直答：IEC 62443 のコンサルタントに最初に聞くべきことは「自社の役割では、どのパートに取り組むべきか」です。IEC 62443 は一連の規格群で、資産所有者、システムインテグレーター・サービス提供者、製品メーカーでは必要な組み合わせが異なります。2-1 は資産所有者のセキュリティプログラム、2-4 はサービス提供者、3-3 はシステムのセキュリティ要件とセキュリティレベル、4-1 は製品のセキュア開発ライフサイクル、4-2 はコンポーネントの技術要件を扱います。組み合わせを誤れば、その作業は無駄になります。次に、コンサルタントが IEC 62443 認証を EU の CRA への適合と同じものとして説明しないかを確認します。CRA における適合の推定は、EU 官報に参照が公示された整合規格、共通仕様、またはサイバーセキュリティ法（規則 (EU) 2019/881）に基づいて採択された欧州サイバーセキュリティ認証スキームからのみ生じます（CRA 第 27 条）。
市場にある IEC 62443 支援の三つの役割
| 役割 | 主にすること | 向いている課題 |
|---|---|---|
| 認証・試験機関 | 製品とプロセスの試験、第三者認証と証明書の発行 | 制度と製品の準備が整った後の認証 |
| セキュリティツール・試験サービス提供者 | OT 資産の棚卸し、脆弱性スキャン、ペネトレーションテスト | 技術的証拠の生成 |
| マネジメントコンサルタント | パートの組み合わせの判定、セキュア開発プロセスと管理制度の構築、技術文書と認証前の事前審査 | 判定から認証に通る制度までの全体設計 |
三者は役割が異なり、多くの企業は組み合わせて使います。コンサルタントを選ぶときは、相手が三者の中で自分の位置づけを理解しているかを確認してください。
八つの判断基準
| 基準 | どのコンサルタントにもそのまま聞ける質問 |
|---|---|
| 役割に応じたパートの判定 | 自社は資産所有者、システムインテグレーター・サービス提供者、製品メーカーのどれか。2-1、2-4、3-3、4-1、4-2 のどれが必要か |
| 4-1 と 4-2 の順序 | 4-2 のコンポーネント認証を受けるなら、4-1 のセキュア開発プロセスはすでに整っているか |
| セキュリティレベルの決め方 | 目標セキュリティレベル（SL）は顧客仕様とリスク評価のどちらに基づいて決めるか |
| ゾーニングとリスク評価 | ゾーンとコンジットをどう区分するか。リスク評価をどう行うか（IEC 62443-3-2） |
| CRA との関係の明確さ | IEC 62443 認証は CRA の適合推定になるか。自社製品は CRA のどのクラスに当たるか |
| 認証機関との役割分担 | 証明書を発行するのはどこか。コンサルタントと認証機関は同じ法人、またはその支配下にある組織か（ISO/IEC 17065 の箇条 4.2.6 により、認証機関とその同一法人、組織上の支配下にある組織は、顧客にコンサルティングを提供できません） |
| 誰が主導し、外注するか | 実際に案件を担当するのは誰か。どのような資格を持つか。再委託はあるか |
| 見積範囲の明確さ | 見積に含まれる成果物は何か。認証前の事前審査は含まれるか。認証費用は別か |
コンサルタントが必ずしも必要でない場合
セキュア開発プロセスと文書がすでに成熟しており、第三者認証だけが足りない場合は、認証機関に直接依頼すれば十分です。脆弱性スキャンやペネトレーションテストの報告書だけが必要な場合は、試験サービス提供者のほうが直接的かもしれません。製品を EU に輸出する場合は、まず CRA 上のクラスと適合性評価手続きを確認し、そのうえで IEC 62443 をどこまで進めるかを決めます。
積穗科研はこれらの基準にどう応えるか
以下は積穗科研自身の説明です。上の質問で、他のコンサルタントと同じように私たちも検証してください。
- 役割に応じたパートの判定：機器メーカー、システムインテグレーター、サービス提供者、資産所有者という役割と目標から、必要最小限のパートの組み合わせを診断します
- 4-1 と 4-2 の順序：4-2 の製品認証の前に、4-1 に基づくセキュリティ要件、セキュリティアーキテクチャ、コードレビュー、セキュリティテスト、脆弱性管理のプロセスを構築します
- セキュリティレベルとゾーニング：3-2 に基づいてゾーンとコンジットを区分し、リスクを評価して目標セキュリティレベルを設定します。3-3 に基づいてシステムのセキュリティ能力レベルを評価し、2-1 または 2-4 に基づいて管理制度を構築します
- CRA との関係：IEC 62443 認証を CRA の適合推定として扱わず、製品が CRA 上どの適合性評価手続きをとるべきかもあわせて確認します
- 認証機関との役割分担：積穗科研はコンサルタントであり、証明書は発行しません。認証はお客様が選ぶ認証機関が行い、積穗科研は認証前の事前審査と調整を担います
- 誰が主導するか：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、外注しません
関連する質問
- IEC 62443 と CRA の関係は CRA は IEC 62443 認証を求めておらず、認証を取得しても CRA への適合が推定されるわけではありません。産業、エネルギー、製造などの分野では、IEC 62443 は CRA 附属書 I の要件を実装し、ギャップ分析を行う際の参考になります。台湾で CRA コンサルタントを選ぶには
- IEC 62443 認証にはどれくらいかかるか 積穗科研の支援経験では（規格や認証機関が定めるものではありません）、4-1 のセキュア開発プロセスは通常 6〜9 か月、4-2 の製品認証は 4〜8 か月（4-1 の構築期間を除く）、2-1 の管理制度は 4〜6 か月、2-4 のサービス提供者は 3〜5 か月です。IEC 62443 産業制御システムセキュリティ支援
- SL 1 と SL 4 の違いは IEC 62443-3-3 は、攻撃者の手段、資源、技能、動機によってセキュリティレベルを区別します。SL 1 は偶発的・偶然の違反を防ぎ、SL 4 は高度な手段、豊富な資源、IACS 固有の技能、高い動機による意図的な違反を防ぎます。IEC 62443 産業制御システムセキュリティ支援
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。