NIST SP 800-82 第3版 OTセキュリティガイド（ドラフト）

こんにちは、丸山満彦です。

NISTがSP 800-82 第3版 OTセキュリティガイド（ドラフト）を公開し、意見募集をしていますね。。。もう、PDFファイルで317ページもあります。。。

範囲は、ICSからOTに広げていますね。。。

また、SP 800-53 第5版との整合性の確保や

その他、時代に応じた更新をしている感じですかね。。。

確定したら、きっとJPCERT/CCが翻訳版を公開してくれるでしょう...（知らんけど...）

● NIST - ITL

・2022.04.26 SP 800-82 Rev. 3 (Draft) Guide to Operational Technology (OT) Security

SP 800-82 Rev. 3 (Draft) Guide to Operational Technology (OT) Security	SP 800-82 第3版 (ドラフト) 運用技術(OT)セキュリティの手引き
Announcement	発表
This initial public draft provides guidance on how to improve the security of Operational Technology (OT) systems while addressing their unique performance, reliability, and safety requirements.	この最初の公開草案は、オペレーショナルテクノロジー（OT）システム特有の性能、信頼性、安全性の要件に対応しつつ、OTシステムのセキュリティを向上させる方法についてのガイダンスを提供するものです。
OT encompasses a broad range of programmable systems or devices that interact with the physical environment (or manage devices that interact with the physical environment). These systems/devices detect or cause a direct change through the monitoring and/or control of devices, processes, and events. Examples include industrial control systems (ICS), building automation systems, transportation systems, physical access control systems, physical environment monitoring systems, and physical environment measurement systems.	OTは、物理環境と相互作用する（あるいは物理環境と相互作用するデバイスを管理する）プログラム可能なシステムやデバイスを幅広く包含しています。これらのシステム／デバイスは、デバイス、プロセス、およびイベントの監視および／または制御を通じて、直接的な変化を検出または引き起こします。例としては、産業制御システム（ICS）、ビルディングオートメーションシステム、輸送システム、物理アクセス制御システム、物理環境監視システム、物理環境測定システムなどがあります。
This third revision of SP 800-82 provides an overview of OT and typical system topologies, identifies typical threats to organizational mission and business functions supported by OT, describes typical vulnerabilities in OT, and provides recommended security safeguards and countermeasures to manage the associated risks.	この SP 800-82 の 3度目の改訂では、OT の概要と典型的なシステムトポロジー、OT がサポートする組織のミッションとビジネス機能に対する典型的な脅威の特定、OT における典型的な脆弱性の説明、関連リスクを管理するための推奨セキュリティ保護措置と対策が記載されています。
Updates in this revision also include:	また、この改訂では、次のような更新が行われました。
・Expansion in scope from ICS to OT	・ICSからOTへの範囲の拡大
・Updates to OT threats and vulnerabilities	・OTの脅威と脆弱性についての更新
・Updates to OT risk management, recommended practices, and architectures	・OTのリスク管理、推奨プラクティス、およびアーキテクチャの更新
・Updates to current activities in OT security	・OTセキュリティの現在の活動に関する更新
・Updates to security capabilities and tools for OT	・OTのセキュリティ機能及びツールに関する更新
・Additional alignment with other OT security standards and guidelines, including the Cybersecurity Framework (CSF)	・サイバーセキュリティフレームワーク（CSF）を含む他のOTセキュリティ標準及びガイドラインとの整合性を強化する。
・New tailoring guidance for NIST SP 800-53, Rev. 5 security controls	・NIST SP 800-53、Rev.5セキュリティコントロールのための新しい調整ガイダンス
・An OT overlay for NIST SP 800-53, Rev. 5 security controls that provides tailored security control baselines for low-impact, moderate-impact, and high-impact OT systems.	・NIST SP 800-53 Rev.5セキュリティ対策のためのOTオーバーレイは、低影響、中影響、高影響のOTシステムに合わせたセキュリティ対策のベースラインを提供します。
Abstract	概要
This document provides guidance on how to secure operational technology (OT), while addressing their unique performance, reliability, and safety requirements. OT encompasses a broad range of programmable systems and devices that interact with the physical environment (or manage devices that interact with the physical environment). These systems and devices detect or cause a direct change through monitoring and/or control of devices, processes, and events. Examples include industrial control systems, building automation systems, transportation systems, physical access control systems, physical environment monitoring systems, and physical environment measurement systems. The document provides an overview of OT and typical system topologies, identifies typical threats and vulnerabilities to these systems, and provides recommended security countermeasures to mitigate the associated risks.	本書は、運用技術(OT)に特有の性能、信頼性、安全性の要件に対応しつつ、運用技術を保護する方法についてのガイダンスを提供する。OTは、物理環境と相互作用する（または物理環境と相互作用するデバイスを管理する）幅広いプログラマブルシステムおよびデバイスを包含しています。これらのシステムおよびデバイスは、デバイス、プロセス、およびイベントの監視および／または制御を通じて、直接的な変化を検出または引き起こします。例としては、産業用制御システム、ビルディングオートメーションシステム、交通システム、物理的アクセス制御システム、物理環境監視システム、物理環境測定システムなどがある。本書では、OTの概要と代表的なシステムトポロジー、これらのシステムに対する代表的な脅威と脆弱性を特定し、関連するリスクを軽減するための推奨セキュリティ対策を提供しています。

