ISA/IEC 62443-2-1規格では、セキュリティプログラム成熟度レベルが導入されており、組織がセキュリティを事業運営にどの程度統合しているかを評価するのに役立ちます。レベル1は「初期」段階であり、プロセスはアドホックで文書化されておらず、組織全体で異なります。まさに質問で説明されているケースです。
成熟度レベル1（初期） - プロセスは場当たり的で、文書化されていません。組織全体またはチーム全体でセキュリティの実装方法に一貫性がありません。セキュリティ活動は、通常はインシデントへの対応として、一貫性なく実行されます。
- ISA/IEC 62443-2-1:2010、表4 - 成熟度レベル
シフトとチーム間の不一致は、標準化された手順が欠如していることを示しており、これはレベル 1 の特徴です。
参考文献:
ISA/IEC 62443-2-1:2010 - セクション4.2.3、表4
ISA/IEC 62443-2-1 - 成熟度レベルとプログラム要件

脆弱性スキャナは、ネットワークまたはシステムをスキャンし、設定ミス、古いソフトウェア、脆弱なパスワードなどの既知の脆弱性を検出するツールです。脆弱性スキャナは、システムのセキュリティ体制を改善するための貴重な情報を提供しますが、実稼働システムで使用すると制御ネットワークに深刻な混乱を引き起こす可能性があります。脆弱性スキャナは、脆弱性を悪用することで、大量のネットワークトラフィックを生成し、システムリソースを消費し、アラームをトリガーし、さらにはデバイスをクラッシュさせる可能性があるためです。したがって、適切な承認と予防措置なしに、実稼働システムで脆弱性スキャナを使用しないでください。脆弱性スキャナは、テストネットワークまたは隔離されたネットワーク、またはシステム運用への影響が最小限に抑えられる定期メンテナンス期間中にのみ使用してください。参考文献：ISA/IEC
62443 産業用制御システムを保護するための標準、モジュール 5: 現在のセキュリティ レベルの評価、スライド 25。

ISA/IEC 62443は、物理セキュリティとサイバーセキュリティは相互に依存しており、産業オートメーションおよび制御システム（IACS）に強固な保護を提供するには、互いに補完し合う必要があることを強調しています。物理的なセキュリティ対策（錠、フェンス、アクセスカードなど）は不正な物理アクセスから保護し、サイバーセキュリティ対策はデジタル脅威から保護します。両者は連携して機能する必要があります。例えば、サイバー攻撃者が制御盤への物理的なアクセスを獲得したり、物理的な侵入者が脆弱なネットワークセキュリティを悪用したりする可能性があります。
参照: ISA/IEC 62443-2-1:2009、セクション4.2.5（「物理的および環境的セキュリティ」）; ISA/IEC 62443-
1-1:2007、セクション4.5。

MODBUS/TCPは、シリアルModbusをEthernet上で実装するプロトコルの名称です。MODBUS/TCPはModbusプロトコルの一種で、トランスポート層として伝送制御プロトコル（TCP）を使用し、Modbusメッセージをカプセル化してEthernetネットワーク経由で送信します。MODBUS/TCPはModbusアプリケーション層とデータモデルを維持するため、シリアルModbusデバイスはMODBUSと通信できます。
ゲートウェイまたはコンバータを介して/TCPデバイスに接続できます。MODBUS/TCPは、高性能、相互運用性、既存のModbusデバイスとの互換性を備えているため、産業用オートメーションおよび制御システムで広く使用されています。参考文献：ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト学習ガイド、セクション3.1.21、MODBUSアプリケーションプロトコル仕様V1.1b3、セクション1.1

OPC Classic は通信に Microsoft の DCOM (分散コンポーネント オブジェクト モデル) を使用します。これにより複数のポートが動的に開かれるため、ファイアウォールでの管理が非常に困難になります。
「DCOM は動的なポート ネゴシエーションを必要とするため、OPC Classic はファイアウォールに適しておらず、一貫したファイアウォール ルールを定義することが困難です。」
- ISA/IEC 62443-3-3:2013、付録 A - 通信プロトコルとセキュリティ上の懸念事項 このポートの予測可能性の欠如は重大なセキュリティおよび運用上のリスクをもたらすため、固定ポートを使用し暗号化をサポートする OPC UA が開発されました。
参考文献:
ISA/IEC 62443-3-3 - 付録A
OPC Foundation セキュリティガイドライン