Question 1

CTO の IEC 62443-4-1 導入：セキュア開発で何を変え、どれくらいかかるか

Accepted Answer

IEC 62443 を導入する CTO は、まず会社の役割に応じてどのサブ規格が必要かを判定します。製品メーカーの中心は 4-1 のセキュア開発ライフサイクル（SDL）で、4-2 の製品認証の前に組織は 4-1 の認証を完了する必要があります。サービスページ記載の期間は、4-1 SDL の組織認証が通常 6〜9 か月、4-2 の製品認証が 4〜8 か月（4-1 を除く）です。IEC 62443 の認証そのものは EU CRA の適合推定にはならず（CRA 第 27 条）、EU に輸出する製品は CRA の適合性評価手続きを別途確認する必要があります。

Question 2

CTO はまず IEC 62443 のどのサブ規格を判定すべきか？

Accepted Answer

IEC 62443 は規格群で、アセットオーナー、システムインテグレーターとサービスプロバイダー、製品メーカーでは必要な組み合わせが異なり、組み合わせを誤ると無駄になります。
サブ規格 / 対象
2-1 / アセットオーナーのセキュリティプログラム
2-4 / サービスプロバイダー
3-3 / システムのセキュリティ要求とセキュリティレベル
4-1 / 製品のセキュア開発プロセス
4-2 / コンポーネントの技術要求
CTO はまず、自社がアセットオーナーか、システムインテグレーターとサービスプロバイダーか、製品メーカーかを答えます。そのうえで役割と顧客の目標に応じて必要最小限のサブ規格の組み合わせを決め、不要な認証への投資を避けます。

Question 3

4-1 のセキュア開発ライフサイクルでは、開発プロセスにどんな活動を加えるか？

Accepted Answer

4-2 の製品認証を取得するには、まず 4-1 に基づいて五つのプロセスを整えます：セキュリティ要求、セキュリティアーキテクチャ、コードレビュー、セキュリティテスト、脆弱性管理。積穗科研の EU CRA 支援プロセスでも、IEC 62443-4-1 の八つのセキュア開発ライフサイクルの実践を実装し、脅威モデリング、SAST/DAST テスト、侵入テスト、SBOM の構築を含めます。
既存プロセスへの組み込みの原則は、62443-4-1 のセキュア開発活動を既存の設計審査と試験のゲートに入れ、研究開発記録と文書は既存の保管ルールで管理し、別の仕組みを作らないことです。台湾の公開発行会社の内部統制は研究開発サイクルを既に対象にしています（内部統制処理準則 第 7 条第 8 款）。公開発行会社でない企業はこの準則の対象外で、任意に参考にできます。

Question 4

製品認証にはどれくらいかかり、4-1 と 4-2 を上市スケジュールにどう組み込むか？

Accepted Answer

4-1 が先、4-2 が後です。4-2 の製品認証の前に、組織は 4-1 SDL の認証を完了する必要があります。サービスページ記載の期間（積穗科研の支援経験であり、規格や認証機関の規定ではありません）：
項目 / 通常の期間
4-1 SDL 組織認証 / 6〜9 か月
4-2 製品認証 / 4〜8 か月（4-1 の構築期間を除く）
2-1 マネジメントシステム / 4〜6 か月
2-4 サービスプロバイダー認証 / 3〜5 か月
製品の上市スケジュールを組む際は、4-2 の月数を 4-1 の後に加算し、並行させないでください。

Question 5

目標セキュリティレベル（SL）とシステムの区分は、研究開発が何に基づいて決めるか？

Accepted Answer

まず目標セキュリティレベルの根拠が、顧客の仕様かリスク評価かを確認します。IEC 62443-3-3 は攻撃者の手段、資源、スキル、動機によってセキュリティレベルを区別します。
SL 1：偶発的または偶然の違反からの保護。
SL 4：高度な手段、大量の資源、制御システム特有のスキル、高い動機による意図的な攻撃からの保護。
システム面では、3-2 に基づいてゾーンとコンジットを区分し、リスク評価を行って目標セキュリティレベルを設定し、3-3 に基づいてシステムのセキュリティ能力レベルを評価します。アセットオーナーやサービスプロバイダーは 2-1 または 2-4 でマネジメント体制を整えます。CTO は、目標レベルの根拠を設計文書に明記させ、認証時に説明できるようにしておくべきです。

Question 6

顧客が IEC 62443 認証を求めている。EU CRA とはどういう関係か？

Accepted Answer

CRA は IEC 62443 の認証を求めておらず、認証を取得しても CRA の適合推定にはなりません。CRA 第 27 条により、適合推定は EU 官報に掲載された整合規格、共通仕様、またはサイバーセキュリティ法（(EU) 2019/881）に基づく欧州サイバーセキュリティ認証スキームからのみ生じます。
産業、エネルギー、製造などの分野では、IEC 62443 は CRA 附属書 I の要求の実装とギャップ分析の参考になります。したがって CTO は二つの線でスケジュールを組みます。顧客が求める 62443 認証と、製品が CRA 上で従うべき適合性評価手続き（製品が CRA のどの区分かを含む）です。

Question 7

認証の前に研究開発は何を準備するか？認証機関とコンサルタントの分担は？

Accepted Answer

目標とする認証レベルに応じて、適合性の自己評価を行うか、認証機関に第三者認証を委託し、技術文書一式を準備します。
認証機関：認証試験と証明書の発行を担いますが、体制構築の支援は行いません。ISO/IEC 17065 第 4.2.6 項により、認証機関、同一法人、その組織的管理下にある部門は、顧客にコンサルティングを提供できません。
コンサルタント：サブ規格の組み合わせを診断し、規格に沿って SDL プロセス、マネジメント体制、技術文書を整え、認証前の予備審査を行い、認証機関との調整を担います。
CTO は認証機関を選ぶ際、それがコンサルタントと同一法人やその管理下の部門でないことを確認すべきです。

Question 8

積穗科研は CTO の IEC 62443 対応をどう支援するか？

Accepted Answer

副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。サービスページ記載の 5 つのステップ：
役割の位置づけとサブ規格の適用性診断で、必要最小限の組み合わせを見極めます。
4-1 SDL のセキュア開発能力を構築します（組織としての前提）。
2-1／2-4 のセキュリティマネジメント体制を構築します。
3-3／4-2 の技術要件を評価し実装します。
適合性評価と第三者認証：技術文書一式の準備、認証前の予備審査、認証機関との調整を行い、製品が CRA 上で従うべき適合性評価手続きも確認します。
積穗科研はコンサルタントであり、証明書は発行しません。また、IEC 62443 の認証を CRA の適合推定として扱いません。
詳しく：IEC 62443 制御システムセキュリティ支援、IEC 62443 コンサルタントの選び方、CTO が研究開発プロセスに組み込む要求、EU CRA 対応支援。無料のメカニズム診断を申し込む