IEC 62443 シリーズは、社会・産業基盤を支える OT 環境のセキュリティ確保を目的とした制御システムセキュリティ規格です。制御システムとは、インフラや工場における工数低減や生産性向上を目指し、生産工程およびプロセス制御の自動化などの用途で使用されています。
OT セキュリティ分野では代表的な国際標準規格と見なされる一方で、JIS化に向けた動きのほか、複数のシリーズ文書が発行・改定されるなどしており、IEC 62443 シリーズの全容を把握するのは容易ではありません。
そこで本記事では、IEC 62443 の概要や ISO / SAE 21434 との違いなどを解説します。自動車のサイバーセキュリティマネジメントシステム（CSMS）対応に苦慮されている担当者の方に向けて、有効なソリューションについても紹介しますので、ぜひ当記事を参考にしてみてください。
IEC 62443 とは：工場のサイバーセキュリティ国際標準
IEC 62443 シリーズは、産業用オートメーションおよび制御システム（IACS）のライフサイクル全体にわたるセキュリティ（CSMS）を確保するための要求事項を規定した国際標準規格です。
IEC 62443-2-1（CSMS） は、もともと ISO / IEC 27001 （ISMS）をベースに策定された経緯から、CSMS と ISMS における要求事項の違いは概ね下記の通りであり、非常に少数となります。
- セーフティリスクの洗い出しと、ライフサイクル各ステップのリスクの洗い出し
- 災害時やシステム更新時に、セキュリティレベルや安全性を担保する機能の実装や運用
つまり、ISMS 認証を取得済みの企業は、 OT 環境固有の要求事項を除いて、すでに CSMS 認証に必要な要求事項をほとんど満たしていると考えられるのです。なお、IEC 62443-2-1 で規定された OT 環境の CSMS 構築は、制御系セキュリティが対象であることを明確にして Control Systems Security Management Systems とするケースと、CS を単にサイバーセキュリティとするケースの両方があります。
そもそも IEC とは
IEC とは、国際電気標準会議（International Electrotechnical Commission）と呼ばれる国際標準化機関のことです。IEC では、電気および電子技術分野の国際規格を作成しています。
ここで、IEC と ISO の間には、担当領域の割り当てが存在することを押さえておきましょう。その割り当てとは、電気および電子技術分野の国際標準化にまつわる問題は IEC が、それ以外はすべて ISO が担うという合意原則に基づくものです。
いずれの技術に関与するのか判断が難しいケースの国際標準化については、両機関の相互の合意に基づき、その責任の割り当てを定めることになっています。
IEC 62443 シリーズの目的
望ましくないアクセスや攻撃によって IACS が所要時間内に正しく機能を実行できなくなることは、OT 環境において重要な懸念事項とされています。OT とは、Operational Technology であり、工場や社会インフラなどの物理的なシステムや設備を最適化しながら稼働させるための制御・運用技術の総称です。
2009年から発行がスタートした IEC 62443 シリーズは、IACS を利用する全産業分野におけるサイバーセキュリティのベンチマークを設定しています。電子的に安全な IACS を実装・維持するための要件とプロセスを定義しているほか、CSMS を構築し、セキュリティパフォーマンスのレベルを評価する手段も提供する国際標準規格です。
稼働中の IACS に対する全てのリスクが、特定の技術のみに起因するわけではありません。そのため、この規格は包括的なアプローチを採用しています。
工場のサイバーセキュリティ国際標準が策定された背景
従来、製造設備やインフラ設備などの制御システムは、外部ネットワークとは分離されており、サイバー脅威とはあまり縁がないと見なされてきました。
ところが近年では、工場で稼働する設備をネットワークでつないでデータを取得し、生産工程における滞留の解消や予知保全に役立てるスマートファクトリー化が進んでいます。外部ネットワークと接続する機会が増えるにつれ、 IACS ソフトウェアの脆弱性などを狙ったサイバー攻撃の報告が増えているのです。