・[PDF] SP 800-82 Rev. 3 (Draft)

目次...

Executive Summary	エグゼクティブサマリー
1 Introduction	1 はじめに
1.1 Purpose and Scope	1.1 目的と範囲
1.2 Audience	1.2 想定読者
1.3 Document Structure	1.3 ドキュメントの構成
2 OT Overview	2 OTの概要
2.1 Evolution of OT	2.1 OTの進化
2.2 OT-Based Systems and Their Interdependencies	2.2 OTベースシステムとその相互依存性
2.3 OT System Operation, Architectures, and Components	2.3 OTシステムの運用、アーキテクチャ、およびコンポーネント
2.3.1 OT System Design Considerations	2.3.1 OTシステム設計の考慮事項
2.3.2 SCADA Systems	2.3.2 SCADAシステム
2.3.3 Distributed Control Systems	2.3.3 分散型制御システム
2.3.4 Programmable Logic Controller-Based Topologies	2.3.4 プログラマブル・ロジック・コントローラ・ベースのトポロジー
2.3.5 Building Automation Systems	2.3.5 ビルディングオートメーションシステム
2.3.6 Physical Access Control Systems	2.3.6 物理的アクセス制御システム
2.3.7 Safety Systems	2.3.7 安全システム
2.3.8 Industrial Internet of Things	2.3.8 インダストリアル・インターネット・オブ・シングス
2.4 Comparing OT and IT System Security	2.4 OTとITシステムセキュリティの比較
3 OT Cybersecurity Program Development	3 OTサイバーセキュリティプログラムの策定
3.1 Establish a Charter for OT Cybersecurity Program	3.1 OTサイバーセキュリティプログラムの憲章を制定する
3.2 Business Case for OT Cybersecurity Program	3.2 OTサイバーセキュリティプログラムのビジネスケース
3.2.1 Benefits of Cybersecurity investments	3.2.1 サイバーセキュリティ投資のメリット
3.2.2 Building an OT Cybersecurity Business Case	3.2.2 OTサイバーセキュリティのビジネスケースの構築
3.2.3 Resources for Building Business Case	3.2.3 ビジネスケースを構築するためのリソース
3.2.4 Presenting the OT Cybersecurity Business Case to Leadership	3.2.4 リーダーシップへのOTサイバーセキュリティビジネスケースの提示
3.3 OT Cybersecurity Program Content	3.3 OTサイバーセキュリティプログラムの内容
3.3.1 Establish OT Cybersecurity Governance	3.3.1 OTサイバーセキュリティガバナンスを確立する
3.3.2 Build and Train a Cross-Functional Team to Implement OT Cybersecurity Program	3.3.2 OTサイバーセキュリティプログラムを実施するための部門横断的なチームの構築とトレーニング
3.3.3 Define OT Cybersecurity Strategy	3.3.3 OTサイバーセキュリティ戦略を定義する
3.3.4 Define OT-Specific Policies and Procedures	3.3.4 OT 固有のポリシーと手順の定義
3.3.5 Establish Cybersecurity Awareness Training Program for OT Organization	3.3.5 OT 組織向けのサイバーセキュリティ意識向上トレーニングプログラムを確立する
3.3.6 Implement a Risk Management Framework for OT	3.3.6 OT のリスク管理フレームワークの導入
3.3.7 Develop Maintenance Tracking Capability	3.3.7 メンテナンス追跡能力の開発
3.3.8 Develop Incident Response Capability	3.3.8 インシデントレスポンス能力の開発
3.3.9 Develop Recovery and Restoration Capability	3.3.9 復旧・復元能力の開発
3.3.10 Summary of OT Cybersecurity Program Content	3.3.10 OTサイバーセキュリティプログラムの内容のまとめ
