「OT（制御系）セキュリティが急に重要視されてきたが、IEC 62443 をどう自社に当てはめれば良いか整理できていない」――中堅製造業の生産技術責任者から多い相談だ。 IEC 62443 シリーズは産業用オートメーション・制御システム（IACS）のサイバーセキュリティ国際標準で、Asset Owner / System Integrator / Product Supplier の 3 ロール別に体系化されている。本稿は中堅製造業の段階的実装を整理する。
目次
- IEC 62443 シリーズ全体構造
- 3 つの役割と責任分担
- Security Level（SL）1-4 の判定基準
- Zone-Conduit 設計の進め方
- 中堅製造業の段階的実装スケジュール
- 第三者認証取得の選択肢
- IT-OT 統合 SOC の運用
- よくある質問（FAQ）
IEC 62443 シリーズ全体構造
| パート | 主題 | 主な対象 |
|---|---|---|
| 62443-1-x | 共通要件・用語・概念 | 全ロール |
| 62443-2-x | プロセス・組織要件 | Asset Owner |
| 62443-3-x | システム技術要件 | System Integrator |
| 62443-4-x | 製品開発要件 | Product Supplier |
3 つの役割と責任分担
| 役割 | 責任範囲 | 該当する中堅企業 |
|---|---|---|
| Asset Owner | 工場・施設の所有者、運用責任 | 全製造業 |
| System Integrator | 制御システムの設計・統合 | 一部社内エンジニアリング部門 |
| Product Supplier | 制御製品の開発・販売 | 制御機器メーカー |
Security Level（SL）1-4 の判定基準
IEC 62443 は脅威レベルに応じた 4 段階のセキュリティレベル（SL）を定義。
| SL | 想定脅威 | 攻撃者像 |
|---|---|---|
| SL 1 | 偶発的・誤操作 | 従業員のミス、誤操作 |
| SL 2 | 一般的なサイバー犯罪 | 低スキル攻撃者、汎用ツール |
| SL 3 | 国家支援級ではない高度攻撃 | 中スキル、業界知識保有 |
| SL 4 | 国家支援級・APT | 高スキル、専用ツール、長期 |
7 つの基本要件（FR：Foundational Requirements）：
- FR1: 識別・認証
- FR2: 利用制御
- FR3: システム完全性
- FR4: データ機密性
- FR5: 制限されたデータフロー
- FR6: イベント時の応答
- FR7: リソース可用性
各 FR に対して SL 達成基準（SL-A：Achieved、SL-T：Target、SL-C：Capability）を設定する。
Zone-Conduit 設計の進め方
ネットワークを Zone（同一セキュリティ要件のエリア）と Conduit（Zone 間通信路）に分割する設計手法。
| Zone 例 | SL Target | 主な内訳 |
|---|---|---|
| Enterprise Zone（IT 系） | - | ERP、メール、社内 PC |
| DMZ | SL 2 | 外部公開サーバ |
| Manufacturing Operations Zone | SL 2 | MES、SCADA HMI |
| Control Zone | SL 2-3 | PLC、制御サーバ |
| Safety Zone | SL 3-4 | 安全計装系（ESD 等） |
中堅製造業の段階的実装スケジュール
| フェーズ | 期間目安 | 主なアクション |
|---|---|---|
| Phase 0：現状把握 | 2-3 ヶ月 | OT 資産棚卸、ネットワーク構成図化 |
| Phase 1：リスクアセスメント | 2-3 ヶ月 | 脅威・脆弱性評価、SL Target 決定 |
| Phase 2：Zone-Conduit 設計 | 2-3 ヶ月 | ネットワーク分離設計、FW 配置 |
| Phase 3：基盤実装 | 6-12 ヶ月 | 認証・監視・パッチ管理体制 |
| Phase 4：運用統合 | 3-6 ヶ月 | IT-OT SOC、インシデント対応 |
| Phase 5：継続改善 | 継続 | 監査、レビュー、是正 |
第三者認証取得の選択肢
| 認証 | 認証主体 | 対象 |
|---|---|---|
| ISASecure SSA（System Security Assurance） | ISCI / 認定認証機関 | システム |
| ISASecure CSA（Component Security Assurance） | ISCI / 認定認証機関 | 個別機器 |
| ISASecure SDLA（Secure Development Lifecycle Assurance） | ISCI / 認定認証機関 | 開発プロセス |
| TÜV SÜD / Bureau Veritas 等の 62443 監査 | 各認証機関 | プロセス・システム |
IT-OT 統合 SOC の運用
IT 系と OT 系のセキュリティ監視を統合する SOC 構築のポイント：
| 観点 | IT 系 | OT 系 | 統合時の留意点 |
|---|---|---|---|
| プロトコル | TCP/IP 中心 | Modbus / OPC / EtherNet/IP 等 | OT プロトコル解析能力必須 |
| パッチ適用 | 月次更新可 | 計画停止時のみ | 仮想パッチング（IPS）併用 |
| 認証 | AD 中心 | 共有 ID 残存 | 段階的個別 ID 化 |
| 異常検知 | EDR / SIEM | NDR（ネットワーク異常検知） | OT 専用 NDR 製品検討 |
| 対応速度 | 即時 | 安全停止優先 | 対応プレイブックの差異設計 |
「規制改訂への対応が遅れている、専門家の助けが欲しい」
業界規制対応の現状診断と移行ロードマップ、外部監査連携を提供します。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
よくある質問（FAQ）
Q. IEC 62443 と NIST SP 800-82 はどちらを参照すべき？ A. IEC 62443 は国際標準、NIST SP 800-82 は米国向けガイドライン。両者は概ね整合的で、IEC 62443 ベースで進めつつ NIST 800-82 を実装ガイドとして併用するのが一般的。
Q. 古い PLC は IEC 62443 対応できるか？ A. 製品自体の改修は困難だが、Zone-Conduit 設計とネットワーク側対策（FW、IDS、NDR）で実効的な保護が可能。長期的には更新計画立案を。
Q. 中堅製造業で第三者認証取得は必須か？ A. 法令上は必須ではないが、自動車・医療・防衛・電力等の業界では顧客要求として事実上必須化が進んでいる。
Q. 投資コスト目安は？ A. 工場 1 拠点で初期 2,000-8,000 万、年次運用 500-1,500 万が中堅製造業の相場感。SL 目標と既存資産状況で大きく変動。
参考資料
- ISA「ISA/IEC 62443 Series of Standards」
- ISCI「ISASecure Certification Programs」
- IPA「制御システムのセキュリティリスク分析ガイド」
- NIST「SP 800-82 Guide to Operational Technology (OT) Security」
中堅製造業の IEC 62443 段階的実装、Zone-Conduit 設計、SL 達成支援、IT-OT SOC 統合は GXO のコンプライアンス対応サービスで対応可能です。