ISA/IEC 62443-2-1では、SP要素1「組織的セキュリティ対策」を、IACSセキュリティプログラムの基盤を確立するガバナンス、ポリシー、および人材に焦点を当てた一連の管理策と定義しています。これらの対策は組織的な性質のものであり、説明責任、意識向上、および体系的なリスク管理の実現を目的としています。
ステップ1：SP要素1のスコープ
SP要素1には、以下のような活動が含まれます。
* セキュリティポリシーの定義
* 役割と責任
* 人事セキュリティ（例：身元調査）
* セキュリティ意識向上とトレーニング
* サプライチェーンセキュリティガバナンス
これらの管理策は、人材、プロセス、および第三者との関係がサイバーセキュリティの目標を確実に支援するようにするものです。
ステップ2：マルウェア対策がここにふさわしくない理由
マルウェア対策は技術的な対策であり、組織的な対策ではありません。ISA/IEC 62443では、マルウェア対策はSP要素4「コンポーネントの強化」で扱われており、エンドポイント保護、マルウェア対策メカニズム、および安全な構成に重点が置かれています。
ステップ3：他の選択肢が有効な理由
* 身元調査は、人事セキュリティの明確な一部です。
サプライチェーンのセキュリティは、組織にとって重要な課題です。
* セキュリティ意識向上トレーニングは、従業員が自身の責任を理解することを確実にするものです。
したがって、マルウェア対策はSP要素1には含まれません。

ISA/IEC 62443-3-2は「システム設計のためのセキュリティリスク評価」と題され、IACS（統合アクセス制御システム）におけるサイバーセキュリティリスク評価の実施方法、およびセキュリティゾーンとコンジットの設計方法を規定しています。この規格では、資産の特定、脅威と脆弱性の評価、セキュリティレベル（SL）の割り当て、およびリスクに基づいたセキュリティ設計の開発方法について説明しています。
参照: ISA/IEC 62443-3-2:2020、適用範囲およびセクション4.1（「62443-3-2の目的と目標」）。

ISA/IEC 62443-2-4規格によれば、トレーニングおよびセキュリティ意識向上プログラムは、産業オートメーションおよび制御システム（IACS）にアクセスできる、またはその運用、保守、管理に関与するすべての担当者を対象とする必要があります。これには、ベンダーおよびサプライヤー、従業員、臨時スタッフ、請負業者、訪問者が含まれます。このプログラムの目的は、すべての担当者がIACSに関連するセキュリティリスクとポリシーを認識し、安全な方法で役割を遂行するために必要なスキルと知識を持っていることを確認することです。このプログラムでは、さまざまな担当者の役割と責任、セキュリティインシデントの報告手順、およびセキュリティ衛生のベストプラクティスについても網羅する必要があります。参考文献：
* ISA/IEC 62443-2-4:2015 - 産業オートメーションおよび制御システムのセキュリティ - パート2-4：IACSサービスプロバイダー向けのセキュリティプログラム要件1
* ISA/IEC 62443 サイバーセキュリティ基礎専門家トレーニングコース2

ISA/IEC 62443では、多くのIACS環境は長いライフサイクルと厳格な可用性要件で運用されており、その結果、パッチ適用が遅れたり、頻度が低くなったりすることが多いと指摘している。
ステップ1：レガシーシステムと稼働時間制約
IACSのコンポーネントは、交換せずに何十年も稼働し続ける可能性があります。パッチを適用すると、運用上および安全上のリスクが生じる可能性があるため、アップデートはしばしば延期されます。
ステップ2：蓄積された脆弱性
パッチが適用されていないシステムには、攻撃者が一般に公開されているツールを使用して悪用できる既知の脆弱性が蓄積される。
ステップ3：他の選択肢が間違っている理由
IACSシステムはもはや孤立したシステムではなく、パッチ適用が必要であり、最新のアップデートが適用されていることは稀である。
したがって、パッチが適用されていないソフトウェアは、重大な脆弱性要因となる。