【セキュリティ対策ソリューション】
グローバルで採用される 先進OTサイバーセキュリティソリューション
1．はじめに
インダストリ4.0，IIoT，デジタルプラントはいずれも，製造業の生産現場におけるビッグデータとその分析に関する先進的でタイムリな話題である。ただ，これらプラントのスマート化を進めるには，役員室から生産現場まで広範囲に影響を及ぼす難しい課題がある。それは，OT（Operational Technology）のサイバーセキュリティである。
製造業は主にIT（Information Technology）ベースのアプローチによって，プロセス制御システムとプラント情報システム（ISA Level 0-3の領域）のセキュリティを保護してきた。しかし，最近のサイバー攻撃はOTを標的としているものもあり，従来のITベースの手法だけではOTシステムのセキュリティ対策は不十分である。また，多くの工場では生産プロセスと安全性に直接関与するOTシステム自体の保護には十分な投資を行っていないケースが多く，最新の脅威に対抗することは難しくなっている。
本稿では，先進のOTサイバーセキュリティソリューションとして，グローバルで採用されているHexagonが提供する「PAS Cyber Integrity」を紹介する。また，OTサイバーセキュリティ対策の進め方についても解説する。
2．サイバー攻撃とその脅威
2010年6月に発見された世界初の制御システムを標的としたマルウェア，Stuxnetに始まり，2017年12月には安全計装システムを標的としたマルウェア，HITMANが発見される等，サイバー攻撃はITシステムだけでなくOTシステムも対象となる時代に突入している。また，最近では2021年5月に米国の燃料パイプライン最大手の企業がサイバー攻撃によりランサムウェアに感染し，6日間の業務停止というインシデントも発生している。
現時点では日本国内での重大インシデントは発見されていないが，「重大インシデントが未発見＝現状の対策で十分」というわけではない。サイバー攻撃の手法は日々高度化，複雑化しており，拡大し続ける脅威に対して，先進のOTサイバーセキュリティ技術を導入することは必至となっている。
3．OTサイバーセキュリティ対策への3ステップアプローチ
様々なサイバー攻撃の脅威が目前に迫っていることもあり，OTサイバーセキュリティ対策にはマネジメント層も興味を持っている。しかし，残念なことにOTサイバーセキュリティは，ITサイバーセキュリティよりも成熟していない。ほとんどの企業はOT資産のインベントリ（資産構成表）を改善する初期段階にあり，リスクの特定，優先順位付け，対策の実施まで進んでいないケースもある。
Hexagonは，OTサイバーセキュリティ対策を，「資産の可視化」，「脆弱性の把握」，「包括的なOTセキュリティとリスク管理」という3つのステップで進めることを推奨している。（図1）
●［ステップ1］：資産の可視化
正確かつ詳細なOT資産のインベントリを取得することは，OTサイバーセキュリティの成熟度を向上させるための基礎となる。また，脆弱性とリスク管理，社内外のコンプライアンス要件への対応，潜在的な攻撃可能範囲の把握，インシデントの調査などの前提条件となるものである。
すべてのITおよびOT資産（ISA Level 0-3）が対象であり，ITおよびOTシステムのハードウェア，ソフトウェア，I/Oカード，ファームウェア，アプリケーション，およびあらゆるカスタムデータの完全なインベントリを可視化する必要がある。また，各システムがどのように接続され，どのように通信を行っているかも可視化する必要がある。
●［ステップ2］：脆弱性の把握
OT資産の包括的なインベントリを作成したら，次のステップとして脆弱性の管理を行う。既知の脆弱性を特定し，是正することは，重要インフラのリスクを低減する最善の方法の1つである。
脆弱性は脆弱性対策情報データベース（JVN）で公表された情報や，各システムベンダから提供される情報を収集し，企業への影響を判断する必要がある。しかし，OTシステムはマルチベンダ，複数世代の機器で構成されていることもあり，OTシステムに多くの既知の脆弱性があっても，各企業は脆弱性の特定に苦労することが多い。
●［ステップ3］：包括的なOTセキュリティとリスク管理
詳細かつ正確なOT資産のインベントリ，運用上の脆弱性とセキュリティパッチの管理を行った上で，成熟度の最終段階として，包括的なOTセキュリティ基準，構成管理，ポリシー管理，コンプライアンス管理が必要である。
