IEC 62443とは？製造業が対応すべき国際セキュリティ規格の概要と認証取得ステップ【2026年版】

IEC 62443とは？産業制御システムのセキュリティ国際規格

IEC 62443は、産業用オートメーション・制御システム（IACS：Industrial Automation and Control Systems）のサイバーセキュリティを体系的に規定した国際規格シリーズです。国際電気標準会議（IEC）が策定し、製造業・エネルギー・水道・交通など幅広い産業インフラに適用されます。

2000年代初頭に米国の業界団体ISA（国際オートメーション学会）がISA-99として整備した規格を起源とし、その後IECへ移管・国際規格化されたものです。現在は「IEC 62443」シリーズとして世界中の製造業・設備メーカー・システムインテグレーター（SI）が参照する事実上のグローバルスタンダードとなっています。

なぜ今、IEC 62443が重要なのか

製造現場のOT（Operational Technology）環境は、かつてはクローズドネットワークであったため、サイバー攻撃のリスクは比較的低いと考えられてきました。しかし近年、以下の変化により状況は一変しています。

• ITとOTの融合：ERP・MESとPLC・SCADAの接続が進み、インターネット経由の侵入経路が拡大
• サプライチェーン攻撃の増加：部品メーカーや設備メーカーを経由した攻撃が国内外で多発
• 規制・調達要件の厳格化：欧州のNIS2指令や米国のTSA（運輸保安局）ガイドラインなど、OTセキュリティへの法的要求が強まっている

日本でも経済産業省が2024年に改定した「産業サイバーセキュリティ研究会」報告書の中で、重要インフラ事業者に対するIEC 62443への対応を強く推奨しており、製造業においては取引先・納入先からの要求事項として認証取得を求められるケースが増えています。

IEC 62443の体系：4つのシリーズと主要文書

IEC 62443は単一の規格ではなく、対象（一般・ポリシー・システム・コンポーネント）ごとに整理された4つのシリーズ（Series 1〜4）から構成されています。

特に重要な規格文書

IEC 62443-2-1：資産オーナーがIACSセキュリティマネジメントシステム（CSMS）を構築・維持するための要件を定義。工場・プラントを運営する製造業者にとって最も重要な文書の一つです。

IEC 62443-3-3：IACSシステムレベルのセキュリティ要件を定義。「セキュリティレベル（SL）」の概念を導入し、SL 1〜4の段階でシステムへの要求事項を規定します。

IEC 62443-4-1：製品開発ライフサイクルにおけるセキュリティ要件を規定。産業機器メーカーが製品設計段階から組み込むべきセキュアデベロップメントプロセス（SDL）の要件です。

IEC 62443-4-2：個別コンポーネント（制御システム、組み込み機器など）に求められるセキュリティ機能要件を定義。機器単体の認証取得に用いられます。

日本企業に関係する部分：どの規格に対応すべきか

IEC 62443の全文書に一斉対応する必要はありません。企業の立場（資産オーナー・SIer・製品メーカー）によって、優先すべき規格が異なります。

立場別の対応優先規格

工場・プラントを運営する製造業者（資産オーナー）

最初に取り組むべきは IEC 62443-2-1（CSMSの構築）と IEC 62443-3-2（リスクアセスメント）です。自社工場のOT資産を棚卸しし、セキュリティリスクを評価・管理する体制を整えることが基本となります。

産業用制御システムを設計・納入するSIer

IEC 62443-2-4（SIerのセキュリティ能力要件）と IEC 62443-3-3（システムセキュリティ要件）が主要な対応文書です。発注元（資産オーナー）からの調達条件として、IEC 62443-2-4への適合証明を求められるケースが増えています。

PLC・センサー・産業用IoT機器などの製品メーカー

IEC 62443-4-1（セキュアな製品開発プロセス）と IEC 62443-4-2（製品セキュリティ要件）が中心です。特に欧州・北米市場への輸出を行うメーカーにとっては、これらの認証取得が実質的な市場参入条件になりつつあります。

セキュリティレベル（SL）の考え方

IEC 62443では、システムやコンポーネントに要求されるセキュリティ強度を「セキュリティレベル（SL）」で定義しています。

一般的な製造業の場合、SL 2を目標として設計・対応することが現実的な基準とされています。SL 3以上は重要インフラや安全保障に関わる施設を想定したレベルです。

IEC 62443認証取得のステップと期間

IEC 62443の認証取得は、対象（CSMS認証・製品認証・システム認証）によって手順が異なります。ここでは最も需要が高いCSMS認証（IEC 62443-2-1ベース）と製品認証（IEC 62443-4-1/4-2ベース）の流れを整理します。

