Question 1

CISO の IEC 62443 対応：どのパートを選び、EU CRA とどう関係するか

Accepted Answer

CISO が IEC 62443 で最初にすべきことは、自社の役割に合った最小限のパートの組み合わせを決め、不要な認証に投資しないことです。4-2 の製品認証を取得するには、組織が先に 4-1 のセキュア開発ライフサイクル（SDL）認証を完了している必要があります。IEC 62443 には第三者認証がありますが、認証そのものは EU CRA への適合推定にはなりません。適合推定は、EU 官報に掲載された整合規格、共通仕様、または指定された認証スキームからのみ生じます（CRA 第 27 条）。サービスページ記載の期間は、4-1 が通常 6〜9 か月、4-2 が 4〜8 か月（4-1 を除く）です。

Question 2

CISO は自社がどの IEC 62443 パートに取り組むべきかをどう判断しますか？

Accepted Answer

IEC 62443 はシリーズ規格で、資産所有者、システムインテグレーター・サービス事業者、製品製造業者で適用する組み合わせが異なり、組み合わせを誤ると無駄になります：
パート / 対象
2-1 / 資産所有者のセキュリティプログラム
2-4 / サービス事業者
3-3 / システムのセキュリティ要件とセキュリティレベル
4-1 / 製品のセキュア開発プロセス
4-2 / コンポーネントの技術要件
CISO はまず、自社が機器製造業者、システムインテグレーター、サービス事業者、資産所有者のどれに当たるかを確認し、目的に必要な最小限の組み合わせを特定します。

Question 3

IEC 62443 認証を取得すれば、EU 向け輸出製品は CRA に適合したことになりますか？

Accepted Answer

なりません。CRA は IEC 62443 認証を求めておらず、認証を取得しても CRA への適合推定にはなりません。適合推定は、EU 官報に掲載された整合規格、共通仕様、または EU サイバーセキュリティ法に基づく欧州サイバーセキュリティ認証スキームからのみ生じます（CRA 第 27 条）。
産業、エネルギー、製造などの分野では、IEC 62443 は CRA 附属書 I の要件の実装とギャップ分析の参考になります。EU に輸出する場合は、まず製品の CRA 上の区分を確認します。一般製品は内部統制（モジュール A）で自己評価できますが、整合規格を完全には適用していない重要製品クラス I、およびクラス II と重要（クリティカル）製品は第三者手続きが必要です。CRA に独立した証明書はなく、適合性評価を終えて CE マークを表示します。

Question 4

目標セキュリティレベル（SL）はどう決め、CISO は経営陣にどう説明しますか？

Accepted Answer

IEC 62443-3-3 は、攻撃者の手段、資源、技能、動機によってセキュリティレベルを区分します。SL 1 は偶発的・意図しない違反から守り、SL 4 は高度な手段、豊富な資源、制御システム固有の技能、高い動機による意図的な攻撃から守ります。
実務ではまず、目標 SL を顧客仕様で決めるのか、リスク評価で決めるのかを明確にします。3-2 に基づいてゾーンとコンジットを区分し、リスク評価を行って目標セキュリティレベルを設定し、3-3 でシステムのセキュリティ能力レベルを評価します。SL の根拠をリスク評価結果とともに報告すれば、経営陣が投資を承認する判断材料になります。

Question 5

IEC 62443 にはどれくらいかかり、予算と期間を年間計画にどう組み込みますか？

Accepted Answer

サービスページ記載の期間（積穗科研の支援経験によるもので、規格や認証機関の規定ではありません）：
項目 / 期間
4-1 SDL 組織認証 / 通常 6〜9 か月
4-2 製品認証 / 4〜8 か月（4-1 を除く）
2-1 マネジメントシステム / 4〜6 か月
2-4 サービス事業者認証 / 3〜5 か月
順序が全体の期間を左右します。4-2 の製品認証の前に、組織は 4-1 認証を完了している必要があります。予算化の際は、見積りにどの成果物が含まれるか、認証前の予備審査が含まれるか、認証費用が別かを確認します。

Question 6

システムインテグレーターや機器ベンダーが工場の OT を遠隔保守しています。CISO はこれらの供給者をどう管理しますか？

Accepted Answer

IEC 62443-2-4 はサービス事業者向けのパートで、統合・保守サービス事業者にセキュリティ要件を示す根拠になります。機器ベンダーには、製品が 4-1 のセキュア開発プロセスに沿って開発されているかの説明を求められます。
上場・店頭公開企業は「上市上櫃公司資通安全管控指引」第 38 条により、内部および委託先のセキュリティ監査を定期的に行います。ESG 評価の指標 S-15 は、サイバーセキュリティやプライバシー保護などで規範の遵守を供給者に求める供給者管理方針を開示しているかを問います。実務では要件を供給者評価項目と契約条項に書き込み、年次評価のサイクルに組み込みます。公開発行会社でない企業はこれらの規範の対象外ですが、任意で参考にできます。

Question 7

工場の OT がマルウェアに感染してラインが止まりました。CISO は対応と報告をどうつなぎますか？

Accepted Answer

自社の手順：上場・店頭公開企業は管控指引第 34 条に基づき対応・報告手順を定めており、OT のライン停止シナリオも同じ手順に組み込みます。
事業継続：BCM に設備ネットワークの分離 SOP（OT と IT の分離）、復旧優先順位、顧客への連絡 SOP を含め、ISO 22301 と IEC 62443 を統合して訓練します。
EU 法規：NIS2 の規制対象事業体なら、重大インシデントは 24 時間以内の早期警告、72 時間以内の通知、1 か月以内の最終報告が必要です。自社製品の脆弱性が積極的に悪用された場合は CRA 第 14 条の報告も適用されます。
重要インフラ：資通安全管理法の関連義務は、主管機関の指定と行政院の承認を経て初めて適用されます。
公開発行会社でない企業は管控指引の対象外ですが、任意で参考にできます。

Question 8

積穗科研は CISO の IEC 62443 対応をどう支援しますか？

Accepted Answer

積穗科研のやり方（上の質問で私たちも検証してください）：
副社長・取締役クラスのコンサルタントが自ら担当し、外注しない
役割に応じて最小限のパートの組み合わせを診断。適用診断は無料
4-2 の前に、4-1 に基づくセキュリティ要件、アーキテクチャ、コードレビュー、セキュリティテスト、脆弱性管理のプロセスを整備
IEC 62443 認証を CRA の適合推定とはみなさない。積穗はコンサルタントで証明書は発行せず、認証前の予備審査と調整を担当
IEC 62443 支援、IEC 62443 コンサルタントの選び方、EU CRA 対応支援。無料の仕組み診断を申し込む