IEC 62443とは？製造業が対応すべき国際セキュリティ規格の概要と認証取得ステップ【2026年版】

IEC 62443は、工場やプラントの制御システムを守るための国際規格群です。部番号が多く、2024年に中核の2-1が改訂されたこともあって、どの文書から読めばよいか分かりにくい規格でもあります。この記事では、2026年9月時点の最新版に合わせて、規格の体系、3-3の7つの基本要件とセキュリティレベル、ISO 27001との違い、認証の種類と取得ステップを順に整理します。規格名や版は IEC と ISA の公式情報、国内の位置付けは経済産業省・IPA・国家サイバー統括室の公開文書で確認しています。

IEC 62443とは？産業制御システムのセキュリティ国際規格

IEC 62443は、産業用オートメーション・制御システム（IACS：Industrial Automation and Control Systems）のサイバーセキュリティを体系的に規定した国際規格シリーズです。国際電気標準会議（IEC）が策定し、製造業・エネルギー・水道・交通など幅広い産業インフラに適用されます。

開発は、米国の国際自動制御学会（ISA）が2002年に設けたISA99委員会と、IECの技術委員会TC65のWG10が共同で進めています。ISA版（ISA-62443-x-y）とIEC版（IEC 62443-x-y）は同じ内容で、2つの名前を合わせて「ISA/IEC 62443」とも呼ばれます。IECは2021年にこのシリーズを、特定の産業に限らず使う水平規格（horizontal standard）に位置付けました。

なぜ今、IEC 62443が重要なのか

製造現場のOT（Operational Technology）環境は、かつてはクローズドネットワークであったため、サイバー攻撃のリスクは比較的低いと考えられてきました。しかし近年、以下の変化により状況は一変しています。

• ITとOTの融合：ERP・MESとPLC・SCADAの接続が進み、インターネット経由の侵入経路が拡大
• サプライチェーン攻撃の増加：部品メーカーや設備メーカーを経由した攻撃が国内外で多発
• 規制・調達要件の厳格化：欧州のNIS2指令や米国のTSA（運輸保安局）ガイドラインなど、OTセキュリティへの法的要求が強まっている

国内では、経済産業省が工場向けのガイドライン（Ver1.1、2025年4月）でIEC 62443に触れています。市場や顧客から「IEC62443規格群」などへの対応を要求される場合も増えている、という指摘です。IPAも、特定分野に限らない汎用的な基準としてIEC 62443を選び、その活用を推進しています。

IEC 62443の体系：4つのシリーズと主要文書

IEC 62443は単一の規格ではなく、対象（一般・ポリシーと手順・システム・コンポーネント）ごとに4つのシリーズ（Series 1〜4）に分かれた文書群です。下の表は、2026年9月時点でIECから発行されている主な文書です。

IS は国際規格、TS は技術仕様書、TR は技術報告書、PAS は公開仕様書です。認証や適合性評価の基準になるのは主に IS の部です。以前は1-2〜1-4も一覧に載ることがありましたが、IECとISAの発行済み一覧には含まれていません。ほかに、2-4と4-2の評価方法を定めた6-1・6-2（TS）があります。

特に重要な規格文書

IEC 62443-2-1：工場・プラントを運営する資産オーナーが整えるセキュリティプログラム（SP）の要求事項です。2024年8月の第2版で、それまでの「CSMS（サイバーセキュリティマネジメントシステム）」の規定は削除されました。代わりに、ISMS（ISO/IEC 27000シリーズ）を参照する形になっています。要求事項は8つのSP要素に整理され、成熟度モデルで評価します。

• 組織的なセキュリティ対策
• 構成管理
• ネットワークと通信のセキュリティ
• コンポーネントのセキュリティ
• データの保護
• ユーザーアクセス制御
• イベントとインシデントの管理
• システムの完全性と可用性

IEC 62443-3-2：システムをゾーンとコンジット（ゾーン間の通信経路）に分け、リスクアセスメントで各ゾーンの目標セキュリティレベルを決める手順です。

IEC 62443-3-3：制御システム全体に求めるセキュリティ要件を、7つの基本要件とセキュリティレベル（SL 1〜4）で定めます。詳しくは後述します。

IEC 62443-4-1：製品の開発ライフサイクル全体に組み込むセキュリティの要求事項です。産業機器メーカーが設計段階から取り入れるセキュア開発プロセスを定めます。

