サイバー・セキュリティ規格IEC 62443シリーズ：概要

最近の投稿で、筆者はサイバー・セキュリティと機能安全性について説明し、セキュリティ対策が講じられていなければ安全な状態は得られないと述べました。分野を限定しない機能安全規格の中心をなすのがIEC 61508です。IEC 61508では、セキュリティに関してIEC 62443を参照しています。IEC 62443はその着目点に応じて、「産業用オートメーションおよび制御システムのセキュリティ」または「産業用通信ネットワーク - ネットワークおよびシステムのセキュリティ」と名付けられています。全体で13のパートからなり、1000ページ近くに及んでいます。この規格は、ISA（国際計測制御学会）の委員会ISA99とIEC（国際電気標準会議）のIEC TC 65によって策定・発行されています。IEC TC 65/SC 65Aは、機能安全規格であるIEC 61511とIEC 61508も発行しており、IEC 61508は上記2つの分野に関係性がある可能性を示す最初の手がかりとなっています。

IEC 62443-1-Xは4つのパートからなり、概念、モデル、用語集、要件など、全般的な概念が扱われています。4つのパートからなるIEC 62443-2-Xではパッチ管理を含むポリシーおよび手順が扱われ、3つのパートからなるIEC 62443-3-Xでは適切なSL（セキュリティ・レベル）の選択を含むシステム・レベルのトピックスが扱われています。IEC 62443-4-Xは、ライフ・サイクル要件を扱うパートと技術要件を扱うパートの2つのパートからなっており、コンポーネント・サプライヤに関連するため、アナログ・デバイセズのような会社や弊社のカスタマにとっておそらく最も興味深い分野だと思われます。 

IEC 62443シリーズにおける主要概念には、ゾーンとコンジットというものがあります。簡単に言うと、ゾーンとは同じセキュリティ要件のノードを含むエリアであり、コンジットとはゾーンとゾーンを接続するリンクの範囲です。

機能安全性における類似点は、IEC 61508での4つのSIL（セーフティ・インテグリティ・レベル）に対して、IEC 62443が響きのよく似た4つのSL（セキュリティ・レベル）を指定している点です（関係性に対する別の手がかり）。  ただし、SLとSILの間に1対1の対応関係はありません。SLの定義はIEC 62443-1-1に記載されており、以下のとおりです。

これらの定義は、システムが侵入を受ける可能性というよりは、システムに侵入するために必要とされるものに焦点を置いています。SL 4は国家レベルの攻撃を防御するよう設計されている、と定めるなど、様々な条項でこれに代わる定義も与えられています。規格のパート3-2の表では、影響度と可能性を組み合わせることで上記の内容をいくぶん拡張し、必要なSLを決定しています。

IEC 62443-1-1では、特定のSLを達成するための7つの基本要件（FR）を定義しています。それらは以下のとおりです。

• 識別と認証制御（IAC）
• 使用制御（UC）
• システム完全性（SI）
• データ機密性（DC）
• 制限されたデータ・フロー（RDF）
• イベントへのタイムリーな対応（TRE）
• リソース可用性（RA）

これら7つのFRはベクトルとして表すことができ、[1,1,1,1,1,1,1]と表記すると上記7つのFRの厳重さがそれぞれSL 1レベルであることを示しています。純粋に機能安全性の観点で見れば、機密性があれば制限されたデータ・フローとリソース可用性はそれほど重要ではなく、SL 1を備えていれば十分だと言えます。したがって、安全システムに必要なセキュリティ・ベクトルは[X,X,X,1,1,X,1]となります。ここで、XはSLが1以上であることを表しています。

ICや機器を開発する場合、必要なSLを決定したら、IEC 62443-4-1およびIEC 62443-4-2に進みます。IEC 62443-4-1では、セキュリティ管理を含み、詳細な防御戦略を備えた8つの項目の下で、必要な処理手順が示されています。これらの要件はSLとは別に与えられています。IEC 62443-4-2では、7つのFRの項目下の要件と共に、対象がアプリケーション、組み込みデバイス、ホストデバイス、ネットワーク・デバイスのいずれであるかによって決まる要件も示されています。IEC 62443-4-2では、必要な要件はSLによって決まります。

パート4-2では、4タイプのコンポーネントの要件と共に、SLに応じて合計47の要件も定められています。

現在では、IEC 62443に対応する認証スキームが整っています。ISAsecureを参照してください。また、TUVやExidaなども認証を行っています。

おすすめ動画：Siemensにおける、この動画はこうした問題の一部に焦点を当てたもので、ビデオには筆者の好きな荘重な音楽も流れています。- https://www.youtube.com/watch?v=dlczMRRFdtQ&stc=nls_152_trackingID_en

著者について