視され、コアゾーンの概念に違反します。
* 物理的な場所を無視するのは誤りです。ゾーンは論理的ですが、リスク評価では物理的なアクセスと接続性が依然として重要です。
* 一時的な接続を永続的な安全資産として扱うと、リスク モデルとセキュリティ要件が歪められます。
ステップ5: 適切なゾーン管理の結果
重要度に基づいて明確な分離を確立することにより、資産所有者はセキュリティ レベルを正しく割り当て、コンジットを定義し、適切な技術的および手順的な制御を適用できます。
したがって、ISA/IEC 62443 では、リスク評価中に重要度に基づいてゾーンを明確に区別することが求められています。