IEC 62443-4-2：PLC、組み込み機器、ネットワーク機器などの個々のコンポーネントに求める技術的なセキュリティ要件です。機器単体の認証に使われます。

日本企業に関係する部分：どの規格に対応すべきか

IEC 62443の全文書に一斉対応する必要はありません。企業の立場（資産オーナー・SIer・製品メーカー）によって、優先すべき規格が異なります。

立場別の対応優先規格

工場・プラントを運営する製造業者（資産オーナー）

最初に取り組むべきは IEC 62443-2-1（セキュリティプログラムの構築）と IEC 62443-3-2（リスクアセスメント）です。自社工場のOT資産を棚卸しし、セキュリティリスクを評価・管理する体制を整えることが基本となります。

産業用制御システムを設計・納入するSIer

IEC 62443-2-4（サービスプロバイダのセキュリティプログラム要求事項）と IEC 62443-3-3（システムセキュリティ要件）が主要な対応文書です。資産オーナーが2-1で委託先の管理を進めるほど、SIerや保守事業者は2-4への対応状況を問われやすくなります。

PLC・センサー・産業用IoT機器などの製品メーカー

IEC 62443-4-1（セキュアな製品開発プロセス）と IEC 62443-4-2（製品セキュリティ要件）が中心です。経済産業省のガイドラインも、市場や顧客からIEC 62443規格群への対応を要求される場合が増えていると指摘しています。

セキュリティレベル（SL）の考え方

IEC 62443では、どの程度の攻撃に耐えられるかを「セキュリティレベル（SL）」の1〜4で表します。SLは攻撃者の手段・資源・スキル・動機の組み合わせで定義されています（ISA Global Cybersecurity Alliance の解説による。訳は筆者）。

SLには3つの使い分けがあります。SL-T（目標）は、3-2のリスクアセスメントで決める「このゾーンに求めるレベル」です。SL-C（能力）は、システムや機器を適切に設定したときに追加の対策なしで満たせるレベルで、3-3と4-2が定義するのはこのSL-Cです。SL-A（達成）は、稼働後に実際に達成できているレベルです。目標のSL-Tに対して、選んだ製品のSL-Cと運用後のSL-Aが届いているかを確かめる、という流れで使います。

どのSLを目標にするかに業界共通の正解はなく、ゾーンごとのリスクアセスメントで決めます。同じ工場でも、生産ラインの制御ゾーンと、外部と接続する保守用ゾーンでは目標が変わります。

IEC 62443-3-3とは：7つの基本要件（FR1〜FR7）とセキュリティレベル

IEC 62443-3-3は、制御システム全体が備えるべきセキュリティ機能を定めた部です。英語の正式名は「System security requirements and security levels」で、2013年に発行されました。要件は、1-1で定義された7つの基本要件（FR：Foundational Requirements）に沿って整理されています。

各FRの下には具体的なシステム要件（SR）があり、目標とするSLが上がるほど追加の強化要件（RE）が加わります。たとえばFR1では、SL 1では利用者の識別と認証を求め、上位のSLでは多要素認証などの強化が加わる、という構造です。

3-3はシステム全体の要件、4-2は個々のコンポーネントの要件で、4-2も同じ7つのFRで整理されています。システムインテグレーターは3-3、機器メーカーは4-2を読み、資産オーナーは3-2で決めたSL-Tを調達仕様に書き込む、という役割分担になります。

なお、3-3は2013年版が2026年9月時点の最新です。現行版のタイトルは旧シリーズ名の「Industrial communication networks」で始まります。改訂のたびに、新しいシリーズ名「Security for industrial automation and control systems」へ移っています。

IEC 62443とISO 27001（ISMS）の違い

ISO/IEC 27001は組織全体の情報セキュリティマネジメント（ISMS）の規格で、IEC 62443は制御システム（OT）に固有の要求事項を定めた規格群です。ISA Global Cybersecurity Alliance は2025年6月のホワイトペーパーで、両者を「OTのセキュリティを構成する補完的な2つの部分」と位置付けています。

すでにISMS認証を持つ企業は、ISMSの適用範囲をOTに広げたうえで、2-1のOT固有の要求事項を足す進め方が現実的です。ISMSの文書管理・内部監査・マネジメントレビューの仕組みはそのまま使えます。

