OT Compliance — 実務ガイド
IEC 62443という
共通言語
NIS2・CRA・NIST CSF を、一度の実装で束ねる。重複する規制対応を、ひとつの技術基盤で交通整理するための実務ガイド。
なぜ「束ねる」必要があるのか
同じOT現場に出どころの違う3つの宿題が同時に降ってくる
NIS2・CRA・NIST CSF は、対象も主語も異なります。だからといって別々に対応すると、現場は同じアクセス制御・ログ・暗号化の要件を、三度書き直すことになります。
事業者に課されるセキュリティ運用の義務。アクセス制御・MFA・ログ整備を「組織として」回す責任。
接続機能を持つ製品に課される証跡要件。サプライチェーンを通じた「製品としての」説明責任。
規制ではなく、両者を測る共通の物差し。PR.AA・PR.IR・PR.PS といった統制で現場を記述する。
本ガイドの中核
同じ統制を3つの「規制語」で読み解く
IEC 62443 を共通言語に据えると、ひとつの技術的統制が、NIS2 の条文にも・CRA の証跡にも・NIST CSF の機能にも同時に対応していることが見えてきます。「翻訳表」を持てば、対応は三重化しません。
※ 規格アライメントで得られるのは「重複を減らし、証跡を再利用できる」こと。一度の実装で法令適合が完了するわけではありません。詳細な責任の線引きは下記をご覧ください。
IEC 62443 に基づく責任分担
正直に線を引くことが説明責任を守る
「製品を入れれば終わり」と書かないのは、誠実だからではなく、それが経営層を守るからです。どこまでが Secomea の領分で、どこからがお客様の領分かを、はじめに線引きします。
リモートアクセスの技術的措置
- 最小権限・MFA を前提としたセキュアリモートアクセス
- 暗号化された通信経路とセグメント分離
- 接続のログ・監査証跡（誰が・いつ・何に）
- Secomea Cloud / GateManager 運用部分の保守責任
製品について断定できるのは能力としてのセキュリティレベル（SL-C）まで。達成 SL（SL-A）はシステム全体（SuC）で決まります。
システム全体の組織的・運用責任
- リスクアセスメントと目標 SL（SL-T）の設定
- 装置・ネットワーク全体（SuC）の設計と統合
- 規制対応の最終判断・監査人/認証機関への対応
- 経営層の説明責任（製品に委譲できない領域）
システム全体の説明責任は資産所有者に固定され、製品では肩代わりできません。FR別の詳細な線引きは本ガイドで解説します。
本ガイドの構成 ／ 全29ページ
読んだ翌日から稟議と要求仕様に使える
「IEC 62443という共通言語 ― OTコンプライアンス実務ガイド」
重複する規制対応を、ひとつの技術基盤で束ねる考え方を、現場の言葉で。全29ページ。
本資料のご利用にあたって
本ガイドは、IEC 62443をはじめとする規格・規制（NIS2／CRA／NIST CSF）への対応を検討される製造業の皆さまの実務理解を支援する教育目的の資料です。ご利用前に以下をご確認ください。
- • 本資料は、規格・規制への適合を保証するものではありません。
- • セキュリティレベル（SL）の達成は、対象システム全体（SuC）の設計・運用に依存します。Secomea が提供するのはリモートアクセスに関わる部分であり、Secomea の導入のみで IEC 62443・NIS2・CRA への対応が完了するものではありません。
- • Secomea はコンサルティング事業者・監査機関ではありません。個々の要求事項（SR）の充足助言や設計支援は本資料の対象外です。設計・適合性の判断は、認証機関・監査人・システムインテグレータにご相談ください。
- • 本資料に含まれる第三者監査（TG alpha）への言及は特定時点のスナップショットであり、監査・認証の正式なエビデンスではありません。
- • 規格・規制への適合可否の最終判断は、お客様・認証機関・監査人の責任において行われます。
ありがとうございます
資料のダウンロードが可能です。メールにもダウンロードリンクをお送りしました。
資料をダウンロード自社のOTリモートアクセス環境について相談しませんか？
30分の個別相談を予約する →IEC 62443-4-1 認証取得（TÜV）。IEC 62443-4-2（コンポーネント要件）について第三者監査により準拠を実証。