4 Risk Management for OT Systems	4 OT システムのリスク管理
4.1 Managing OT Security Risk	4.1 OTセキュリティリスクの管理
4.1.1 Framing OT Risk	4.1.1 OT リスクのフレームワーク
4.1.2 Assessing Risk in the OT Environment	4.1.2 OT環境におけるリスクの評価
4.1.3 Responding to Risk in an OT Environment	4.1.3 OT環境におけるリスクへの対応
4.1.4 Monitoring Risk in an OT Environment	4.1.4 OT環境におけるリスクの監視
4.2 Special Areas for Consideration	4.2 考慮すべき特別な領域
4.2.1 Supply Chain Risk Management	4.2.1 サプライチェーンリスクマネジメント
4.2.2 Safety Systems	4.2.2 安全システム
4.3 Applying the Risk Management Framework for OT Systems	4.3 OTシステムに対するリスクマネジメントフレームワークの適用
4.3.1 Prepare	4.3.1 準備する
4.3.2 Categorize	4.3.2 カテゴリー化
4.3.3 Select	4.3.3 選択
4.3.4 Implement	4.3.4 実施
4.3.5 Assess	4.3.5 評価
4.3.6 Authorize	4.3.6 権限を与える
4.3.7 Monitor	4.3.7 監視
5 OT Cybersecurity Architecture	5 OTサイバーセキュリティ・アーキテクチャ
5.1 Cybersecurity Strategy	5.1 サイバーセキュリティ戦略
5.1.1 Impacts of Choosing a Cybersecurity Strategy	5.1.1 サイバーセキュリティ戦略を選択することの影響
5.1.2 Defense-in-Depth Strategy	5.1.2 ディフェンス・イン・ディプス（深層防御）戦略
5.1.3 Other Cybersecurity Strategy Considerations	5.1.3 その他のサイバーセキュリティ戦略に関する考慮事項
5.2 Defense-in-Depth Architecture Capabilities	5.2 徹底した防衛アーキテクチャの機能
5.2.1 Layer 1 - Security Management	5.2.1 レイヤー1 - セキュリティ管理
5.2.2 Layer 2 - Physical Security	5.2.2 レイヤー2 - 物理的セキュリティ
5.2.3 Layer 3 - Network Security	5.2.3 レイヤー3 - ネットワークセキュリティ
5.2.4 Layer 4 - Hardware Security	5.2.4 レイヤー4 - ハードウェアセキュリティ
5.2.5 Layer 5 - Software Security	5.2.5 レイヤー5 - ソフトウェアセキュリティ
5.3 Additional Cybersecurity Architecture Considerations	5.3 サイバーセキュリティ・アーキテクチャに関するその他の考慮事項
5.3.1 Cyber-Related Safety Considerations	5.3.1 サイバー関連の安全性に関する考慮事項
5.3.2 Availability Considerations	5.3.2 可用性に関する考慮事項
5.3.3 Geographically Distributed Systems	5.3.3 地理的に分散されたシステム
5.3.4 Regulatory Requirements	5.3.4 規制要件
5.3.5 Environmental Considerations	5.3.5 環境への配慮
5.3.6 Field I/O (Purdue Level 0) Security Considerations	5.3.6 フィールドI/O（パデューレベル0）セキュリティの考慮事項
5.3.7 Additional Security Considerations for IIoT	5.3.7 IIoTのための追加のセキュリティの考慮事項
5.4 Cybersecurity Architecture Models	5.4 サイバーセキュリティ・アーキテクチャ・モデル
5.4.1 Distributed Control System (DCS)-Based OT Systems	5.4.1 分散型制御システム（DCS）ベースのOTシステム
5.4.2 DCS/PLC-Based OT with IIoT	5.4.2 DCS/PLCベースのOTとIIoTの組み合わせ
5.4.3 SCADA-Based OT Environments	5.4.3 SCADA ベースの OT 環境.
6 Applying the Cybersecurity Framework to OT	6 OT へのサイバーセキュリティフレームワークの適用
6.1 Identify (ID)	6.1 識別（ID）