CSMS認証（資産オーナー向け）の取得ステップ

Step 1：現状ギャップ分析（1〜2ヶ月）

IEC 62443-2-1が要求するCSMSの要件に対し、自社の現状がどの程度充足しているかを評価します。OT資産台帳の整備状況、セキュリティポリシーの有無、インシデント対応手順の整備状況などを確認します。

Step 2：CSMSの設計・構築（3〜6ヶ月）

ギャップ分析の結果をもとに、セキュリティ管理策を設計・実装します。具体的には以下が含まれます。

• OT資産の棚卸しとリスクアセスメント実施
• アクセス制御・パッチ管理・ネットワーク分離ポリシーの策定
• 従業員へのセキュリティ教育・訓練体制の整備
• インシデント対応計画の策定とテスト

Step 3：内部監査・マネジメントレビュー（1ヶ月）

構築したCSMSが要件を充足しているか、内部監査を実施します。経営層によるレビューと承認も必要です。

Step 4：認証機関による審査（1〜2ヶ月）

TÜV SÜD、TÜV Rheinland、DNV、SGSなどの第三者認証機関に審査を依頼します。文書審査と現地審査（オンサイト審査）が行われ、適合と判定されれば認証書が発行されます。

合計所要期間の目安：6〜12ヶ月

製品認証（製品メーカー向け）の取得ステップ

Step 1：開発プロセスの評価（IEC 62443-4-1）

自社のソフトウェア・ファームウェア開発プロセスが、IEC 62443-4-1が定めるセキュアデベロップメントプロセスの要件を充足しているかを評価します。要件定義・設計・実装・テスト・リリース・廃棄の各フェーズにわたる審査です。

Step 2：製品機能要件の評価（IEC 62443-4-2）

対象製品（PLC、HMI、産業用スイッチなど）が、要求するセキュリティレベル（SL）に対応した機能要件を充足しているかをテストします。認証・認可、暗号化、ログ管理、セキュアな通信などが評価項目となります。

Step 3：認証機関による評価・認証発行

認証機関がプロセス・製品双方の評価を実施し、適合と判定されれば製品認証書が発行されます。

合計所要期間の目安：6〜18ヶ月（製品の複雑度・開発プロセスの成熟度による）

認証取得にかかる費用の目安

IEC 62443認証の費用は、認証種別・企業規模・現状の成熟度によって大きく異なります。以下は2026年時点での一般的な費用感です。

初回のCSMS認証取得における総費用は、中堅製造業（従業員300〜1,000名規模）で概ね700万〜2,500万円程度が実績値として多く見られます。製品認証を追加で取得する場合は、さらに製品1品目あたり300万〜800万円が加算されます。

費用を抑えるポイントとしては、ISO 27001（情報セキュリティマネジメント）やISO 9001（品質マネジメント）など既存の認証体制を活用することが挙げられます。既に文書管理・内部監査・マネジメントレビューの仕組みが整っていれば、CSMS構築にかかる工数を大幅に削減できます。

経産省・IPAのガイドラインとの対応関係

IEC 62443は国際規格ですが、日本の政府機関が公開するガイドラインとも密接に連携しています。国内企業が対応を検討する際は、これらの日本語ガイドラインを入口として活用することが現実的です。

経済産業省「産業サイバーセキュリティ研究会」報告書

経産省は2024年改定版の報告書において、製造業・重要インフラ事業者に対してIEC 62443を参照したセキュリティ対策の実施を推奨しています。特にサプライチェーン全体でのセキュリティ水準の統一を課題として明示しており、一次サプライヤーが認証を取得することで二次・三次以降への波及効果も期待されています。

IPA「重要インフラの制御システムセキュリティガイド」

情報処理推進機構（IPA）が公開する本ガイドは、IEC 62443-2-1およびIEC 62443-3-3を参考に作成されており、日本語で実装上のポイントを解説しています。特にリスクアセスメントの実施方法とゾーン・コンジット設計（ネットワーク分割手法）については詳細な解説が掲載されており、IEC 62443対応の準備段階での参照として有効です。