脆弱性，セキュリティパッチの適用有無を管理し，ITおよびOTシステムの構成を最新に保ち，脆弱性の修正とインシデント対応，リスク分析，コンプライアンス管理を継続して行わなければならない。インシデントが発生した場合には迅速なリカバリを行うだけでなく，サイバー攻撃に関するデジタル・フォレンジック（情報の収集・分析）も必要となる。
これら「資産の可視化」，「脆弱性の把握」，「包括的なOTセキュリティとリスク管理」の3ステップを人の手だけで進めることは非常に困難であり，OTサイバーセキュリティ対策を高度に維持するにはシステム化が必要である。
4．Hexagonの提供するOTサイバーセキュリティ対策ソリューション
前章でも述べたように工場の重要インフラであるOTシステムを保護するには，工場内のすべてのOTおよびITエンドポイントの完全なインベントリを特定して追跡する必要がある。この包括的なインベントリがあって初めて，工場を不正な変更から保護し，コンプライアンスを達成し，リスクを軽減し，最終的にOT資産を保護するとともに，プロセスの安全性の向上を確実にすることができる。
しかし，マルチベンダ，複数世代で構成された工場内のOTシステムの監視と管理を一元化することは容易な業務ではない。多くの企業ではOTシステムのインベントリとその構成データを手作業で収集し管理しているが，この作業には相当な時間とともに，専門性を有するエンジニアを必要とする。
さらに，従来のITベースのセキュリティツールでは，ISA Level 0およびLevel 1（センサ，フィールド機器等）に対するアクセスが制限されており，インベントリ作成に必要な詳細な構成データが得られず，OTシステムのインベントリを完全に収集・管理することはできない。包括的なインベントリがないことで，OTシステムはサイバー攻撃の脅威にさらされ，不正な変更の検出，脆弱性とリスクの特定，規制やセキュリティポリシーへの準拠の維持が困難になる。
Hexagonが提供する「PAS Cyber Integrity」では，OT資産のインベントリ，脆弱性，構成，コンプライアンス，バックアップ，リカバリ，リスク分析などの管理を包括的に行うことができる。マルチベンダ，複数世代のOT資産にも対応しており，拡張性にも優れ，プラットフォームに依存しない監視・管理の一元化を実現している。
Cyber Integrityは次の6つの機能によってOTサイバーセキュリティ対策を実現している。（図2）
（1）インベントリ管理
ITおよびOTシステムのハードウェアとソフトウェア（構成データ，制御プログラム，I/Oカード，ファームウェア，アプリケーション，およびカスタムデータを含む）の完全なインベントリを維持する。また，ISA Level 0から3までのITおよびOT資産に関する変更を監視することで，インベントリの最新化を自動的に行う。
（2）脆弱性管理
Microsoftのセキュリティパッチや各システムベンダからの情報提供，米国の産業制御システムサイバー緊急対応チーム（ICS-CERT）からの公開情報をもとに，ITおよびOT資産への適用の必要性と脆弱性を自動的に評価する。（図3）
ITおよびOTシステムの既知の脆弱性に関連した深刻度，対策の老朽化，接続経路からサイバー攻撃による攻撃可能範囲を認識することができ，脆弱性によるリスクが企業に与える影響を明らかにし，リスクベースの意思決定を行うことができる。（図4）
（3）構成管理
制御プログラム，端末インベントリ，機器構成，電子ファイル，グラフィックファイルに対する未承認の変更を監視する。資産の価値やリスクに基づいたワークフローによって改善活動を自動化し，運用，コンプライアンス，サイバーセキュリティの対応を促す。また，産業用制御システムのサイバーセキュリティ，コンプライアンス，ガバナンス，運用変更の監視のための構成基準を確立する。
（4）コンプライアンス管理
社内および各種規制（NIST，ISA/IEC 62443，NERC CIP，ISO 27001/2，NIS指令等）のコンプライアンス要件を満たすための監査とレポートを提供する。インベントリ，アラート，ユーザ認証イベント，構成詳細，変更履歴など，関連性のある実用的な情報を適切な人に適切なタイミングで提供する。（図5）
（5）バックアップとリカバリ
