ENGINEERING NOTES · 2026年6月

NERC-CIPとIEC 62443が競合せず補完し合う理由

一方は法律、もう一方はエンジニアリングです。この二つを代替案として扱い、数ヶ月を無駄にしたチームを見てきました。

善意のあるチームでもよく見かける間違いです:NERC CIPとIEC 62443を『OTセキュリティを実践する』ための二つの代替経路として扱うこと——実際には、両者は異なる問いに答えています。

CIPは『北米の大規模電力システムを運用する場合、法的に何をしなければならないか』に答えます。特定の業界・地域に限定され、違反には実際の規制上の結果が伴います。

62443は『安全な産業制御アーキテクチャを技術的にどう設計するか』に答えます。業界や地域に依存せず、キトの発電所でもバイエルンの製造拠点でも同じように機能します。

両者を正しく組み合わせる方法:CIPが義務的な『何を』(資産の分類、電子的境界、変更管理)を定義し、62443がそれを厳密に実装するための技術的な『どのように』(ゾーンとコンジット、セキュリティレベル、コンポーネント要件)を提供します。CIPだけを見てアーキテクチャを設計すると、書類上は有効でも実務では脆いコンプライアンスになりがちです。