2025年5月30日　SZ Lin

本稿はAutomation.comにて初出の内容を転載したものです。

SEMI E187が半導体産業特有の要求に対応したセキュリティ要件を規定しているのに対し、ISA/IEC 62443-3-3、62443-4-2 と62443-4-1は技術的なセキュリティ要件とセキュアな製品のライフサイクル管理を対象とした、幅広い分野に適用可能な規格です。本稿では、両規格の実務上の関係性について、両規格の整合する点と、部分的に重複する箇所における違いに焦点を当てて解説します。

付言

本稿は、初期段階での理解を支援することを目的とした、非公式で簡潔かつ実装に焦点を当てた解説で、公式なホワイトペーパーや、条項ごとの詳細な対応関係を示す文書とは位置付けが異なります。

主な対象読者はセキュアな製品開発、コンプライアンス対応、顧客向け文書の作成に携わる半導体製造装置サプライヤーですが、こうしたサプライヤーの多くは、産業オートメーションおよび制御システム分野向けの製品も取り扱っており、SEMI E187とISA/IEC 62443の両方の要求事項への対応がますます求められるようになっています。また、サプライヤー側の取り組みがISA/IEC 62443をはじめとする産業サイバーセキュリティ規格とどのように整合しているかを理解する必要があるOEM、監査者、およびシステムインテグレーターにとっても有用な内容となっています。

本稿で示す両規格の比較は、正式な対応表ではありませんが、サプライヤーにとって次のような点で参考になると思われます。

• 監査・コンプライアンス対応の準備および顧客とのコミュニケーションの効率化
• 実装や文書作成における重複作業の回避
• 変化する要求事項への対応に向けた初期段階での指針の提供
• より体系的かつ一貫性のあるコンプライアンス対応の実現

SEMI E187 概要

2022年1月にSEMIが策定した「SEMI E187: Specification for Cybersecurity of Fab Equipment」は、設計、運用、保守を含むライフサイクル全体を通じて半導体製造装置のサイバーセキュリティを確保するための基本的な要求事項を定めた規格です。

SEMI E187では、セキュリティ対策を次の4つのセキュリティ領域に分類しています。

• OSのセキュリティ
• ネットワークのセキュリティ
• エンドポイント保護
• セキュリティモニタリング

これらの領域は、装置サプライヤーが基本的なサイバーセキュリティ要件を満たすためのセキュリティ対策を実装する際の指針となります。SEMI E187の要求事項は、サプライヤー自身による自己評価、顧客監査、および調達仕様書において広く参照されています。

SEMI E187は、次の機器を適用対象としています。

• Fab装置に搭載されたコンピューティング機器
• Microsoft WindowsまたはLinuxを搭載した機器

以下は適用外です。

• PLC、SCADAシステム、またはセンサー・アクチュエータネットワークに接続された機器
• MES（製造実行システム）などの工場が提供するITシステム

下表にSEMI E187の要求事項の概要を示します。

表1: SEMI E187概要

ISA/IEC 62443 3-3、4-2、4-1 概要

ISA/IEC 62443シリーズは、セキュアな産業オートメーションおよび制御システム（IACS）の実装および維持に関する要求事項と手順を規定した規格群です。製品、システム、および組織の各レベルにおけるサイバーセキュリティについて、体系的かつリスクベースのアプローチを提供しています。

ISA/IEC 62443シリーズの中でも、次の3つの規格は装置サプライヤーにとって特に重要です。

• ISA/IEC 62443-3-3 – システムのセキュリティ要求事項とセキュリティレベル 産業オートメーションおよび制御システム（IACS）が、リスクアセスメントの結果に基づいて目標セキュリティレベル（SL）を達成するために実装すべきサイバーセキュリティ機能を定義しています。
• ISA/IEC 62443-4-2 – コンポーネントの技術的セキュリティ要求事項 組込みデバイス、ホストデバイス、ネットワークデバイス、ソフトウェアアプリケーションなど、IACSを構成する個々のコンポーネントを保護するための技術的セキュリティ要求事項（コンポーネント要求事項：CR）を規定しています。
• ISA/IEC 62443-4-1 – セキュアな製品開発ライフサイクル要求事項 セキュリティ管理、セキュリティ要求事項の仕様策定、セキュア設計の原則、セキュアな実装、セキュリティの検証・妥当性確認、セキュリティ関連課題の管理、セキュリティアップデート管理、およびセキュリティガイドラインの提供などのプロセスに重点を置いています。

システムセキュリティ要求事項（SR）は、ID・認証制御、利用制御、システム完全性、データの機密性などの基礎要件（FR）のカテゴリごとに整理されています。

本規格は、システムインテグレーターおよびアセットオーナーが、定義された脅威シナリオに対抗するために必要なセキュリティ機能をシステム全体のアーキテクチャへ適切に組み込めるよう設計されています。