6.1.1 Asset Management (ID.AM)	6.1.1 アセットマネジメント（ID.AM）
6.1.2 Governance (ID.GV)	6.1.2 ガバナンス（ID.GV）
6.1.3 Risk Assessment (ID.RA)	6.1.3 リスクアセスメント（ID.RA）
6.1.4 Risk Management Strategy (ID.RM)	6.1.4 リスクマネジメント戦略（ID.RM）
6.1.5 Supply Chain Risk Management (ID.SC)	6.1.5 サプライチェーンリスクマネジメント（ID.SC）
6.2 Protect (PR)	6.2 保護(PR)
6.2.1 Identity Management and Access Control (PR.AC)	6.2.1 アイデンティティ管理／アクセス制御（PR.AC）
6.2.2 Awareness and Training (PR.AT)	6.2.2 意識向上およびトレーニング（PR.AT）
6.2.3 Data Security (PR.DS)	6.2.3 データセキュリティ(PR.DS)
6.2.4 Information Protection Processes and Procedures (PR.IP)	6.2.4 情報を保護するためのプロセスおよび手順（PR.IP）
6.2.5 Maintenance (PR.MA)	6.2.5 保守（PR.MA）
6.2.6 Protective Technology (PR.PT)	6.2.6 保護技術(PR.PT)
6.2.7 Media Protection (PR.PT-2)	6.2.7 メディアの保護（PR.PT-2）
6.2.8 Personnel Security	6.2.8 人員の安全確保
6.2.9 Wireless Communications	6.2.9 無線通信
6.2.10 Remote Access	6.2.10 リモートアクセス
6.2.11 Flaw Remediation and Patch Management	6.2.11 不具合修正とパッチ管理
6.2.12 Time Synchronization	6.2.12 時刻同期
6.3 Detect (DE)	6.3 検出(DE)
6.3.1 Anomalies and Events (DE.AE)	6.3.1 異常とイベント(DE.AE)
6.3.2 Security Continuous Monitoring (DE.CM)	6.3.2 セキュリティの継続的なモニタリング(DE.CM)
6.3.3 Detection Process (DE.DP)	6.3.3 検出プロセス(DE.DP)
6.4 Respond (RS)	6.4 対応(RS)
6.4.1 Response Planning (RS.RP)	6.4.1 対応計画(RS.RP)
6.4.2 Response Communications (RS.CO)	6.4.2 コミュニケーション(RS.CO)
6.4.3 Response Analysis (RS.AN)	6.4.3 分析(RS.AN)
6.4.4 Response Mitigation (RS.MI)	6.4.4 低減（RS.MI）
6.4.5 Response Improvements (RS.IM)	6.4.5 改善（RS.IM）
6.5 Recover (RC)	6.5 復旧(RC)
6.5.1 Recovery Planning (RC.RP)	6.5.1 復旧計画(RC.RP)
6.5.2 Recovery Improvements (RC.IM)	6.5.2 改善(RC.IM)
6.5.3 Recovery Communications (RC.CO)	6.5.3 コミュニケーション(RC.CO)
References	参考文献
List of Appendices	附属書一覧
Appendix A— Acronyms	附属書A：略語
Appendix B— Glossary	附属書B 用語集
Appendix C— Threat Sources, Vulnerabilities, and Incidents	附属書C 脅威の発生源、脆弱性、インシデント
C.1 Threat Sources	C.1 脅威の発生源
C.2 Vulnerabilities and Predisposing Conditions	C.2 脆弱性と発生しやすい状況
C.2.1 Policy and Procedure Vulnerabilities and Predisposing Conditions	C.2.1 政策や手続きの脆弱性とその素因となる条件
C.2.2 System Vulnerabilities and Predisposing Conditions	C.2.2 システムの脆弱性とその前提条件
C.3 Threat Events and Incidents	C.3 脅威となる事象とインシデント
C.3.1 Adversarial Events	C.3.1 敵対的事象
C.3.2 Structural Events	C.3.2 構造的事象
C.3.3 Environmental Events	C.3.3 環境的事象
C.3.4 Accidental Events	C.3.4 偶発的な事象