IEC 62443認証取得のステップと期間

IEC 62443の認証は、どの部に対する認証かで制度も手順も変わります。主な制度は次のとおりです。

• ISASecure（ISAの子会社 ISCI が運営）：SDLA（4-1）、CSA・ICSA（4-2）、SSA（3-3）、ACSSA（稼働中のシステムが対象。2-1・2-4・3-2・3-3）
• IECEEの産業サイバーセキュリティ認証（OD-2061）：2-1、2-3、3-3、4-1、4-2などに基づく
• 国内：経済産業省のガイドラインは、制御システムセキュリティセンター（CSSC）の EDSA 認証を挙げている

注意したいのは、国内で2-1に基づいて運用されていたCSMS適合性評価制度が終了している点です。ISMS-AC は2025年4月30日にCSMS認証機関の認定を終えました。2024年の2-1改訂で対象が資産オーナーに限られ、SIerや保守事業者などの被認証組織がゼロになったためです。これから2-1への適合を示すなら、ISASecure ACSSA などの制度を選ぶことになります。

資産オーナー向け：セキュリティプログラム（2-1）の構築と第三者評価

Step 1：現状ギャップ分析（1〜2ヶ月）

IEC 62443-2-1が求めるセキュリティプログラムの要件に対し、自社の現状がどの程度充足しているかを評価します。OT資産台帳の整備状況、セキュリティポリシーの有無、インシデント対応手順の整備状況などを確認します。

Step 2：セキュリティプログラムの設計・構築（3〜6ヶ月）

ギャップ分析の結果をもとに、セキュリティ管理策を設計・実装します。具体的には以下が含まれます。

• OT資産の棚卸しとリスクアセスメント（3-2）の実施
• アクセス制御・パッチ管理・ネットワーク分離ポリシーの策定
• 従業員へのセキュリティ教育・訓練体制の整備
• インシデント対応計画の策定とテスト

Step 3：内部監査・マネジメントレビュー（1ヶ月）

構築したセキュリティプログラムが要件を充足しているか、内部監査を実施します。既存のISMSがあれば、その内部監査とマネジメントレビューに組み込めます。

Step 4：第三者評価（1〜2ヶ月）

選んだ認証制度の認証機関に評価を依頼します。文書審査と現地審査が行われ、適合と判定されれば認証書が発行されます。

合計所要期間の目安：6〜12ヶ月（対象範囲と現状の成熟度で大きく変わります）

製品認証（製品メーカー向け）の取得ステップ

Step 1：開発プロセスの評価（IEC 62443-4-1）

自社のソフトウェア・ファームウェア開発プロセスが、IEC 62443-4-1が定めるセキュアデベロップメントプロセスの要件を充足しているかを評価します。要件定義・設計・実装・テスト・リリース・廃棄の各フェーズにわたる審査です。

Step 2：製品機能要件の評価（IEC 62443-4-2）

対象製品（PLC、HMI、産業用スイッチなど）が、要求するセキュリティレベル（SL）に対応した機能要件を充足しているかをテストします。認証・認可、暗号化、ログ管理、セキュアな通信などが評価項目となります。

Step 3：認証機関による評価・認証発行

認証機関がプロセス・製品双方の評価を実施し、適合と判定されれば製品認証書が発行されます。ISASecure では4-1がSDLA、4-2がCSAにあたります。

合計所要期間の目安：6〜18ヶ月（製品の複雑度・開発プロセスの成熟度による）

IEC 62443対応にかかる費用の目安

IEC 62443の認証取得には、コンサルティング費用・認証機関の審査費用・社内工数の3つのコストが発生します。以下は一般的な目安で、公的な相場統計はありません。対象の範囲と現状の成熟度で大きく変わるため、見積もりはギャップ分析の結果をもとに比べてください。

資産オーナー（IEC 62443-2-1）の費用目安

製品認証（IEC 62443-4-1 / 4-2）の費用目安

認証取得後も、継続審査の費用が毎年かかります。更新の周期や審査の方法は認証制度によって異なります。診断・コンサルティングを含むOTセキュリティ全体の費用は製造業のOTセキュリティ対策費用【2026年版】で整理しています。

費用を抑えるには、ISO 27001（ISMS）やISO 9001などの既存の認証体制を活かすのが近道です。2-1の2024年版はISMSとの連携を前提にしているため、文書管理・内部監査・マネジメントレビューの仕組みが整っていれば、セキュリティプログラムの構築にかかる工数を減らせます。

経産省・IPA・国家サイバー統括室の文書との関係

国内の公的な文書は、IEC 62443を「参照先」として紹介するものが中心で、条項ごとの対応表を示した文書はありません。日本語で読める入口として、次の3つを押さえておくと全体がつかみやすくなります。