また、事業および運用上のリスクを踏まえたシステムのコンプライアンスを体系的に示すための枠組みも提供しています。

コンポーネント要求事項（CR）は、ID・認証制御、利用制御、システム完全性、データの機密性、データフローの制限、セキュリティイベントへの適時対応、リソースの可用性から構成される7つの基礎要件（FR）ごとに整理されています。

これらの要求事項は、ISA/IEC 62443で定義されるセキュリティレベル（SL）に対応しており、サプライヤーは想定される脅威シナリオやリスク許容度に応じて適切なセキュリティ対策を実装することができます。

また、コンポーネント種別ごとに要求事項を定めることで、セキュア・バイ・デザインに基づく製品開発を支援するとともに、システムレベルのセキュリティアーキテクチャへの一貫した統合を可能にしています。

本規格のねらいは、製品開発ライフサイクル全体を通じてサイバーセキュリティを組み込み、サプライヤーが顧客や監査者に対してセキュアな開発プロセスを実践していることを明確に示せるようにすることです。

62443-4-1は製品開発プロセスを規定し、62443-4-2はコンポーネントレベルでのセキュア・バイ・デザインを実現するための要求事項を定め、62443-3-3はアセットオーナーおよびシステムインテグレーターが実現すべきシステムレベルのセキュリティ要求事項を定義と３つの規格で体系的なサイバーセキュリティアーキテクチャを構成しています。

そしてISA/IEC 62443-3-3、62443-4-2、および 62443-4-1 は、定義されたセキュリティレベル（SL）を達成し維持するために必要な、システムレベルの保護、コンポーネントレベルの機能、そして安全な開発プロセスを網羅する、補完的で多層的なサイバーセキュリティ要求事項を総合的に定義しています。

SEMI E187とISA/IEC 62443の整合性：概要表

下表は、SEMI E187の主な条項と対応するISA/IEC 62443の条項との対応関係を簡潔に整理したもので、整合性が明確な項目と、部分的に整合する項目を示しています。

表2 SEMI E187とISA/IEC 62443の要求事項の対応関係（概要

注1： 本表に示す対応関係は、各規格で公開されている情報に基づき、筆者が独自に解釈・整理したものです。正式な規格間の対応仕様を示すものではなく、一般的な参考情報です。

注2：*は、規格間で部分的な整合性が認められることを示します。

比較結果から分かるように、多くのSEMI E187の要求事項は、ISA/IEC 62443の要求事項と明確に整合しています。一方で、一部の要求事項については、両規格の適用範囲、アプローチ、および要求事項が適用される前提の違いにより、部分的な整合にとどまっています。

部分的な整合性の分析

SEMI E187とISA/IEC 62443を比較すると、多くの要求事項で高い整合性が認められます。しかし、一部の要求事項については、適用範囲、要求事項が適用される前提、およびセキュリティ実装に対するアプローチの違いから、部分的な整合にとどまっています。以下では、これらの違いについて解説していきます。

表3: SEMI E187とISA/IEC62443の部分的な整合性の比較

詳細な分析

部分的な整合性1: OSのサポートとライフサイクルマネジメント [E187-RQ-00001]

• SEMI E187要求事項:装置サプライヤーは、サポート対象外のオペレーティングシステム（例：サポートが終了したOS）を使用した装置を出荷してはなりません。
• ISA/IEC 62443-4-1実践 (SUM-3):サプライヤーは、OSのセキュリティアップデートとの互換性に関する情報を文書化することが求められます。
• 考察:SEMI E187は、サプライヤーがサポートするOSの使用を義務付けることで、明確な予防措置を規定しています。
• ポイント:両規格とも、OSに起因するセキュリティリスクの低減を目的としています。

製品のアップデートとの互換性状況を明確にするとともに、サプライヤーが特定のアップデートをサポートしない場合には、推奨されるリスク低減策を提示することを求めています。

ただし、サポート対象外のOSを搭載した装置の出荷を直接禁止しているわけではありません。

現時点で既知の脆弱性が確認されていない場合であっても、この要求事項は適用され、サポートが終了したOSの使用を明示的に禁止しています。

一方、ISA/IEC 62443は、製品の互換性情報を文書化し、アップデートの対応状況を明確に伝えるとともに、サプライヤーがサポート対象としていないアップデートに対して推奨されるリスク低減策を提供することを重視しています。

ISA/IEC 62443-4-1では、サポート対象外のOSを搭載した装置の出荷を明示的に禁止してはいません。しかし、実際には、OSがサポートされていない状態では、ソフトウェアアップデート管理（SUM）をはじめとする複数の要求事項への適合は非常に困難になります。