実際に、IACS を実装する工場や重要インフラへのサイバー攻撃は、深刻な環境被害や人的被害をもたらす可能性があります。こうした背景から、運用技術と情報技術の融合領域および IACS のプロセスの安全と、サイバーセキュリティの橋渡しとなる規格へのニーズが高まりました。
そこで、IT 規格を IACS に適用すると不具合が生じることから、国際自動制御学会（ISA） が中心となって開発したのが IEC 62443 シリーズです。そのため、 ISA / IEC 62443 と表記される場合もあります。
工場のスマート化（Connected Industries）は避けられない潮流ですが、セキュリティ対策が不十分なまま進めると、データのサイロ化やサイバー攻撃のリスクを増大させる結果となります。スマートファクトリー実現に向けた具体的なロードマップについては、以下の記事で詳しく解説しています。
スマートファクトリーの課題”部分最適”を乗り越えるには？実現までのロードマップと PLM の重要性
IEC 62443 の主要な構成要素と対象となるステークホルダー
IEC 62443 シリーズでは、IACS に関わるステークホルダーの役割に応じて、それぞれの責任範囲と実施すべき施策が体系的に整理されています。ステークホルダーの種類は次のとおりです。
- OT システムを所有・運用するアセットオーナー（製造メーカー、電力・ガス会社など）
- OT システムの運用・保守を担うサービスプロバイダー
- OT システムの設計・構築・統合を行うシステムインテグレーター（SI）
- ハードウェアおよびソフトウェアコンポーネントを実装する製品サプライヤー
上記の関係者が一体となってセキュリティレベルの向上を図れるように、要求事項が規定されています。以上を踏まえながら、IEC 62443 シリーズ の主な構成要素について見ていきましょう。
| IEC 62443-1-x：一般の考慮事項 | |
| 1-1 (TS) | 用語、概念、モデル、方針と手順 |
| IEC 62443-2-x：IACSセキュリティに関連する手法とプロセス | |
| 2-1 | IACS セキュリティプログラムの確立（CSMS） ※アセットオーナー向け |
| 2-3 (TR) | IACS 環境におけるパッチ管理 |
| 2-4 | セキュリティプログラム要件 ※IACS サービスプロバイダー向け |
| IEC 62443-3-x：システムレベルの要件 ※SI 向け | |
| 3-1 | IACS 向けセキュリティ技術 |
| 3-2 | システム設計のためのセキュリティリスク評価 |
| 3-3 | システムセキュリティ要件とセキュリティレベル |
| IEC 62443-4-x：IACS を構成するコンポーネントと要件 ※製品サプライヤー向け | |
| 4-1 | セキュアな製品開発ライフサイクル要件 |
| 4-2 | IACS コンポーネントの技術的セキュリティ要件 |
TS：Technical specification
TR：Technical report
IEC 62443 の活用シーンと ISO / SAE 21434 との違い
IEC / ISA 62443 シリーズは、特定の分野に依存しておらず、幅広い産業分野に適用できる「水平規格」です。さまざまな法令や規格でも、CSMS の構築方法として参照される可能性があり、今後さらに注目を集めるでしょう。
ここでは、IEC 62443 シリーズが活用されるシーンや、 ISO / SAE 21434 との違いについて見ていきましょう。
自動車業界における IEC 62443 の活用シーン
車両本体のサイバーセキュリティ（ISO / SAE 21434、UN-R155）と、生産工程における工場のセキュリティ（IEC 62443）は密接に結びついており、不可分な関係です。両者の要求事項を組み合わせることで、サプライチェーン全体で包括的なセキュリティを実現できることから、自動車業界でも今後 IEC 62443 の活用が進んでいくでしょう。
