制御システムはもはや、社内ネットワークやその他のネットワークと切り離すことができなくなっています。各業界では、運用技術(OT)環境とIT環境の相互接続が進み、OTネットワーク内のインテリジェントデバイスをITインフラに接続することで、データに基づくより迅速かつ的確な意思決定が可能になっています。制御システムや制御デバイスが多様化する中、多くの企業がネットワークのセグメンテーションポリシーによってITネットワークとOTネットワーク間の境界を維持しています。
しかし、OTネットワークを出入りするデータを完全に可視化して管理しなければ、ネットワークを保護することはできません。IT環境が攻撃を受ければ、それは瞬く間にOT環境にも広がるでしょう。もちろん、その逆もあり得ます。ICS、SCADAシステム、または接続デバイス(バルブ、ゲージ、スイッチなど)に侵入した攻撃者は、重要なインフラやサービス、環境全体、ときには人間の命までをも脅かす物理的かつ破壊的な被害をもたらすおそれがあります。
SANS Institute社が公開したICSのセキュリティに関するインサイトによると、脅威は現在も変化しています。しかし、攻撃の特定が難しい状況は変わらず、基本的なセキュリティ対策の導入や意識の向上も進んでいません。その要因の一部は、OTネットワークにセキュリティ対策を行う習慣がこれまでなかったことにあります。この状態を放置することはもはやできません。企業がOT環境とIT環境の統合にトップダウンで取り組む中で、セキュリティについて考慮すべき3つの重要課題が浮かび上がっています。
レガシーテクノロジーを使用した運用システムは稼働が止められない
パッチ未適用のシステムが攻撃対象になることが再三指摘されているにもかかわらず、ICSにパッチを定期的に適用していない、パッチ適用のポリシーと手順を定めていないといったセキュリティに対する意識が低い企業は、いまだ少なくありません。多くの場合、これらのシステムはかなり以前に開発され、古いバージョンのMicrosoft Windowsに依存しています。ランサムウェア「WannaCry」が猛威を振るったときは、Microsoft社が、攻撃対象になるコンピューター数を減らすため、Windows XPを含め、サポートが終了したオペレーティングシステム用のパッチを提供しました。しかし、産業用システムは稼働し続けなければならないため、多くの現場では脆弱性の修正パッチの適用は検討すらされません。
この課題を克服するには、OTネットワークを可視化して、セキュリティチームが状況を把握できるようにする必要があります。まずは、ルーター、スイッチ、ファイアウォールなどのネットワークデバイスと、現場で使用しているOTの制御システムを監視します。何がOTシステムにアクセスしようとしているのか、OTシステムで何が発生しているのか、セキュリティ担当者がその状況を把握することは、企業全体を保護するためにも役立ちます。Windowsコンピューターにパッチを適用できない場合でも、少なくともリスクを把握しておくことが重要です。
ITチームとOTチーム間でセキュリティに対する意識が違う
ITチームとOTチーム間で大きく異なることの1つは、セキュリティに対する認識の違いです。ITチームは動的な環境で業務を行い、一般的に、財務情報、顧客情報、知的財産、企業情報などのデータを保管するシステムのセキュリティに関心があります。そのため、多くの時間を費やして、ソフトウェアやハードウェアテクノロジーを最新の状態を保ち、システムのパッチ適用、アップグレード、リプレースを行います。一方、OTチームにとって情報セキュリティの優先度は高くありません。OTチームの業務は、現場、プロセスオートメーション、生産システムを管理することであり、関心は物理資産やデジタル資産の安全性と可用性に向けられます。これらの資産の障害は生産ロスにつながることがあり、場合によっては、機器の障害が人命にかかわるおそれもあります。
しかし、皮肉にも、OTチームはセキュリティ対策を後回しにすることが多い傾向があります。それにより、OTチームが最も注目しているシステムの可用性や、パフォーマンスに悪影響を及ぼす可能性があります。企業は、このITチームとOTチームの認識の違いを変えていく必要があります。産業用IoT(IIoT)の普及により、今後、OTチームとITチームの相互協力は不可欠です。企業のセキュリティ体制を改善できるかどうかは、両チームが効果的に協力して相互理解を深め、重要なインフラの信頼性向上とセキュリティ強化に取り組めるかどうかにかかっています。IoT市場の規模とIoTデバイスで障害が発生した場合の影響についても注視していく必要があります。
OT環境のセキュリティに関する知識が不足している
ビジネス運用に影響を与えるリスクを適切に把握できていないか、これらのリスクに適切に対処できていないことも、ICSのセキュリティ強化を阻害する大きな要因の1つです。OT環境のセキュリティに関する知識不足が、この問題に拍車をかけています。さらに、SCADA/ICSインフラのセキュリティを提供するサードパーティベンダーへの依存度が高まり、これらのシステムに対する高い権限でのアクセスをベンダーに許可してしまう状況も、問題を深刻化させています。
ITシステムのみを重視し、産業用制御システム(ICS)、監視制御(SCADA)システム、IIoT資産を対象外にするセキュリティ戦略では、リスクを完全に排除ことはできず、いずれ部外者や内部関係者による脅威にさらされることになるでしょう。デジタル化が進めば攻撃対象はさらに増えるため、対策は急務です。戦略としてOT環境のセキュリティは欠かせません。企業が侵害を受けたときに、すばやく状況や損害を特定し、修復されたかどうかを判断できることが必要です。
ITとOTのセキュリティ目標を達成するための新しい戦略を策定し、コンプライアンス報告を積極的に行う方法について詳しくは、Splunkのホワイトペーパー『Cyber Security for Industrial OT, IT and IoT (産業界のOT、IT、IoTにおけるサイバーセキュリティ)』を参照してください。このホワイトペーパーでは、重要なインフラのセキュリティに関するインサイトを紹介しています。