経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」

2022年11月にVer1.0、2025年4月にVer1.1が公表された工場向けのガイドラインです。重要度付けの考え方についてIEC 62443規格群なども参照すると有効だとし、付録ではIEC 62443のセキュリティレベルを表で紹介しています。国内の認証としてCSSCのEDSA認証にも触れています。

IPA「制御システムのセキュリティリスク分析ガイド 第2版」

制御システムのリスクアセスメントの手順を日本語で解説したガイドで、最新は2026年4月版です。IPAはこのガイドでIEC 62443の活用を推進すると明記しています。2024年12月には、ガイドの手順をIEC 62443-3-2などの国際規格と比べた説明資料も公開しています。3-2のリスクアセスメントを始めるときの実務書として使えます。

国家サイバー統括室「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」

2026年9月11日に公表されたガイドラインです。制御システムのリスクアセスメントを詳しく知るための参照先に、IPAのリスク分析ガイドやNIST SP 800-82と並べてIEC 62443を挙げています。国家サイバー統括室は、2025年7月に内閣サイバーセキュリティセンター（NISC）を改組して発足した組織です。重要インフラの行動計画そのものにはIEC 62443の記述はありません。

なお、防衛省の「防衛産業サイバーセキュリティ基準」はIEC 62443とは別系統です。防衛装備庁のFAQは、この基準を「NIST SP800-171と同等のセキュリティ要求事項」と説明しています。

IEC 62443対応でよくある失敗事例と対策

失敗事例1：ITセキュリティチームだけで進めてしまう

IEC 62443対応をITセキュリティ部門が主導し、OT現場（製造・設備管理）と連携せずに進めたケースでは、策定したポリシーが現場の運用実態に合わず、形骸化してしまうことがあります。PLCやSCADAのパッチ適用手順一つとっても、ITとOTでは許容されるメンテナンスウィンドウが大きく異なります。対策：プロジェクト立ち上げ段階からOT部門（製造・設備管理・品質保証）とITセキュリティ部門の合同チームを組成し、現場責任者をステークホルダーとして明示的に巻き込みます。

失敗事例2：OT資産台帳の整備を後回しにする

IEC 62443-2-1の要件では、保護対象となるOT資産（PLC・HMI・エンジニアリングワークステーション・産業用スイッチ等）の完全な棚卸しが前提です。しかし実際には、長年の設備増設・改修で資産台帳が整備されていない工場が多く、ここで想定外の工数が発生します。対策：資産棚卸しをフェーズ0として独立させ、ネットワークスキャン（Nozomi Networks・Claroty等のOT資産可視化ツールを活用）と現地ヒアリングを組み合わせてOT資産を漏れなく把握してからセキュリティ要件の設計に入ります。

失敗事例3：認証範囲を広げすぎてプロジェクトが停滞する

全工場・全ラインを一度に認証範囲とすることを目指した結果、スコープの複雑さと対応工数が膨大になり、プロジェクトが2〜3年以上停滞するケースがあります。対策：最初の認証取得はパイロットサイト（1拠点・1主要ライン）に絞り込み、12〜18ヶ月で完了させることを優先します。パイロットで得た知見・テンプレートを活用して、第2フェーズ以降で横展開する方が全体のコスト・期間を抑えられます。

失敗事例4：サプライヤー管理の要件を見落とす

IEC 62443-2-1では、資産オーナーがサプライヤー（機器メーカー・SIer・保守ベンダー）のセキュリティ管理状況を評価・監視することが求められます。自社のセキュリティプログラムを整備しても、リモートアクセスを許可している保守ベンダーのセキュリティが脆弱であれば、そこが攻撃経路になります。対策：サプライヤーへのセキュリティ要求事項（IEC 62443-2-4への適合やセキュリティ問診票への回答）を調達契約の条件として明示します。既存ベンダーについては段階的な移行期間を設けながら要件を適用します。

失敗事例5：認証取得後に運用が止まってしまう

認証取得をゴールとして位置づけた場合、取得後のセキュリティパッチ管理・定期的なリスクアセスメント更新・インシデント対応訓練が形骸化しやすくなります。認証機関のサーベイランス審査で指摘を受け、再取得に余計なコストが発生した事例もあります。対策：認証取得後の運用を担う担当者（OTセキュリティマネージャー）を明確に任命し、年間の運用カレンダー（資産台帳更新・リスクアセスメント実施・訓練・内部監査のスケジュール）を確立します。

