自社の産業制御製品は IEC 62443 のどの部分を行うべきか？
IEC 62443 はシリーズ規格で、適用する組み合わせは役割で決まります。
| パート | 対象 |
|---|---|
| 4-1 | 製品のセキュア開発プロセス |
| 4-2 | コンポーネントの技術要求 |
| 3-3 | システムのセキュリティ要求とセキュリティレベル |
| 2-1 | 資産所有者のセキュリティプログラム |
| 2-4 | サービスプロバイダー |
資産所有者、システムインテグレーター・サービスプロバイダー、製品製造者では組み合わせが異なり、選び間違えると無駄になります。プロダクトマネージャーはまず、顧客が求めているのがコンポーネントの製品認証か、システムのセキュリティレベルか、サプライヤーの開発プロセス能力かを確認します。
4-2 製品認証にはどのくらいかかるか？発売スケジュールにどう入れるか？
サービスページ記載の期間（積穗科研の支援経験であり、規格や認証機関の規定ではありません）：
| 項目 | 期間 |
|---|---|
| 4-1 SDL 組織認証 | 通常 6〜9 か月 |
| 4-2 製品認証 | 4〜8 か月（4-1 を除く） |
| 2-1 マネジメントシステム | 4〜6 か月 |
| 2-4 サービスプロバイダー認証 | 3〜5 か月 |
順序が重要です。4-2 の製品認証の前に、組織は 4-1 SDL 認証を完了する必要があります。4-1 がまだない場合、プロダクトマネージャーは両方の期間を発売のマイルストーンに含めます。
IEC 62443 の認証があれば、産業制御製品は EU に入れるか？
それだけでは足りません。EU CRA は IEC 62443 認証を求めておらず、認証は CRA の適合推定になりません。適合推定は、EU 官報に掲載された整合規格、共通仕様、指定された認証スキームからのみ生じます（CRA 第 27 条）。産業、エネルギー、製造などの分野では、IEC 62443 を CRA 附属書 I の実装とギャップ分析の参考にできます。
製品は CRA の区分に応じた評価経路を通る必要があります。産業製品の例：
- 一般製品：PLC、HMI、産業用コントローラー
- 重要製品クラス I：管理プレーンを持つ産業用スイッチ、産業用ルーター
- 重要製品クラス II：産業用ファイアウォール、侵入検知・防御システム
製品仕様のセキュリティレベル（SL）はどう決めるか？
IEC 62443-3-3 は攻撃者の手段、資源、スキル、動機でセキュリティレベルを区別します。SL 1 は偶発的・意図しない違反から、SL 4 は高度な手段、豊富な資源、制御システム固有のスキル、高い動機による意図的な攻撃から守るレベルです。
目標セキュリティレベルは顧客仕様またはリスク評価で決めます。3-2 に基づきゾーンとコンジットを区分してリスク評価を行い目標レベルを設定し、3-3 に基づきシステムのセキュリティ能力レベルを評価します。プロダクトマネージャーは仕様書の SL を顧客の要求と一致させ、不要なレベルへの過剰投資を避けます。
4-1 のセキュア開発プロセスで製品開発のどのゲートが変わるか？
4-1 はセキュリティ要求、セキュリティアーキテクチャ、コードレビュー、セキュリティテスト、脆弱性管理のプロセスを求めます。サービスページ記載の SDL の実装内容には、脅威モデリング、SAST/DAST テスト、ペネトレーションテスト、SBOM 作成が含まれます。既存のゲートに当てはめると次のとおりです。
- 企画承認と設計審査：セキュリティ要求、セキュリティアーキテクチャ、脅威モデリング
- 開発とテスト：コードレビュー、SAST/DAST、ペネトレーションテスト
- 発売と保守：SBOM と脆弱性管理
EU に輸出する製品では、これらの成果物は CRA 附属書 I の実装の参考にもなります。
顧客から認証の提示を求められた。誰が発行し、コンサルタントは何ができるか？
目標とする認証レベルに応じて、適合性の自己評価を行うか、認証機関に第三者認証を依頼し技術文書パッケージを準備します。認証機関は認証試験と証明書の発行を行いますが、仕組みづくりの支援は行いません。ISO/IEC 17065 第 4.2.6 項により、認証機関、同一法人、その組織的管理下にある部門は、顧客にコンサルティングを提供してはなりません。
つまり仕組みを作り認証前の事前審査を行うのはコンサルタント、証明書を出すのは企業が選んだ認証機関です。セキュア開発プロセスと文書が既に成熟し、第三者認証だけが足りない場合は、認証機関に直接依頼すれば十分です。
積穗科研はプロダクトマネージャーの IEC 62443 対応をどう支援するか？
積穗科研は企業の役割と目標に応じて必要最小限のパートの組み合わせを診断し、不要な認証への過剰投資を避けます。パートの適用性診断は無料です。続いて：
- 4-2 の製品認証を目指す場合は、まず 4-1 に基づきセキュリティ要求、セキュリティアーキテクチャ、コードレビュー、セキュリティテスト、脆弱性管理のプロセスを構築
- 規格に沿って技術文書を作成し、認証前の事前審査を行い、認証機関との調整を担当
- 製品が CRA で採るべき適合性評価の手続きも確認
積穗科研はコンサルタントで証明書は発行しません。副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。詳しく：IEC 62443 支援、IEC 62443 コンサルタントの選び方、CRA の製品区分。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- プロダクトマネージャーと EU CRA：自社製品は対象か、発売前に何をそろえるか？
- プロダクトマネージャーと EU AI 法：製品の AI は発売前に何を終えるべきか？
- プロダクトマネージャーと ISO/IEC 29147・30111：脆弱性の開示と修正をどう約束するか？
- プロダクトマネージャーと ISO/SAE 21434：車載製品は自動車メーカーの開発監査をどう通るか？
- プロダクトマネージャーと ISO 42001：AI 製品のガバナンス要求に顧客へどう応えるか？
- プロダクトマネージャーと TISAX プロトタイプ保護：ラベルがないと自動車メーカーの案件は止まるか？
- プロダクトマネージャーと ISO 27701・GDPR：各市場で販売する前にどの個人情報対応が必要か？