NISCの重要インフラサイバーセキュリティ対策

内閣サイバーセキュリティセンター（NISC）が策定する「重要インフラのサイバーセキュリティに係る行動計画」においても、IEC 62443は主要な参照規格として位置づけられています。製造業が重要インフラの一部（電力・化学・食料品等）に該当する場合、同行動計画への対応とIEC 62443認証はほぼ同一の取り組みとして進めることができます。

対応関係まとめ

AEVUSのIEC 62443対応支援サービス

AEVUSは、製造業・産業機器メーカー向けにIEC 62443認証取得を一気通貫で支援しています。

支援内容

1. IEC 62443ギャップ分析

現状のOTセキュリティ体制とIEC 62443の要件を比較し、認証取得に向けた具体的な課題と優先順位を整理します。対象工場・対象システムの範囲に応じて、通常2〜4週間で報告書を提供します。

2. CSMS構築・運用支援

IEC 62443-2-1が求めるCSMSの設計から文書整備・社内教育まで、認証機関の審査通過を見据えた実装支援を提供します。ISO 27001や既存の品質マネジメント体制との統合設計にも対応します。

3. 製品セキュリティ評価（4-1/4-2対応）

産業機器メーカー向けに、製品開発プロセスのセキュリティレビューと製品機能要件の評価を実施します。認証機関への橋渡しも含めてサポートします。

4. ペネトレーションテスト（OT環境対応）

認証取得前後のセキュリティ検証として、実際の攻撃シナリオに基づくOT環境向けペネトレーションテストを提供します。IEC 62443-3-2が要求するリスクアセスメントの一環として活用できます。

IEC 62443への対応を検討している製造業・産業機器メーカーの担当者は、まずは現状確認のためのギャップ分析からご相談ください。初回の相談・ヒアリングは無料で対応しています。

OTセキュリティ診断・支援サービスの詳細はこちら

IEC 62443認証取得にかかるコストの目安

IEC 62443の認証取得には、コンサルティング費用・認証機関の審査費用・社内工数の3つのコストが発生します。いずれも対象の規模・複雑さによって幅がありますが、以下が国内企業の実績ベースの目安です。

CSMS認証（IEC 62443-2-1）の費用目安

製品認証（IEC 62443-4-1 / 4-2）の費用目安

認証取得後も、年次の継続審査（サーベイランス審査）に50〜100万円程度のコストが発生します。またCSMS認証の場合、3年ごとの更新審査が必要です。

IEC 62443対応でよくある失敗事例と対策

失敗事例1：ITセキュリティチームだけで進めてしまう

IEC 62443対応をITセキュリティ部門が主導し、OT現場（製造・設備管理）と連携せずに進めたケースでは、策定したポリシーが現場の運用実態に合わず、形骸化してしまうことがあります。PLCやSCADAのパッチ適用手順一つとっても、ITとOTでは許容されるメンテナンスウィンドウが大きく異なります。対策：プロジェクト立ち上げ段階からOT部門（製造・設備管理・品質保証）とITセキュリティ部門の合同チームを組成し、現場責任者をステークホルダーとして明示的に巻き込みます。

失敗事例2：OT資産台帳の整備を後回しにする

IEC 62443-2-1の要件では、保護対象となるOT資産（PLC・HMI・エンジニアリングワークステーション・産業用スイッチ等）の完全な棚卸しが前提です。しかし実際には、長年の設備増設・改修で資産台帳が整備されていない工場が多く、ここで想定外の工数が発生します。対策：資産棚卸しをフェーズ0として独立させ、ネットワークスキャン（Nozomi Networks・Claroty等のOT資産可視化ツールを活用）と現地ヒアリングを組み合わせてOT資産を漏れなく把握してからセキュリティ要件の設計に入ります。

失敗事例3：認証範囲を広げすぎてプロジェクトが停滞する

全工場・全ラインを一度に認証範囲とすることを目指した結果、スコープの複雑さと対応工数が膨大になり、プロジェクトが2〜3年以上停滞するケースがあります。対策：最初の認証取得はパイロットサイト（1拠点・1主要ライン）に絞り込み、12〜18ヶ月で完了させることを優先します。パイロットで得た知見・テンプレートを活用して、第2フェーズ以降で横展開する方が全体のコスト・期間を抑えられます。

