ISA/IEC 62443-2-1のSP要素2は構成管理に焦点を当てており、資産インベントリのベースラインが基礎的な要件となっています。
ステップ1：在庫ベースラインの目的
インベントリベースラインには、IACSを構成するすべてのハードウェア、ソフトウェア、ファームウェア、および構成項目が記録されます。これにより、システムの既知の信頼できる状態が確立されます。
ステップ2：アーキテクチャの可視化
この基準値を維持することで、資産所有者は、システムコンポーネント、バージョン、依存関係などを含むIACSアーキテクチャを明確かつ正確に理解できるようになります。
ステップ3：他の選択肢が間違っている理由
物理的なアクセス制御とユーザー認証は、それぞれ異なるSP要素で扱われます。イベント管理は異常を検出しますが、インベントリベースラインを置き換えるのではなく、それに依存します。
したがって、主な目的はIACSアーキテクチャを文書化することにある。

リスク分析カテゴリには、検討対象のサイバーフィジカルシステム（CPS）に関連するリスクを特定および評価するために使用される背景情報が含まれています。この情報には、システムの説明、脅威モデル、脆弱性分析、リスク評価方法、およびリスク受容基準が含まれます。リスク分析カテゴリは、リスクID、リスク軽減、リスク受容、リスク監視などのCSMSの他の多くの要素への入力として使用されます。リスク分析カテゴリは、リスク管理プロセスの基盤を提供し、CPSにおけるサイバーセキュリティへの一貫性のある体系的なアプローチを確保するのに役立ちます。参考文献：
* ISA/IEC 62443規格を使用して制御システムを安全に保護する、13ページ
* [ISA/IEC 62443 サイバーセキュリティ基礎専門家向け学習ガイド]、34ページ

ISA/IEC 62443-4-1規格は、IACS製品の安全な製品開発ライフサイクルに関する要件を定義しています。その中核となる要件の一つが「リスク管理」です。これは、製品ライフサイクル全体を通してセキュリティリスクを特定、評価、軽減する体系的なプロセスです。これにより、初期設計段階から保守、廃止に至るまで、セキュリティが確実に組み込まれます。アジャイル開発や継続的インテグレーションは有用な開発手法となり得ますが、規格の具体的な要件ではありません。多層防御はセキュリティ原則であり、ライフサイクルプロセスの要件ではありません。
参照：ISA/IEC 62443-4-1:2018、セクション4.2.3（「セキュリティリスク管理」）。

ロールベースアクセス制御（RBAC）は、組織内の個々のユーザーの役割に基づいてリソースへのアクセスを制限する方法です。RBACは、個々のユーザーではなく役割に権限と責任を割り当て、その役割にユーザーを割り当てます。これにより、ユーザーは自分の役割に関連する必要な操作のみを実行でき、権限の範囲を超える他のリソースにアクセスしたり変更したりすることはできません。RBACは、産業オートメーションおよび制御システム（IACS）をサイバー脅威から保護するための多層防御戦略で実装できるセキュリティ対策の1つです。RBACは、IACSリソースへの不正アクセス、悪用、または破壊行為を防止するだけでなく、人的ミスや内部犯行のリスクを軽減するのに役立ちます。
参考文献：
ISA/IEC 62443-3-3:2013、産業オートメーションおよび制御システムのセキュリティ - パート 3-3: システム セキュリティ要件およびセキュリティ レベル、条項 5.3.2.11 ISA/IEC 62443-2-1:2010、産業オートメーションおよび制御システムのセキュリティ - パート 2-1: 産業オートメーションおよび制御システムのセキュリティ プログラムの確立、条項 6.2.2.32 ISA/IEC 62443-4-1:2018、産業オートメーションおよび制御システムのセキュリティ - パート 4-1: 製品セキュリティ開発ライフサイクル要件、条項 5.2.3.23 ISA/IEC 62443-4-2:2019、産業オートメーションおよび制御システムのセキュリティ - パート 4-2: IACS コンポーネントの技術的セキュリティ要件、条項 4.2.3.24

ISA/IEC 62443規格によれば、組織が許容できるリスクレベルは経営陣によって決定されます。経営陣は、事業目標とリスク目標、そして組織のセキュリティポリシーと手順を定義する責任を負っているからです。経営陣はまた、セキュリティプログラムの実施と維持に必要なリソースを割り当て、役割と責任を割り当てる権限も有しています。法務部門、運用部門、安全部門は経営陣に意見やフィードバックを提供することはできますが、リスク許容レベルを決定する最終決定権は持ちません。参照：ISA/IEC
62443-2-1:2010 - 産業オートメーションおよび制御システムのセキュリティプログラムの確立、セクション 4.2.1。