最悪のシナリオが発生した場合，事前に取得されたコンフィギュレーションのバックアップから制御システムの運転を迅速に復元することができる。また，サイバー攻撃に関するデジタル・フォレンジックもサポートする。
（6）リスク分析
ITおよびOTエンドポイントに対するサイバーセキュリティリスクを特定し，マルチベンダのシステムセキュリティ状況を継続的に測定し，リスクの影響範囲を可視化する。
これら6つの機能の内，データの収集・分析は自動で行われるため，専門性を有するエンジニアは高度な分析や対策の検討に時間を使うことができる。これによって，手作業だけでは実現できなかった高度なOTサイバーセキュリティ対策と操業管理の両立が可能となる。（図6）
5．OTサイバーセキュリティ対策ソリューションの導入事例
日本国内ではまだ導入事例はないが，Cyber Integrityは世界各地の数百の拠点で導入されている。ここでは，フォーチュン500企業の1つである米国を拠点とした独立系石油精製企業の導入事例を紹介したい。
2014年，この製油所では，操業中のインフラに対する脅威の増大に対処するため，より厳格でシステム化されたOTサイバーセキュリティのアプローチを導入することを決定した。OTシステムのセキュリティを向上させるために社内に設置されたチームは，ITおよびOTのセキュリティ標準とベストプラクティスを調査し，社内のOTサイバーセキュリティに対する管理標準とポリシーを策定した。
この調査によって，既存のOTセキュリティリスクを可視化し，新しいOTサイバーセキュリティポリシーと業界標準への準拠を追跡できるソリューションが必要であることがわかった。また，既存の手間のかかる手動のOT資産インベントリデータ収集プロセスを削減または廃止し，OTシステムの脆弱性のリスク評価を迅速化し，OTシステムの構成と変更管理の改善を通じて生産と安全のリスクを低減することも必要であった。
この製油所では，新しいOTサイバーセキュリティプログラムの基盤として，PAS Cyber Integrityを選択した。このインベントリによって，プロセス制御ネットワーク上で動作するマルチベンダのOTシステム資産にインストールされているすべてのハードウェア，ソフトウェア，I/O カード，ファームウェア，構成データ，制御プログラムを詳細に可視化することができた。
その後，Cyber Integrityの脆弱性評価機能を導入した。Cyber Integrityを導入する前は，ICS-CERT が公表する「重要」または「高」の脆弱性によって OT 資産が危険にさらされているかどうかを判断するには，数ヵ月かかることがあった。また，脆弱性の特定と是正には時間がかかり，不正確または不完全なこともよくあった。Cyber Integrityの導入後，チームはすべての製油所における脆弱性の潜在的な影響を数分で評価できるようになった。
さらに，Cyber Integrityは，サイバーセキュリティを向上させ，OTサイバーリスクを低減するだけでなく，インベントリ，脆弱性評価，およびコンプライアンス監査のデータ収集のための手動プロセスの削減または廃止によって，過去5年間におけるプログラムコストを数百万ドル削減することに成功した。
6．おわりに
重要インフラや製造業におけるサイバーリスクはかつてないほど高まっており，デジタル化プロジェクトやリモートワークにより攻撃対象が拡大している。日本国内では海外に比べてOTサイバーセキュリティ対策が遅れているが，サイバーセキュリティ対策は各社のDX化を進めるうえで必要であり，グローバルな脅威に対抗するためにはグローバル標準の対策を採用しなければならない。また，対策は一度実施して終わるものではなく，継続して対策を改善していく必要もある。
本稿で紹介した内容が，各社のサイバーセキュリティ対策チームにとって参考になれば幸いである。
注）本文中のサービス名，製品名は，各社の商標または登録商標である。
〈参考文献〉
1）PASホワイトペーパー，PAS Cyber Integrity - OT Cybersecurity Maturity “A three-step approach to OT cybersecurity”（2021）
2）PASケーススタディ，Refiner Improves OT Cyber Risk Measurement & Management（2021）
3）Hexagon PPMホームページ
4）PASホームページ