ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト向け資料によると、パッチとは、バグや脆弱性を修正したり、システムのパフォーマンスを向上させたりするソフトウェアアップデートのことです。パッチは、緊急度と影響度に基づいて、低、中、高の 3 つのカテゴリに分類されます。優先度の低いパッチは、システムの機能やセキュリティへの影響が最小限またはまったくないため、次回の定期メンテナンス時に適用できます。優先度の中程度のパッチは、システムの機能やセキュリティに中程度の影響を与えるため、3 か月などの妥当な期間内に適用する必要があります。優先度の高いパッチは、システムの機能やセキュリティに重大な影響を与えるため、できるだけ早く、できれば最初の予定外の停止時に適用する必要があります。パッチをタイムリーに適用することは、産業オートメーションおよび制御システム (IACS) のセキュリティと信頼性を維持するためのベストプラクティスです。
参考文献：
* ISA/IEC 62443 サイバーセキュリティ基礎スペシャリスト学習ガイド、セクション 4.3.2、パッチ管理
* ISA/IEC 62443-2-1:2009、産業オートメーションおよび制御システムのセキュリティ - パート2-1：産業オートメーションおよび制御システムのセキュリティプログラムの確立、条項5.3.2.2、パッチ管理
* ISA/IEC 62443-3-3:2013、産業オートメーションおよび制御システムのセキュリティ - パート3-3：システムセキュリティ要件およびセキュリティレベル、条項4.3.3.6.2、パッチ管理

ISA/IEC 62443-3-3に規定されている基本要件6（FR 6）「事象への迅速な対応（TRE）」では、システムがセキュリティ関連事象を検知し、適切な当局または担当者にセキュリティ違反を速やかに通知するなど、対応することが求められています。これにより、迅速なインシデント対応、封じ込め、復旧が可能となり、これらはすべて被害を最小限に抑える上で不可欠です。
参照：ISA/IEC 62443-3-3:2013、セクション4.3.3.6（FR 6：事象への迅速な対応）。

欧州連合のサイバーセキュリティ指令を改訂したNIS2指令は、国レベルとEUレベルの両方でサイバー危機管理フレームワークを確立するなど、いくつかの新たな要件を導入しています。これは、重大なサイバーセキュリティインシデントや危機への効果的な対応を調整することを目的としています。NIS2は、法令遵守の義務付けや物理的なセキュリティのみに焦点を当てるのではなく、官民連携を重視しています。
参照：NIS2指令（指令（EU）2022/2555）、第9条～第11条、およびENISAの公式文書。

産業オートメーションおよび制御システム（IACS）のセキュリティリスクを高めている傾向の一つに、これらのシステムをERP（エンタープライズリソースプランニング）、MES（製造実行システム）、SCADA（監視制御およびデータ収集）などのビジネスシステムやエンタープライズシステムと統合することが挙げられます。この統合により、IACSはマルウェア、サービス拒否攻撃、不正アクセス、データ窃盗など、ビジネスシステムやエンタープライズシステムに影響を与えるのと同じ脅威や脆弱性にさらされます。さらに、この統合は、リモートアクセス、無線ネットワーク、サードパーティ製デバイスなどを介して、攻撃者がIACSを侵害するための新たな攻撃ベクトルや経路を生み出します。したがって、IACSとビジネスシステムおよびエンタープライズシステムの統合は、セキュリティ脆弱性のかなりの割合を引き起こしている傾向と言えます。参考文献：ISA/IEC 62443 産業制御システムを保護するための規格、1～2ページ。

認証とは、ネットワークリソースまたは機能へのアクセスを許可または拒否するプロセスです。認証（ユーザーアカウント）は、特定の役割に基づいて付与される必要があります。役割とは、ユーザーまたはユーザーグループに割り当てられた権限と責任のセットとして定義されます。役割は、最小権限の原則に基づいて設定されるべきです。つまり、ユーザーはタスクを実行するために必要な最小限のアクセス権限のみを持つべきです。また、役割は職務分掌の原則に基づいて設定されるべきです。つまり、ユーザーはシステムのセキュリティや完全性を損なう可能性のある、矛盾する責任や重複する責任を持つべきではありません。
個人の好みや大規模グループの共通ニーズに基づく認可は、過剰または不必要なアクセス権限、あるいは矛盾したポリシーや相反するポリシーにつながる可能性があるため、推奨されません。システムの複雑さに基づく認可も、管理や監査が困難な過度に複雑または不明瞭な役割につながる可能性があるため、適切な基準ではありません。参考文献：
ISA/IEC 62443-3-3:2013 - 産業オートメーションおよび制御システムのセキュリティ - パート3-3：システムセキュリティ要件およびセキュリティレベル1 ISA/IEC 62443-2-1:2010 - 産業オートメーションおよび制御システムのセキュリティ - パート2-1：産業オートメーションおよび制御システムのセキュリティプログラムの確立2 ISA/IEC 62443-4-1:2018 - 産業オートメーションおよび制御システムのセキュリティ - パート4-1：製品セキュリティ開発ライフサイクル要件3