Appendix D— OT Security Organizations, Research, and Activities	附属書D - OTセキュリティの組織、研究、および活動
D.1 Consortiums and Standards	D.1 コンソーシアムと標準
D.1.1 Critical Infrastructure Partnership Advisory Council (CIPAC)	D.1.1 重要インフラストラクチャー・パートナーシップ諮問委員会（CIPAC)
D.1.2 Institute for Information Infrastructure Protection (I3P)	D.1.2 情報インフラ保護協会 (I3P)
D.1.3 International Electrotechnical Commission (IEC)	D.1.3 国際電気標準会議 (IEC)
D.1.4 Institute of Electrical and Electronics Engineers, Inc. (IEEE)	D.1.4 米国電気電子学会 (IEEE)
D.1.5 International Society of Automation (ISA)	D.1.5 国際自動化学会 (ISA)
D.1.6 International Organization for Standardization (ISO)	D.1.6 国際標準化機構 (ISO）
D.1.7 National Council of Information Sharing and Analysis Centers (ISACs)	D.1.7 情報共有・分析センター (ISAC) 全国協議会
D.1.8 National Institute of Standards and Technology (NIST)	D.1.8 国立標準技術研究所 (NIST)
D.1.9 North American Electric Reliability Corporation (NERC)	D.1.9 北米電気信頼性委員会 (NERC)
D.2 Research Initiatives and Programs	D.2 研究イニシアティブとプログラム
D.2.1 Clean Energy Cybersecurity Accelerator Initiative	D.2.1 クリーンエネルギー・サイバーセキュリティ・アクセラレータ・イニシアチブ
D.2.2 Cybersecurity for Energy Delivery Systems (CEDS) R&D Program	D.2.2 エネルギー供給システム（CEDS）研究開発プログラムのためのサイバーセキュリティ.
D.2.3 Cybersecurity for the Operational Technology Environment (CyOTE)	D.2.3 運用技術環境のためのサイバーセキュリティ（CyOTE）.
D.2.4 Cybersecurity Risk Information Sharing Program (CRISP)	D.2.4 サイバーセキュリティリスク情報共有プログラム(CRISP)
D.2.5 Cyber Testing for Resilient Industrial Control Systems (CyTRICS)	D.2.5 耐久性のある産業用制御システムのためのサイバーテスト(CyTRICS)
D.2.6 Homeland Security Information Network - Critical Infrastructure (HSIN-CI)	D.2.6 国土安全保障情報ネットワーク-重要インフラストラクチャ(HSIN-CI)
D.2.7 INL Cyber-Informed Engineering (CIE) / Consequence-Driven CIE (CCE)	D.2.7 INL サイバー・インフォームド・エンジニアリング（CIE）／結果駆動型 CIE（CE）
D.2.8 LOGIIC - Linking the Oil and Gas Industry to Improve Cybersecurity	D.2.8 LOGIIC - サイバーセキュリティを向上させるための石油・ガス産業との連携
D.2.9 NIST Cyber Physical Systems and Internet of Things Program	D.2.9 NIST サイバー物理システム及びモノのインターネット・プログラム.
D.2.10 NIST Cybersecurity for Smart Grid Systems Project	D.2.10 NIST スマートグリッドシステム向けサイバーセキュリティプロジェクト
D.2.11 NIST Cybersecurity for Smart Manufacturing Systems Project	D.2.11 スマート製造システムのためのNISTサイバーセキュリティ・プロジェクト.
D.2.12 NIST Reliable, High Performance Wireless Systems for Factory Automation	D.2.12 NIST ファクトリーオートメーション用高信頼性高性能ワイヤレスシステム