一方で、両規格では要求事項の適用に対する考え方に明確な違いがあります。

SEMI E187はサポート対象外OSの使用を直接禁止するアプローチを採用しているのに対し、ISA/IEC 62443は、体系的かつ文書化されたプロセスを通じて、十分な情報に基づくリスク管理上の判断を可能にするアプローチを重視しています。この違いが、両規格が部分的な整合にとどまる理由となっています。

部分的な整合2: セキュリティ検証活動としてのマルウェアスキャン [E187-RQ-00006]

• SEMI E187要求事項: サプライヤーは装置の出荷前にマルウェアスキャニングを実施し、スキャンツールの名称、バージョン、スキャン対象範囲、および実施日を記載した詳細な文書を提供する必要があります。
• ISA/IEC 62443-4-1 実践 (SVV-1): 製品のセキュリティ機能を検証する体系的な試験プロセスが求められます。
• 考察: SEMI E187は、実施すべき運用上の活動と、提出すべき文書を明確に規定しています。
• ポイント: マルウェアスキャンは、考え方としてはISA/IEC 62443が目指すより広範なセキュリティ検証の目的と整合しています。しかし、ISA/IEC 62443ではマルウェアスキャン自体を明示的な要求事項として規定していないため、SEMI E187との整合性は部分的なものにとどまります。

これらのプロセスは、製品が定義されたセキュリティ要求事項を満たすこと、およびエラーや不正な入力を適切に処理できることを確認するものです。

試験には、耐タンパー性（改ざん耐性）、完全性検証機能、および署名付きイメージの検証が含まれており、これらはいずれも間接的にマルウェア検知を支援する可能性があります。

さらに、機能試験、性能評価、スケーラビリティ試験、境界条件の評価、および想定外の入力を用いたストレス試験も、この検証要求事項に含まれています。

ただし、マルウェアスキャンそのものは明示的な要求事項とはなっていません。

一方、ISA/IEC 62443は、より包括的な検証要求事項を規定しており、マルウェアスキャンのような個々の検証活動については、サプライヤーの判断に委ねるアプローチを採用しています。

機能要件とプロセス要件の対応範囲

SEMI E187は、装置サプライヤーが満たすべき機能的なセキュリティ要求事項を明確に定義した、セキュリティ機能を重視する仕様として広く認識されています。一方で、パッチ管理、文書化の手順、およびセキュリティ検証活動については、プロセス面で期待される事項についても暗黙的に扱っています。

代表的な例 (網羅的ではありません) :

• RQ-00001 オペレーティングシステム（OS）の更新
• RQ-00002 セキュリティパッチおよびアップデートを適用するための手順の文書化を規定
• RQ-00005 装置出荷前の脆弱性スキャンおよび結果報告を義務付け
• RQ-00006 装置出荷前のマルウェアスキャンおよび結果報告を義務付け

これらの要求事項は、SEMI E187が機能要件を重視した仕様でありながら、セキュアなライフサイクルプロセスの要素も取り入れていることを示しています。

結び

SEMI E187とISA/IEC 62443-3-3、62443-4-1、および62443-4-2の比較分析から、両規格には重要な整合点と相違点の両方があることがわかります。SEMI E187は、必要なサイバーセキュリティ対策を明確に規定する、より具体的なアプローチを採用しているのに対し、ISA/IEC 62443は、より包括的で柔軟性が高く、プロセスを重視した規格であり、具体的な実装方法についてはサプライヤーの判断に委ねています。

こうした共通点と相違点を理解することで、サプライヤーはコンプライアンス対応をより戦略的に進めることができ、対応作業の効率化、文書の再利用性の向上、さらには顧客や認証機関とのコミュニケーションの改善につなげることができます。また、規格間の対応関係を整理したオープンなマッピングツールや、実装テンプレートを業界で共同開発することは、規格間の整合性をさらに高めるとともに、コンプライアンス対応の簡素化、開発期間の短縮、およびリソース配分の最適化に寄与すると考えられます。

参考文献

[1] ANSI/ISA-62443-3-3-2013 Security for industrial automation and control systems Part 3-3: System security requirements and security level

[2] IEC 62443-3-3:2013 Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels

[3] ANSI/ISA-62443-4-1-2018 Security for industrial automation and control systems Part 4-1: Secure product development lifecycle requirements

[4] IEC 62443-4-1:2018 Security for industrial automation and control systems Part 4-1: Secure product development lifecycle requirements

[5] ANSI/ISA-62443-4-2-2018 Security for industrial automation and control systems Part 4-2: Technical security requirements for IACS components

[6] IEC 62443-4-2:2019 Security for industrial automation and control systems Part 4-2: Technical security requirements for IACS components

[7] SEMI E187-0122 – Specification for Cybersecurity of Fab Equipment