実際に、IEC 62443 も他の国際標準規格と同じように、産業分野におけるベストプラクティスを設定しており、セキュリティの強化や網羅性を高めるために有効です。汎用的な水平規格であることから、自動車 OEM や部品メーカーだけでなく、システムインテグレーターやサービスプロバイダーも含め、サプライチェーン全体でセキュリティ要件を共有・議論するための共通言語としても機能します。
さらに、外部に対する説明性の高さも大きな魅力です。たとえば、認証制度を活用すれば、IEC 62443 シリーズの要件に準拠した CSMS を工場に構築している事実などを対外的に示せます。
ISO / SAE 21434:2021 との違い
外部とつながるコネクティッドカーには、多くの利点があります。自動運転や高度なナビゲーションシステムを実現し、交通事故の減少に役立つなどのメリットが挙げられるでしょう。しかし一方で、車載ソフトウェアの増加はサイバーセキュリティ懸念の高まりにもつながっているのです。
ネットワーク接続された半自律走行車は、従来の車両に比べてサイバー攻撃に対してはるかに脆弱といえます。そこで、サイバー攻撃のリスクやソフトウェアの脆弱性を軽減するために、国連の WP29 で採択されたのが、車両のサイバーセキュリティ法規（UN-R155）およびソフトウェアアップデート法規（UN-R156）です。
ISO 21434 は、UN-R155 の参照先として明示されていることから、車両、部品、ソフトウェアをセキュアに保つ活動の業界標準として位置付けられています。
ISO 21434 と IEC 62443 シリーズを比較すると、脅威分析とリスクアセスメント（TARA）、多層防御、組織的マネジメントの要求などにおいて、一定の関連性が見られます。その一方で、ISO 21434 は "Security by Design"（設計段階からのセキュリティ実装）により重点を置いている点が特徴です。
この設計段階からの作り込みを確実、かつ効率的に進めるためには、単一の対策に留まらず、自動車業界の基盤規格である機能安全 (ISO 26262) や ASPICE (Automotive SPICE) と整合性の取れた「統合的なプロセス構築」が不可欠です。
しかし、これら複数の複雑な規格を Excel 等を用いた手動管理で紐付けるのは、トレーサビリティの断絶やヒューマンエラーを招く大きなリスクとなります。膨大な工数と専門知識が求められる開発現場の負担をいかに軽減し、認証取得を加速させるか。その具体的な手法をまとめた下記のガイド資料を、実務のヒントとしてぜひご活用ください。
ISO 26262 / ASPICE 対応 成果物テンプレート活用ガイド
認証審査で求められる膨大なエビデンスをどう管理するか？実務を効率化するテンプレートの活用法を解説します。
詳細はこちら今、自動車業界に求められる統合 ALM Codebeamer
自動車開発の競争で優位に立つためには、機能を満載した信頼性の高いソフトウェアシステムをできるだけ迅速に提供しなくてはなりません。実際に、UN-R155 および UN-R156 法規といった国連 WP29 規制の強化に伴い、自動車業界全体でアプリケーションライフサイクル管理ソフトウェア（ALM）の需要が高まっています。
この背景にあるのは、自動車 OEM が国連 WP29 規制を確実に遵守するために、サプライヤーから製品の詳細を収集する必要性です。規制当局から求められる情報には、材料や調達のほか、ソフトウェアおよびハードウェアのエンジニアリング手法も含まれています。
一方、レガシーツールでは、コラボレーションが非効率になるばかりか、肝心のトレーサビリティが低下します。そこで、コンプライアンスに必要なデータの取得方法、つまりライフサイクルにわたるトレーサビリティを確立する手法として、ALM が注目されているのです。
Codebeamer 導入事例 - フォルクスワーゲングループ -
フォルクスワーゲングループは、ソフトウェア開発を支援する目的で Codebeamer を採用しました。Codebeamer によって全ブランド、全開発プロジェクトにおけるソフトウェア要件、テスト、リリースを管理することで、開発効率の向上を見込めるためです。