D.2.13 NIST Prognostics and Health Management for Reliable Operations in Smart Manufacturing (PHM4SM)	D.2.13 NIST スマート・マニュファクチャリングにおける信頼できる運用のための予後管理と健康管理（PHM4SM）
D.2.14 NIST Supply Chain Traceability for Agri-Food Manufacturing	D.2.14 NISTの農産物製造のためのサプライチェーントレーサビリティ
D.3 Tools and Training	D.3 ツール及びトレーニング
D.3.1 CISA Cyber Security Evaluation Tool (CSET®)	D.3.1 CISAサイバーセキュリティ評価ツール（CSET®）
D.3.2 CISA Cybersecurity Framework Guidance	D.3.2 CISAサイバーセキュリティ・フレームワーク・ガイダンス.
D.3.3 CISA ICS Alerts, Advisories and Reports	D.3.3 CISA ICSアラート、アドバイザリー、レポート
D.3.4 CISA ICS Training Courses	D.3.4 CISA ICSトレーニングコース
D.3.5 MITRE ATT&CK for ICS	D.3.5 MITRE ATT&CK for ICS
D.3.6 NIST Cybersecurity Framework	D.3.6 NIST サイバーセキュリティフレームワーク
D.3.7 SANS ICS Security Courses	D.3.7 SANS ICS セキュリティコース
D.4 Sector-Specific Resources	D.4 セクター固有のリソース
D.4.1 Chemical	D.4.1 化学
D.4.2 Communications	D.4.2 通信.
D.4.3 Critical Manufacturing	D.4.3 重要な製造業.
D.4.4 Dams	D.4.4 ダム
D.4.5 Energy	D.4.5 エネルギー
D.4.6 Food and Agriculture	D.4.6 食品と農業
D.4.7 Healthcare and Public Health	D.4.7 医療と公衆衛生.
D.4.8 Nuclear Reactors, Materials, and Waste	D.4.8 原子炉、材料、および廃棄物.
D.4.9 Transportation Systems	D.4.9 交通システム
D.4.10 Water and Wastewater	D.4.10 水と廃水
D.5 Conferences and Working Groups	D.5 コンファレンスとワーキンググループ
D.5.1 Digital Bond’s SCADA Security Scientific Symposium (S4)	D.5.1 デジタルボンドのSCADAセキュリティ科学シンポジウム(S4)
D.5.2 Industrial Control Systems Joint Working Group (ICSJWG)	D.5.2 産業制御システム共同作業グループ(ICSJWG)
D.5.3 IFIP Working Group 11.10 on Critical Infrastructure Protection	D.5.3 重要インフラ保護に関する IFIP ワーキンググループ11.10).
D.5.4 SecurityWeek’s ICS Cyber Security Conference	D.5.4 SecurityWeekのICSサイバーセキュリティ会議
D.5.5 Stockholm International Summit on Cyber Security in SCADA and ICS (CS3STHLM)	D.5.5 SCADA と ICS におけるサイバーセキュリティに関するストックホルム国際サミット (CS3STHLM)
Appendix E— OT Security Capabilities and Tools	附属書 E- OT セキュリティの能力とツール
E.1 Network Segmentation and Isolation	E.1 ネットワークの分離と隔離
E.1.1 Firewalls	E.1.1 ファイアウォール
E.1.2 Unidirectional Gateways	E.1.2 単方向ゲートウェイ
E.1.3 Virtual Local Area Networks (VLAN)	E.1.3 仮想ローカルエリアネットワーク(VLAN)
E.1.4 Software-Defined Networking (SDN)	E.1.4 ソフトウェア定義ネットワーキング(SDN)
E.2 Network Monitoring/Security Information and Event Management (SIEM)	E.2 ネットワーク監視／セキュリティ情報およびイベント管理（SIEM）.
E.2.1 Centralized Logging	E.2.1 ログの一元管理
E.2.2 Passive Scanning	E.2.2 パッシブ・スキャンニング
E.2.3 Active Scanning	E.2.3 アクティブ・スキャン
