4.2.3.3 上位レベルのリスクアセスメントの実行

【要求事項】

---

IACSの可用性、完全性文は機密性が損なわれた場合の財務的結果及びHSEに対する結果を理解するために、上位レベルのシステムリスクアセスメントが実行されなければならない。

---

「上位レベル」でのリスクアセスメントでは、「業務プロセスを視点にしたシナリオベース」での実施をお勧めしています。

［4.2.2.1］で策定した「事業上の根拠」を踏まえ、IACSに関する業務プロセスの視点でリスクとなる事例をあげながら、可用性(A)・完全性(I)・機密性(C）と、健康(H)・安全性(S)・環境(E)の観点から、影響度合いを評価することになると思います。

また、業務プロセスでは、制御システムのライフサイクル（開発、導入、変更、更新、廃棄）を考慮することもポイントとなるでしょう。