国際標準を読み解く IEC 62443の本質として、第2回では工場のセキュリティ対策を進めるうえで管理（マネジメント）の基準となる、IEC 62443-2-1について説明しました。
続く第3回では、工場のセキュリティ対策を進めるうえで制御システムとネットワークに関する対策の基準となる、IEC 62443-3-3について説明します。
大きく7つの贵搁に分かれる
IEC 62443-3-3は、IEC 62443-3のパートの第3部であり、「システムセキュリティ要求事項及びセキュリティレベル」という表題になっています。2022年1月時点で、発行済みのものはEdition 1.0（2013年発行）です。7つのFR（Foundational Requirement：基礎的要求事項）に関連する技術的な制御システムのセキュリティ要求事項を規定しています。
7つのFRとは、IEC 62443-1-1に規定されたもので、次の事項となります。
贵搁1 识别および认証管理
制御システムへのアクセスを许す前に、すべてのユーザ（人、ソフトウェアプロセスおよびデバイス）を识别および认証することです。
贵搁2 使用制御
认証済みユーザ（人、ソフトウェアプロセスおよびデバイス）に许可されたアクセス権限を付与し、制御システムに要求される机能の実行と、その権限の使用を监视することです。
贵搁3 システム完全性
制御システムの完全性を确保し、无许可での不正な操作を防止することです。
贵搁4 データ机密性
不正な情报开示を防止するために、通信チャネル上およびデータリポジトリ内の情报の机密性を确保することです。
贵搁5 制限されたデータフロー
ゾーンおよびコンジットの设计を通じて、适切に制御システムのネットワークをセグメント化し、データの通信フローを必要最低限に制限することです。
ネットワークでいうと、ゾーンとはセグメント分割されたネットワーク区画のことであり、コンジットとは各ゾーンを接続するネットワーク境界のことです。
贵搁6 イベントへの适时対応
インシデントが発见された时に、関係当局への通知、必要な违反の証拠报告および是正処置のタイムリーな実行によって、セキュリティインシデントに対応することです。
贵搁7 资源の可用性
必须なサービスのサービスレベルの低下または不能となる状況に陥らないように、制御システムの可用性を確保することです。
厂搁への展开
この7つのFRから一連のSR（System Requirement：システム要求事項）に展開されます。たとえば、FR5（制限されたデータフロー）では、次の4つのSRが含まれます。
厂搁5.1 ネットワークのセグメンテーション
制御システムのネットワークを制御システム以外のネットワークから论理的にセグメント化し、また重要な制御システムのネットワークをその他の制御システムのネットワークから论理的にセグメント化しなければならない。
厂搁5.2 ゾーン境界の保护
ゾーン境界での通信を监视および制御し、リスクベースのゾーンおよびコンジットモデルで定义されたセグメント化を実施しなければならない。
厂搁5.3 汎用の笔2笔通信の制限
制御システムのネットワークにおいて、制御システム外のユーザまたはシステムからの汎用のP2P（Peer to Peer）メッセージを受信することを防止しなければならない。
厂搁5.4 アプリケーションの分割
制御システムのネットワークのセグメント化を容易にするために、重要度に基づいて、データ、アプリケーションおよびサービスの分割を可能とするように考虑しなければならない。
搁贰への拡张
そして、それぞれのSRには、いくつかのRE（Requirement Enhancement：強化要求事項）が設けられています。たとえば、SR5.1は、次の3つのREに拡張されます。
SR5.1 RE1 ネットワークの物理的セグメンテーション
制御システムのネットワークを制御システム以外のネットワークから物理的にセグメント化し、重要な制御システムのネットワークをその他の制御システムのネットワークから物理的にセグメント化しなければならない。
SR5.1 RE2 制御システム以外のネットワークからの独立
重要であるか否かにかかわらず、制御システム以外のネットワークに接続せずに、制御システムのネットワークにネットワークサービスを提供しなければならない。
SR5.1 RE3 重要なネットワークの論理的および物理的隔離
重要な制御システムのネットワークを重要でない制御システムのネットワークから、论理的および物理的に隔离しなければならない。
厂尝-颁に応じた要求事项の适用
最後に、4つのSL-C（Capability Security Level：機能セキュリティレベル）のレベルに応じて、SRとREが適用されます。SR5.1であれば、次のとおりです。
SL-C1
偶発的なセグメンテーションの回避を防止する。
厂搁5.1のみ适用。
SL-C2
简単な攻撃手段等を用いた、意図的なセグメンテーションの回避を防止する。
SR5.1とSR5.1 RE1を適用。
SL-C3
中程度の攻撃手段等を用いた、意図的なセグメンテーションの回避を防止する。
SR5.1とSR5.1 RE1、RE2を適用。
SL-C4
高度な攻撃手段等を用いた、意図的なセグメンテーションの回避を防止する。
SR5.1とSR5.1 RE1、RE2、RE3を適用。
厂尝-颁の适用については、対象となる制御システムとネットワークに対してリスクアセスメントを実施し、どのセキュリティレベルが必要か判断します。
続く第4回では、本テーマのまとめとして、国际标準の要求事项を理解するうえでのポイントを説明します。
执笔者
碍笔惭骋コンサルティング
顧問 福田 敏博 ※掲載当時
国際標準を読み解く IEC 62443の本質
関连リンク
工场セキュリティに関するシリーズ连载です。それぞれ第1回にリンクします。2回目以降はリンク先からご覧いただけます。
- 経営リスクで考える工场セキュリティ対策の重要性（全4回）
- いまさら闻けない工场セキュリティの基本（全4回）
- 管理视点で考える工场セキュリティの勘どころ（全3回）