E.2.4 Malware Detection	E.2.4 マルウェア検出
E.2.5 Behavioral Anomaly Detection	E.2.5 行動異常の検出
E.2.6 Data Loss Prevention (DLP)	E.2.6 データ損失防止(DLP)
E.2.7 Deception Technology	E.2.7 デセプション技術
E.2.8 Digital Twins	E.2.8 デジタル・ツインズ
E.3 Data Security	E.3 データセキュリティ
E.3.1 Backup Storage	E.3.1 バックアップストレージ
E.3.2 Immutable Storage	E.3.2 不変ストレージ
E.3.3 File Hashing	E.3.3 ファイルのハッシュ化
E.3.4 Digital Signatures	E.3.4 デジタル署名
E.3.5 Block Ciphers	E.3.5 ブロック暗号.
E.3.6 Remote Access	E.3.6 リモートアクセス
Appendix F— OT Overlay	附属書F - OTオーバーレイ
F.1 Overlay Characteristics	F.1 オーバーレイの特徴
F.2 Applicability	F.2 適用可能性
F.3 Overlay Summary	F.3 オーバーレイの概要
F.4 Tailoring Considerations	F.4 テーラリングの考慮事項
F.5 OT Communication Protocols	F.5 OT通信プロトコル.
F.6 Definitions	F.6 定義.
F.7 Detailed Overlay Control Specifications	F.7 詳細なオーバーレイ制御仕様
F.7.1 ACCESS CONTROL – AC	F.7.1 アクセス制御 - AC
F.7.2 AWARENESS AND TRAINING – AT	F.7.2 意識向上とトレーニング - AT
F.7.3 AUDITING AND ACCOUNTABILITY – AU	F.7.3 監査及び説明責任 - AU
F.7.4 ASSESSMENT, AUTHORIZATION, AND MONITORING – CA	F.7.4 評価、承認、および監視 - CA
F.7.5 CONFIGURATION MANAGEMENT – CM	F.7.5 構成管理 - CM
F.7.6 CONTINGENCY PLANNING - CP	F.7.6 コンティンジェンシー計画 - CP
F.7.7 IDENTIFICATION AND AUTHENTICATION - IA	F.7.7 識別及び認証 - IA
F.7.8 INCIDENT RESPONSE - IR	F.7.8 インシデントレスポンス - IR
F.7.9 MAINTENANCE - MA	F.7.9 メンテナンス - MA
F.7.10 MEDIA PROTECTION –MP	F.7.10 メディア保護 - MP
F.7.11 PHYSICAL AND ENVIRONMENTAL PROTECTION – PE	F.7.11 物理的及び環境的保護 - PE
F.7.12 PLANNING – PL	F.7.12 計画 - PL
F.7.13 ORGANIZATION-WIDE INFORMATION SECURITY PROGRAM MANAGEMENT CONTROLS - PM	F.7.13 組織全体の情報セキュリティプログラム管理統制 - PM
F.7.14 PERSONNEL SECURITY – PS	F.7.14 人員セキュリティ - PSE
F.7.15 RISK ASSESSMENT – RA	F.7.15 リスクアセスメント - RA
F.7.16 SYSTEM AND SERVICES ACQUISITION – SA	F.7.16 システム及びサービスの取得 - SA
F.7.17 SYSTEM AND COMMUNICATIONS PROTECTION - SC	F.7.17 システム及び通信の保護 - SC
F.7.18 SYSTEM AND INFORMATION INTEGRITY - SI	F.7.18 システム及び情報の完全性 - SI
F.7.19 SUPPLY CHAIN RISK MANAGEMENT - SR	F.7.19 サプライチェーンリスク管理 - SR

---

● IPA

・セキュリティ関連NIST文書

● JPCERT/CC

・制御システムセキュリティガイドライン(全般)

　・NIST SP 800-82 産業制御システム(ICS)セキュリティ

　・2016.03.14 [PDF] NIST SP800-82 Rev.2 産業用制御システム(ICS)セキュリティガイドSCADA、DCS、PLC、その他の制御システムの設定

● まるちゃんの情報セキュリティ気まぐれ日記

・2021.08.02 米国 連邦政府 重要インフラ制御システムのサイバーセキュリティの向上に関する国家安全保障に関する覚書

・2011.06.10 NIST Special Publication 800-82, Guide to Industrial Control System (ICS) Security.