OTセキュリティ対策のバイブル

国際標準を読み解く IEC 62443の本質として、第2回では工場のセキュリティ対策を進めるうえで管理（マネジメント）の基準となる、IEC 62443-2-1について説明しました。
続く第3回では、工場のセキュリティ対策を進めるうえで制御システムとネットワークに関する対策の基準となる、IEC 62443-3-3について説明します。

IEC 62443-3-3は、IEC 62443-3のパートの第3部であり、「システムセキュリティ要求事項及びセキュリティレベル」という表題になっています。2022年1月時点で、発行済みのものはEdition 1.0（2013年発行）です。7つのFR（Foundational Requirement：基礎的要求事項）に関連する技術的な制御システムのセキュリティ要求事項を規定しています。
7つのFRとは、IEC 62443-1-1に規定されたもので、次の事項となります。

制御システムへのアクセスを許す前に、すべてのユーザ（人、ソフトウェアプロセスおよびデバイス）を識別および認証することです。

認証済みユーザ（人、ソフトウェアプロセスおよびデバイス）に許可されたアクセス権限を付与し、制御システムに要求される機能の実行と、その権限の使用を監視することです。

制御システムの完全性を確保し、無許可での不正な操作を防止することです。

不正な情報開示を防止するために、通信チャネル上およびデータリポジトリ内の情報の機密性を確保することです。

ゾーンおよびコンジットの設計を通じて、適切に制御システムのネットワークをセグメント化し、データの通信フローを必要最低限に制限することです。
ネットワークでいうと、ゾーンとはセグメント分割されたネットワーク区画のことであり、コンジットとは各ゾーンを接続するネットワーク境界のことです。

インシデントが発見された時に、関係当局への通知、必要な違反の証拠報告および是正処置のタイムリーな実行によって、セキュリティインシデントに対応することです。

必須なサービスのサービスレベルの低下または不能となる状況に陥らないように、制御システムの可用性を確保することです。

この7つのFRから一連のSR（System Requirement：システム要求事項）に展開されます。たとえば、FR5（制限されたデータフロー）では、次の4つのSRが含まれます。

制御システムのネットワークを制御システム以外のネットワークから論理的にセグメント化し、また重要な制御システムのネットワークをその他の制御システムのネットワークから論理的にセグメント化しなければならない。

ゾーン境界での通信を監視および制御し、リスクベースのゾーンおよびコンジットモデルで定義されたセグメント化を実施しなければならない。

制御システムのネットワークにおいて、制御システム外のユーザまたはシステムからの汎用のP2P（Peer to Peer）メッセージを受信することを防止しなければならない。

制御システムのネットワークのセグメント化を容易にするために、重要度に基づいて、データ、アプリケーションおよびサービスの分割を可能とするように考慮しなければならない。

そして、それぞれのSRには、いくつかのRE（Requirement Enhancement：強化要求事項）が設けられています。たとえば、SR5.1は、次の3つのREに拡張されます。

制御システムのネットワークを制御システム以外のネットワークから物理的にセグメント化し、重要な制御システムのネットワークをその他の制御システムのネットワークから物理的にセグメント化しなければならない。

重要であるか否かにかかわらず、制御システム以外のネットワークに接続せずに、制御システムのネットワークにネットワークサービスを提供しなければならない。

重要な制御システムのネットワークを重要でない制御システムのネットワークから、論理的および物理的に隔離しなければならない。

最後に、4つのSL-C（Capability Security Level：機能セキュリティレベル）のレベルに応じて、SRとREが適用されます。SR5.1であれば、次のとおりです。

偶発的なセグメンテーションの回避を防止する。
SR5.1のみ適用。

簡単な攻撃手段等を用いた、意図的なセグメンテーションの回避を防止する。
SR5.1とSR5.1 RE1を適用。

中程度の攻撃手段等を用いた、意図的なセグメンテーションの回避を防止する。
SR5.1とSR5.1 RE1、RE2を適用。

高度な攻撃手段等を用いた、意図的なセグメンテーションの回避を防止する。
SR5.1とSR5.1 RE1、RE2、RE3を適用。

SL-Cの適用については、対象となる制御システムとネットワークに対してリスクアセスメントを実施し、どのセキュリティレベルが必要か判断します。

続く第4回では、本テーマのまとめとして、国際標準の要求事項を理解するうえでのポイントを説明します。

KPMGコンサルティング
顧問　福田 敏博　※掲載当時

工場セキュリティに関するシリーズ連載です。それぞれ第1回にリンクします。2回目以降はリンク先からご覧いただけます。

• 経営リスクで考える工場セキュリティ対策の重要性（全4回）
• 管理視点で考える工場セキュリティの勘どころ（全3回）