ISA/IEC 62443規格に準拠したISASecure認証プログラムは、既知のサイバーセキュリティ脅威に対する産業制御システムの堅牢性を分類する3つの異なるセキュリティレベルを定義しています。
これらのレベルは、産業オートメーションおよび制御システムのセキュリティを確保するための拡張可能なアプローチを提供するように設計されており、各レベルはより高いレベルのセキュリティを提供します。これらのレベルは通常、SL1（セキュリティレベル1）、SL2（セキュリティレベル2）、SL3（セキュリティレベル3）として識別され、それぞれがサイバー攻撃に対するより厳格なセキュリティ機能と耐性に対応しています。

ISA/IEC 62443-2-1は、CSMS（サイバーセキュリティ管理システム）における継続的改善の一環として、組織の責任と訓練の継続的な評価の重要性を強調しています。定期的な評価により、担当者が自身の役割を認識し、適切な訓練を受け、プログラムが環境、技術、または脅威の状況の変化に適応することが保証されます。この規格は、責任を固定化したり、制御なしに拡大したりすることを推奨せず、定期的な見直しと更新を提唱しています。
参照：ISA/IEC 62443-2-1:2009、セクション5.4.3（「トレーニングと意識向上」）および6.2.4（「定期的なレビューと評価」）。

フィッシングは、人間の弱点を利用して成功するサイバー攻撃の一種です。フィッシングとは、銀行、政府機関、信頼できる人物など、正当な送信元を装った不正な電子メールやその他のメッセージを送信し、受信者を騙してパスワード、クレジットカード番号、個人情報などの機密情報を漏洩させたり、マルウェアやランサムウェアをデバイスにインストールする可能性のある悪意のあるリンクや添付ファイルをクリックさせたりする行為です。フィッシングは、人的要因を利用して技術的なセキュリティ対策を回避できるため、産業オートメーションおよび制御システム（IACS）のセキュリティを侵害する一般的かつ効果的な手段です。フィッシングは、IACSネットワークへのアクセス権を取得したり、偵察活動を行ったり、さらなる攻撃を開始したり、IACSの運用に損害や混乱を引き起こしたりするためにも使用されることがあります。ISA/IEC 62443規格シリーズは、フィッシングをIACSに対する潜在的な脅威ベクトルとして認識し、フィッシング攻撃の防止、検出、対応方法に関するガイダンスとベストプラクティスを提供しています。推奨される対策には、以下のようなものがあります。
IACSの職員に対し、フィッシングメールやメッセージを認識し回避する方法、および不審な活動や悪意のある活動を報告する方法について教育・研修を行う。
強力なパスワードの使用、送信者の身元確認、不明または迷惑なリンクや添付ファイルを開いたりクリックしたりしないことなど、電子メールやメッセージのセキュリティに関するポリシーと手順を実施し、徹底する。
アンチウイルスソフトウェア、ファイアウォール、スパムフィルター、暗号化、認証などの技術的なセキュリティ対策を適用して、IACSデバイスとネットワークをフィッシング攻撃から保護する。
IACSネットワークおよびデバイスを監視および監査し、異常または不正なトラフィック、接続、アクティビティなどのフィッシング攻撃の兆候を検出し、インシデントの影響を封じ込め、軽減するための適切な措置を講じる。参考文献：
ISA/IEC 62443-1-1:2009、産業オートメーションおよび制御システムのセキュリティ - パート 1-1: 用語、概念およびモデル1 ISA/IEC 62443-2-1:2009、産業オートメーションおよび制御システムのセキュリティ - パート 2-1: 産業オートメーションおよび制御システムのセキュリティ プログラムの確立2 ISA/IEC 62443-2-4:2015、産業オートメーションおよび制御システムのセキュリティ - パート 2-4: IACS サービス プロバイダのセキュリティ プログラム要件3 ISA/IEC 62443-3-3:2013、産業オートメーションおよび制御システムのセキュリティ - パート 3-3: システム セキュリティ要件およびセキュリティ レベル4 ISA/IEC 62443-4-2:2019、産業オートメーションおよび制御システムのセキュリティ - パート 4-2: IACS コンポーネントの技術的セキュリティ要件5

ISA/IEC TR 62443-1-5は、特定のセクターやアプリケーションに合わせたサイバーセキュリティプロファイルの作成方法を規定しています。セキュリティ要件の基本的な構造は変わりませんが、セクター固有のニーズや規制要件に合わせて変更を加えることが可能です。
「プロファイルを使用することで、既存のセキュリティ要件を業界固有のニーズに合わせてカスタマイズできます。要件の文言、優先順位、適用範囲は、リスク許容度や状況に応じて変更される場合があります。」
- ISA/IEC TR 62443-1-5:2018、第5.3項 - プロファイルのカスタマイズ
これにより、プロファイル間の一貫性を維持しながら、柔軟性を確保できます。
参考文献：
ISA/IEC TR 62443-1-5:2018 - 条項5.3
ISA/IEC 62443-1-1 - 基本要件構造

NIST SP 800-82は、SCADA、DCS、PLCベースのシステムを含む産業制御システム（ICS）のセキュリティを確保するための決定的なガイダンスです。
「NIST特別刊行物800-82は、監視制御およびデータ収集（SCADA）システム、分散制御システム（DCS）、その他の制御システム構成を含む産業制御システム（ICS）のセキュリティ確保方法に関するガイダンスを提供します。」
- NIST SP 800-82 Rev. 2、概要
その間：
SP 800-30はリスク評価に焦点を当てています
SP 800-53は、連邦システムに対する一般的なセキュリティ制御を提供します。
SP 800-171は、連邦政府以外のシステムにおける管理対象非機密情報（CUI）を対象としています。SP 800-82のみが、ICS/OT環境を具体的に扱っています。
参考文献：
NIST SP 800-82 Rev. 2 - 概要
ISA/IEC 62443-2-1 - NISTガイダンスとの相互参照を認める