失敗事例4：サプライヤー管理の要件を見落とす

IEC 62443-2-1では、資産オーナーがサプライヤー（機器メーカー・SIer・保守ベンダー）のセキュリティ管理状況を評価・監視することが求められます。自社のCSMSを整備しても、リモートアクセスを許可している保守ベンダーのセキュリティが脆弱であれば、そこが攻撃経路になります。対策：サプライヤーへのセキュリティ要求事項（IEC 62443-2-4への適合やセキュリティ問診票への回答）を調達契約の条件として明示します。既存ベンダーについては段階的な移行期間を設けながら要件を適用します。

失敗事例5：認証取得後に運用が止まってしまう

認証取得をゴールとして位置づけた場合、取得後のセキュリティパッチ管理・定期的なリスクアセスメント更新・インシデント対応訓練が形骸化しやすくなります。認証機関のサーベイランス審査で指摘を受け、再取得に余計なコストが発生した事例もあります。対策：認証取得後のCSMS運用を担う担当者（OTセキュリティマネージャー）を明確に任命し、年間の運用カレンダー（資産台帳更新・リスクアセスメント実施・訓練・内部監査のスケジュール）を確立します。

IEC 62443対応後の継続運用ポイント

IEC 62443認証は取得がゴールではなく、継続的なサイバーセキュリティ管理（CSMS）の維持・改善が本質です。認証取得後の実運用で重要なポイントを整理します。

OT脅威インテリジェンスの継続的な収集

製造業を狙うサイバー攻撃のトレンドは毎年変化します。ICS-CERT（米国）・JPCERT/CC（日本）・Dragos・Claroty等が発行するOT脅威レポートを定期的に収集し、自社のリスクアセスメントへの反映と対策の見直しを年に最低1回実施します。

セキュリティパッチ管理とOTベンダーとの連携

IT環境と異なり、OT機器のパッチ適用は製造ラインの停止を伴うため、パッチ管理プロセスが機能しにくい環境です。機器ベンダー（Siemens・Rockwell Automation・Yokogawa等）のセキュリティアドバイザリーをサブスクライブし、重大度の高い脆弱性については計画的なメンテナンスウィンドウでの適用計画を立てます。

インシデント対応訓練の定期実施

CSMS認証要件には、インシデント対応手順の策定と定期的な演習が含まれます。実際のランサムウェア感染を想定したOT環境でのシナリオ型演習（テーブルトップ演習）を年1回以上実施し、IT部門・OT部門・経営層が連携した対応手順を練習します。訓練結果を踏まえてインシデント対応計画を更新します。

認証範囲の拡大計画

パイロットサイトでの認証取得後は、他拠点・他ラインへの水平展開計画を策定します。パイロットで整備した文書テンプレート・教育プログラム・リスクアセスメント手法を共通資産として活用することで、第2拠点以降の認証取得コスト・期間は初回の60〜70%程度に抑えられるケースが多いです。

IEC 62443対応支援ベンダーの選び方

• OT環境の実務経験：コンサルタントがPLC・SCADA・DCSの実機に触れた経験を持つかどうかを確認します。IT畑のみのコンサルタントはOT特有の制約（リアルタイム要件・冗長性・可用性優先の設計）を見落としがちです
• 認証機関との連携実績：TÜV SÜD・TÜV Rheinland・SGSなど実際に審査を行う認証機関との連携実績があるか、審査の進め方についてのノウハウを持つかを確認します
• 業種特化の実績：化学プラント・食品製造・自動車・半導体など、自社と同業種でのIEC 62443対応支援実績を持つベンダーは、業種特有のOTアーキテクチャや規制要件を熟知しているため、的外れな提案リスクが低くなります
• ギャップ分析の提供可否：本格契約前に有償・無償のギャップ分析を実施するベンダーは、自社の現状と課題を把握した上での具体的な対応計画を提示できます。最初から「フルパッケージで○千万円」という提案のみのベンダーには注意が必要です
• 認証取得後のサポート体制：取得後のCSMS運用支援・サーベイランス審査対応・インシデント対応支援まで一気通貫で対応できるかを確認します

IEC 62443への対応は、製造業のOTセキュリティ対策全体の一部です。ランサムウェア対策や工場ネットワークの分離など、OTセキュリティの全体像と進め方は製造業のOTセキュリティ対策【2026年版】で整理しています。