職務分離とは、重要なタスクや機能を複数の人やチームに分割することで、詐欺、エラー、利益相反、リソースの不正使用を防ぐことを目的としたセキュリティ原則です。これは、産業オートメーションおよび制御システム（IACS）のセキュリティを確保するためのISA/IEC 62443規格の基本要件（FR）の1つです。ISA/IEC 62443-2-1規格によると、職務分離には以下のシステム要件（SR）が含まれます。
* SR 2.1: セキュリティ管理ポリシー
* SR 2.2: 人員のセキュリティ
* SR 2.3: システム開発と保守
* SR 2.4: インシデント対応と復旧
* SR 2.5: コンプライアンスとレビュー
これらのSRの中で、システム開発と保守の例に最も関連しているのはSRである。
2.3. SR 2.3では、IACSはシステムおよびそのコンポーネントの開発と保守が安全に行われることを保証する機能を備えなければならないと規定されています。これは、IACSがシステムおよびそのコンポーネントに取り組む開発者、テスト担当者、インテグレーター、および保守担当者のアクセスと認証を制御するメカニズムを備える必要があることを意味します。また、IACSは開発および保守プロセスの前、最中、そして後において、システムおよびそのコンポーネントの品質とセキュリティを検証および妥当性確認するメカニズムを備える必要があることも意味します。
したがって、システム開発と保守における職務分離の一例として、変更の承認を一方が行い、実装を他方が行うというものがあります。これにより、変更は実装に関与していない人物によって承認、文書化、レビューされます。これにより、システムとそのコンポーネントにエラー、脆弱性、または悪意のあるコードが混入するリスクが軽減されます。
参考文献:
* ISA/IEC 62443-2-1:2010、産業オートメーションおよび制御システムのセキュリティ - パート2-1：産業オートメーションおよび制御システムのセキュリティプログラムの確立1
* ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト認定プログラム2
* ISA/IEC 62443 サイバーセキュリティライブラリ3
* ISA/IEC 62443規格を用いた制御システムのセキュリティ確保4

「よくある落とし穴は、サイバーセキュリティを特定の組織とそのミッションに関連付ける、少なくとも高レベルの根拠がないまま、CSMSプログラムを開始しようとすることです。」CSMSプログラムとは、産業用制御システム（ICS）のセキュリティを確保するためのIEC 62443規格に準拠したサイバーセキュリティ管理システムプログラムです。CSMSプログラムを開始する際によくある落とし穴は、Dです。
詳細なリスク評価に直ちに着手する。詳細なリスク評価には、対象システム（SuC）の明確な定義、IACS資産のゾーンとコンジットへの割り当て、そして各ゾーンとコンジットにおける脅威、脆弱性、そして影響の特定が必要となるためです2。これらのステップは、セキュリティプログラム開発プロセスの最初のフェーズであるCSMSプログラムの評価フェーズの一部です2。ただし、評価フェーズを開始する前に、CSMSプログラムに必要なアクションを実行するための十分な財務的および組織的リソースを確保するために、経営陣の支援を得ることが重要です2。したがって、経営陣の同意を得ずに詳細なリスク評価に飛びつくことは、CSMSプログラムの成功を危うくする可能性のあるよくある間違いです。

ISA/IEC 62443-2-1の第2版（2024年版）では、情報セキュリティマネジメントシステム（ISMS）要件の重複を排除することで、大幅な構造的改善が図られました。第1版（2010年版）には、ISO/IEC 27001形式のISMS管理策と大幅に重複する内容が含まれており、冗長性と不必要な実装負担につながっていました。
改訂版において、ISAは62443-2-1が汎用ISMSを置き換えるものではなく、産業オートメーションおよび制御システム（IACS）向けに拡張・特化することを意図していることを明確にしました。その結果、重複するISMS条項は削除または簡素化され、IACS特有のリスク、運用上の現実、およびライフサイクル上の懸念事項に焦点が移りました。
この変更により、次の点が改善されます。
* 既存の企業ISMS実装との互換性
* ITセキュリティガバナンスとOTセキュリティ管理の役割の明確化
* IT 環境と OT 環境の両方を運用する資産所有者による実践的な導入 重要なのは、サプライ チェーンのセキュリティ、ライフサイクル管理、組織ガバナンスが削除されていないことです。
代わりに、重複を避けるため、それらはより適切に整合され、参照されました。PDCAモデルは暗黙的に残っていますが、2024年には新たに導入されませんでした。
したがって、決定的な変更は重複した ISMS 要件の排除であり、オプション B が正しいことになります。