フォルクスワーゲングループによる Codebeamer の活用を通じて、PTC の開発ロードマップにおける自動車業界に特化した優先事項や要件も明確になってくるでしょう。そのため、フォルクスワーゲングループとともに蓄積した知見は、自動車業界のコンプライアンス対応に寄与するものと考えられます。
【最新トピック】フォルクスワーゲン・グループ、マイクロソフト、PTC が ALM への生成 AI 活用で提携
Codebeamer に生成 AI（Copilot）を統合し、要件定義やテスト管理の劇的な効率化を推進。世界的な自動車メーカーが選んだ次世代の ALM 戦略とは。
ALM 導入で自動車業界が解決できること
Codebeamer を導入すると、UN-R155 に関連した CSMS 対応が容易になります。Codebeamer なら、ISO / SAE 21434 準拠プロセスをテンプレート化できるために、監査に耐えうる双方向トレーサビリティを短期間で構築可能です。
Excel や Wiki では、要求・実装・テスト・脆弱性の変更影響を追跡できません。そのため、監査において NG となるリスクが高いのです。一方、Codebeamer であれば、作業項目間のリンクを確立し、ライフサイクルを通じて一気通貫のトレーサビリティを容易に確保できます。さらに全作業項目において変更管理を行えるほか、最小限の労力で監査証跡の文書化も可能です。
そのため Codebeamer は、自動車業界が国連 WP29 規制や ISO / SAE 21434 を遵守するために必須のソリューションといえます。
このように、ALM の導入は単なる現場のツール刷新に留まりません。複雑化する法規制への確実な対応と、開発スピードを維持し競争力を高めることを両立させる判断は、いまや企業の命運を握る「経営戦略」そのものです。
現場のトレーサビリティ確保が、具体的にどのようなビジネス価値を生み出し、経営に貢献するのか。ALM導入の真の価値を検証した、下記のレポートをぜひご参照ください。
統合 ALM 導入の価値とは？：経営層への提案ガイド
単なるツール更新ではなく「戦略的投資」としての ALM の価値は何か？社内説得のための具体策を提示します。
詳細はこちらIEC 62443 準拠の鍵は「設計段階からのデータ一貫性」にあり
工場のサイバーセキュリティ対策において、IEC 62443 が求める「CSMS（サイバーセキュリティマネジメントシステム）」の構築は、もはや避けて通れない課題です。しかし、規格への準拠はゴールではありません。真の目的は、脅威に対して強靭な製品と生産ラインを、効率的に開発・運用し続けることにあります。
ここで重要になるのが、「Security by Design（設計によるセキュリティ）」の考え方です。PTCの 3D CAD「Creo」は、単なる設計ツールに留まりません。
Creo で生成された高精度な設計データは、ALM（Codebeamer）や PLM（Windchill）とシームレスに連携することで、上流工程から下流の製造現場まで、一貫したトレーサビリティを確保する「デジタルスレッド（データの糸）」の起点となります。これにより、複雑化する国際規格への対応と、市場競争力を高める最新設計（電動化や軽量化など）の両立が可能です。
PTCでは、この「データの一貫性（デジタルスレッド）」を以下の3つのソリューションで具体化します。
- Creo: 最高の設計を短期間で実現する 3D CAD
高度な 3D モデリングにより、設計変更への迅速な対応と、一貫した製品開発の基盤を構築します。 - Windchill: デジタルスレッドを加速させるエンタープライズ PLM
ソフトウェアだけでなく、製品全体の構成管理を一元化し、真のトレーサビリティを実現します。 - Codebeamer: 複雑な開発を簡素化する次世代 ALM プラットフォーム
法規制遵守に必要な要件管理・リスク管理を自動化し、開発プロセスを劇的に効率化します。
PTCは、Creo を中心としたデジタルソリューションを通じて、お客様のセキュアで革新的なものづくりを強力に支援します。ぜひ PTC のエキスパートまでお問い合わせください。
お問い合わせ
お客様ごとの課題に合わせて、エキスパートが最適なソリューションをご提案します。
詳細はこちら