IEC 62443対応後の継続運用ポイント

IEC 62443認証は取得がゴールではなく、セキュリティプログラムの継続的な維持・改善が本質です。認証取得後の実運用で重要なポイントを整理します。

OT脅威インテリジェンスの継続的な収集

製造業を狙うサイバー攻撃のトレンドは毎年変化します。ICS-CERT（米国）・JPCERT/CC（日本）・Dragos・Claroty等が発行するOT脅威レポートを定期的に収集し、自社のリスクアセスメントへの反映と対策の見直しを年に最低1回実施します。

セキュリティパッチ管理とOTベンダーとの連携

IT環境と異なり、OT機器のパッチ適用は製造ラインの停止を伴うため、パッチ管理プロセスが機能しにくい環境です。機器ベンダー（Siemens・Rockwell Automation・Yokogawa等）のセキュリティアドバイザリーをサブスクライブし、重大度の高い脆弱性については計画的なメンテナンスウィンドウでの適用計画を立てます。

インシデント対応訓練の定期実施

IEC 62443-2-1の要求事項には、イベントとインシデントの管理が含まれます。実際のランサムウェア感染を想定したOT環境でのシナリオ型演習（テーブルトップ演習）を年1回以上実施し、IT部門・OT部門・経営層が連携した対応手順を練習します。訓練結果を踏まえてインシデント対応計画を更新します。

認証範囲の拡大計画

パイロットサイトでの認証取得後は、他拠点・他ラインへの水平展開計画を策定します。パイロットで整備した文書テンプレート・教育プログラム・リスクアセスメント手法を共通資産として活用することで、第2拠点以降は初回より短い期間と少ない費用で進められます。

IEC 62443対応支援ベンダーの選び方

• OT環境の実務経験：コンサルタントがPLC・SCADA・DCSの実機に触れた経験を持つかどうかを確認します。IT畑のみのコンサルタントはOT特有の制約（リアルタイム要件・冗長性・可用性優先の設計）を見落としがちです
• 認証機関との連携実績：TÜV SÜD・TÜV Rheinland・SGSなど実際に審査を行う認証機関との連携実績があるか、審査の進め方についてのノウハウを持つかを確認します
• 業種特化の実績：化学プラント・食品製造・自動車・半導体など、自社と同業種でのIEC 62443対応支援実績を持つベンダーは、業種特有のOTアーキテクチャや規制要件を熟知しているため、的外れな提案リスクが低くなります
• ギャップ分析の提供可否：本格契約前に有償・無償のギャップ分析を実施するベンダーは、自社の現状と課題を把握した上での具体的な対応計画を提示できます。最初から「フルパッケージで○千万円」という提案のみのベンダーには注意が必要です
• 認証取得後のサポート体制：取得後の運用支援・サーベイランス審査対応・インシデント対応支援まで一気通貫で対応できるかを確認します

IEC 62443への対応は、製造業のOTセキュリティ対策全体の一部です。ランサムウェア対策や工場ネットワークの分離など、OTセキュリティの全体像と進め方は製造業のOTセキュリティ対策【2026年版】で整理しています。

よくある質問

Q1. ISA/IEC 62443とIEC 62443は別の規格ですか？

同じ規格です。ISAのISA99委員会とIECのTC65 WG10が共同で開発しており、ISA版とIEC版の内容は同一です。番号の表記がISA-62443-x-yとIEC 62443-x-yで異なるだけです。

Q2. IEC 62443-3-3と4-2は何が違いますか？

3-3は制御システム全体の要件、4-2はPLCやネットワーク機器などの個々のコンポーネントの要件です。どちらも7つの基本要件（FR1〜FR7）で整理されています。ISASecureでは、3-3がSSA、4-2がCSAの認証基準です。

Q3. 日本でIEC 62443-2-1のCSMS認証は今も取れますか？

取れません。国内のCSMS適合性評価制度は、ISMS-ACが2025年4月30日に認証機関の認定を終了しました。2-1の2024年改訂で対象が資産オーナーに限られたことが理由です。2-1への適合を第三者に示したい場合は、ISASecure ACSSA などの制度を検討します。

Q4. どのセキュリティレベル（SL）を目標にすればよいですか？

一律の正解はありません。3-2のリスクアセスメントでゾーンごとに目標（SL-T）を決めます。攻撃者の手段・資源・スキル・動機の想定が判断材料で、経済産業省の工場向けガイドラインの付録にもSLの比較表があります。

