アプリケーションホワイトリスト（AWL）は、システム上で許可されたアプリケーションのみを実行できるようにし、不正なコードや悪意のあるコードの実行をブロックする技術です。AWLは、マルウェア感染を防ぎ、システムの攻撃対象領域を縮小する最も効果的な方法の1つです。AWLは、オペレーティングシステム、ネットワーク、アプリケーション自体など、さまざまなレベルで実装できます。AWLは、従来のウイルス対策ソフトウェアやその他のセキュリティソリューションと互換性のないレガシープラットフォームや独自仕様のプラットフォームで実行されることが多い産業用オートメーションおよび制御システム（IACS）に特に有効です。AWLは、セキュリティベンダーによって修正または検出されていない未知の脆弱性を悪用するゼロデイ攻撃からIACSを保護するのにも役立ちます。AWLは、ISA/IEC 62443規格において、IACSの悪意のあるコードからの保護の主要コンポーネントとして推奨されています。これらの規格によると、AWLは、それをサポートするすべてのIACSコンポーネントに適用し、組織のセキュリティポリシーと手順に従って設定および保守する必要があります。 IACS セキュリティに対する多層防御アプローチを実現するには、AWL に加えて、ネットワーク セグメンテーション、ゾーンとコンジット、パッチ管理などの他のセキュリティ対策も必要です。参考資料:
* ISA/IEC 62443-3-3:2013、システムセキュリティ要件とセキュリティレベル、セクション5.2.3.41
* ISA/IEC 62443-2-1:2010、産業オートメーションおよび制御システムのセキュリティプログラムの確立、セクション4.3.3.6.42
* ISA/IEC 62443-4-2:2019、IACSコンポーネントの技術セキュリティ要件、セクション4.2.3.43
* ISA/IEC 62443-3-2:2020、システム設計のためのセキュリティリスク評価、セクション7.3.3.44
* ISA/IEC 62443-4-1:2018、製品開発要件、セクション5.2.3.45

ISA/IEC 62443-2-4規格によると、トレーニングおよびセキュリティ意識向上プログラムは、産業オートメーションおよび制御システム（IACS）にアクセスする、またはその運用、保守、管理に携わるすべての担当者を対象に実施する必要があります。これには、ベンダー、サプライヤー、従業員、臨時職員、請負業者、訪問者が含まれます。このプログラムの目的は、すべての担当者がIACSに関連するセキュリティリスクとポリシーを認識し、それぞれの役割を安全に遂行するために必要なスキルと知識を身に付けていることを保証することです。また、プログラムでは、各担当者の役割と責任、セキュリティインシデントの報告手順、セキュリティ衛生に関するベストプラクティスについても取り上げる必要があります。参考資料：
ISA/IEC 62443-2-4:2015 - 産業オートメーションおよび制御システムのセキュリティ - パート2-4：IACSサービスプロバイダのセキュリティプログラム要件1 ISA/IEC 62443 サイバーセキュリティ基礎スペシャリストトレーニングコース2

ISA/IEC 62443-2-1規格によると、セキュリティポリシー、組織、および意識向上は、IACSセキュリティ管理システムの4つの基本要件の1つです。この要件は、「セキュリティプログラムをサポートするために必要なポリシー、手順、および組織構造」1を定義します。この要件の要素の1つは、スタッフのトレーニングとセキュリティ意識向上であり、「IACSコンポーネントにアクセスする、または責任を負うすべての担当者に適切なセキュリティ教育とトレーニングを提供すること」1が含まれます。この要素は、スタッフがセキュリティリスク、ポリシー、および手順を認識し、役割と責任を安全に遂行できるようにすることを目的としています。スタッフのトレーニングとセキュリティ意識向上には、セキュリティ原則、脅威と脆弱性、インシデント対応、パスワード管理、物理的セキュリティ、ソーシャルエンジニアリング2などのトピックが含まれます。参考文献：
* ISA/IEC 62443シリーズ規格 - ISA
* 産業オートメーションおよび制御システムのセキュリティ - ISAGCA

ISA/IEC 62443-3-2規格によれば、セキュリティゾーンとは、共通のセキュリティ要件を共有するシステムおよびコンポーネントを、機能的、論理的、および物理的な関係に基づいてグループ化したものです。セキュリティゾーンを定義する主な目的は、ゾーン内の資産の重要度とリスク評価に基づいて、一貫したレベルの保護をゾーン内に適用することです。セキュリティゾーンには、セキュリティ要件が同じであれば、異なるベンダー、Purdueモデルの異なるレベル、または異なる物理的な場所の資産を含めることができます。また、ゾーン内に異なるセキュリティ要件がある場合は、セキュリティゾーンをサブゾーンに分割することもできます。コンジットとは、共通のセキュリティ要件を共有する2つ以上のゾーンを接続する通信チャネルの論理的または物理的なグループです。
参考文献:
* ISA/IEC 62443-3-2:2020、産業オートメーションおよび制御システムのセキュリティ - パート3-2：システム設計のためのセキュリティリスク評価、第4.3.21項
* ISA/IEC 62443-1-1:2009、産業オートメーションおよび制御システムのセキュリティ - パート1-1:
用語、概念およびモデル、第3.2.42項

ISA/IEC 62443規格は、産業オートメーションおよび制御システムのセキュリティに重点を置いています。ISA/IEC 62443フレームワークの評価フェーズは、産業制御システム（ICS）環境における潜在的な脆弱性を特定し、分析することを目的としています。このフェーズの重要なステップの一つは、サイバーセキュリティ要件の規定です。さらに、産業オートメーションおよび制御システム（IACS）資産を定義されたゾーンとコンジットに割り当てることで、ネットワークを管理・分離し、セキュリティを向上させることも含まれます。これらの対策は、セキュリティ要件が満たされ、資産がセキュリティニーズに応じて保護されることを保証するのに役立ちます。したがって、正解はBです。これは、サイバーセキュリティ要件の規定と、評価フェーズにおけるIACS資産のゾーンとコンジットへの割り当ての両方について言及しています。