サイバー犯罪攻撃の増加は、エネルギー、水道、交通、製造業など、生活必需品を供給する企業に深刻な影響を及ぼしています。ISA/IEC 62443および関連する重要インフラに関するガイダンスは、攻撃者が、その混乱が広範囲にわたる社会的影響を及ぼす可能性のある組織を標的とするケースが増えていることを強調しています。サイバー犯罪は組織にサイバーセキュリティの強化を促す要因となる一方で、最も顕著な影響は、生活必需品とインフラへのリスクです。
参考: ISA/IEC 62443-1-1:2007、セクション 4.4、NIST CSF、セクション 1.0。

パッチ管理とは、セキュリティ上の脆弱性を修正し、機能やパフォーマンスを向上させるためにソフトウェアアップデートを適用するプロセスです。パッチが適用されていないシステムは悪意のある攻撃者に悪用される可能性があるため、パッチ管理はサイバーセキュリティの不可欠な要素です。しかし、産業用オートメーションおよび制御システム（IACS）のパッチ管理は、稼働中のオートメーションシステムにパッチを適用すると安全上のリスクが生じる可能性があるため、ビジネスシステムよりも困難です。ISA/IEC 62443規格によると、IACSへのパッチ適用には、以下の潜在的な影響が考えられます1。
* パッチを適用すると、IACS の可用性、整合性、または機密性が損なわれる新たな脆弱性やエラーが発生する可能性があります。
* パッチを適用すると、IACS の機能やパフォーマンスに影響が及び、プロセスのシャットダウン、速度低下、障害などの予期しない動作や望ましくない動作が発生する可能性があります。
* パッチ適用には IACS のダウンタイムや運用の低下が必要になる場合があり、生産、品質、収益性に影響する可能性があります。
* パッチ適用には、人員、機器、テスト設備などの追加のリソースが必要になる場合がありますが、これらはすぐには入手できなかったり、費用がかかったりする場合もあります。
したがって、IACSのパッチ管理には、運用環境にパッチを適用する前に、綿密な計画、テスト、検証が必要です。ISA/IEC 62443規格は、IACS環境におけるパッチ管理に関するガイダンスとベストプラクティスを以下のように提供しています。1
* IACS コンポーネントおよびシステムにパッチを適用するための役割、責任、ポリシー、および手順を定義するパッチ管理プログラムを確立します。
* 重要度、脆弱性、リスク レベルに基づいて、パッチ適用が必要な IACS 資産を特定し、優先順位を決定。
* パッチを IACS に適用する前に、互換性、機能性、セキュリティについてパッチを評価および検証します。
* パッチの失敗や悪影響が発生した場合に備えて、バックアップ、リカバリ、ロールバック手順を含むパッチ適用プロセスを実装し、文書化します。
* パッチ適用アクティビティと結果を監視および監査し、問題やインシデントがあれば報告します。
参考文献: 1: ISA TR62443-2-3 - 産業オートメーションおよび制御システムのセキュリティ、パート2-3: IACS環境におけるパッチ管理

安全な製品開発ライフサイクルの要件に対応するフレームワークを提供する主な目標の一つは、セキュリティポリシーと手順が適切に文書化されていることを確認することです。この目標は、ソフトウェアまたはシステムの開発プロセス全体に統合された、構造化され標準化されたセキュリティアプローチを確立するため、非常に重要です。このフレームワークは、開発プロセスをセキュリティのベストプラクティスに適合させるのに役立ち、セキュリティの脆弱性に関連するリスクを軽減します。セキュリティポリシーと手順を文書化することで、セキュリティに関する考慮事項が一貫して適用され、ISA/IEC 62443などの関連規格への準拠が維持されます。この基本的なアプローチは、セキュリティを後回しにするのではなく、製品開発ライフサイクルにセキュリティに関する考慮事項を直接組み込むことで、全体的なセキュリティ体制をサポートします。