参考情報（一次情報）

• ISA「ISA/IEC 62443 Series of Standards」https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards
• IEC webstore「IEC 62443-2-1:2024」https://webstore.iec.ch/en/publication/62883 ／「IEC 62443-3-3:2013」https://webstore.iec.ch/en/publication/7033
• ISA Global Cybersecurity Alliance「Quick Start Guide: An Overview of the ISA/IEC 62443 Standards」
• ISA Global Cybersecurity Alliance「Applying ISO/IEC 27001, ISO/IEC 27002 and the ISA/IEC 62443 Series for Operational Technology Environments」（2025年6月）
• ISASecure「Certification」https://isasecure.org/certification
• 経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver1.1」（2025年4月11日）https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline_ver1.1.pdf
• IPA「制御システムのセキュリティリスク分析ガイド 第2版」https://www.ipa.go.jp/security/controlsystem/riskanalysis.html
• 内閣官房 国家サイバー統括室「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」（2026年9月11日）https://www.cyber.go.jp/pdf/policy/infra/guideline_2026.pdf
• ISMS-AC「CSMS認証機関の認定終了について」（2025年4月30日）https://isms.jp/topics/news/20250430.html
• 防衛装備庁「防衛産業サイバーセキュリティ基準 FAQ」（2024年10月版）https://www.mod.go.jp/atla/cybersecurity/04_FAQ_2024oct.pdf

規格の版と制度は2026年9月30日時点の情報です。

AEVUSのIEC 62443対応支援サービス

AEVUSは、製造業・産業機器メーカー向けにIEC 62443認証取得を一気通貫で支援しています。

支援内容

1. IEC 62443ギャップ分析

現状のOTセキュリティ体制とIEC 62443の要件を比較し、認証取得に向けた具体的な課題と優先順位を整理します。対象工場・対象システムの範囲に応じて、通常2〜4週間で報告書を提供します。

2. セキュリティプログラム（IEC 62443-2-1）の構築・運用支援

IEC 62443-2-1が求めるセキュリティプログラムの設計から文書整備・社内教育まで、認証機関の審査通過を見据えた実装支援を提供します。ISO 27001や既存の品質マネジメント体制との統合設計にも対応します。

3. 製品セキュリティ評価（4-1/4-2対応）

産業機器メーカー向けに、製品開発プロセスのセキュリティレビューと製品機能要件の評価を実施します。認証機関への橋渡しも含めてサポートします。

4. ペネトレーションテスト（OT環境対応）

認証取得前後のセキュリティ検証として、実際の攻撃シナリオに基づくOT環境向けペネトレーションテストを提供します。IEC 62443-3-2が要求するリスクアセスメントの一環として活用できます。

IEC 62443への対応を検討している製造業・産業機器メーカーの担当者は、まずは現状確認のためのギャップ分析からご相談ください。初回の相談・ヒアリングは無料で対応しています。

OTセキュリティ診断・支援サービスの詳細はこちら

まとめ

IEC 62443は、資産オーナー・SIer・機器メーカーのそれぞれに読むべき部がある規格群です。2024年に2-1が改訂されてCSMSの規定がなくなり、国内のCSMS認証制度も2025年4月に終わりました。古い解説の「CSMS認証を取る」という前提は、いまは当てはまりません。

自社の立場に合わせて、次の順で進めると迷いにくくなります。

• 資産オーナーは、3-2のリスクアセスメントでゾーンごとの目標SL（SL-T）を決め、2-1のセキュリティプログラムを既存のISMSと連携させる
• SIerは、3-3の7つの基本要件に沿って設計し、2-4で自社の体制を示せるようにする
• 機器メーカーは、4-1の開発プロセスと4-2の技術要件をそろえ、ISASecureなどの認証制度を選ぶ
• 日本語の入口として、IPAのリスク分析ガイドと経産省の工場向けガイドラインを使う

関連記事

• 製造業のOTセキュリティ対策【2026年版】ランサムウェア被害急増の理由と実践ガイド
• 製造業のOTセキュリティ対策費用【2026年版】診断・コンサルティング・認証取得の相場ガイド
• 製造業・IoT企業のSBOM対応【2026年版】EU CRA・経産省ガイドラインの要点と導入ステップ
• 製造業のサイバー攻撃事例【2026年版】ニチレイ・アサヒ・村田製作所など被害の実態と対策