「運用的対策」の進め方

前回に引き続き、経済産業省（以下、経産省）が策定した「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」に付録のチェックリストをベースに、工場セキュリティ強化のための具体策を４回に分けて考えていく。第２回となる今回は、システムを中心としたセキュリティ運用の在り方について「運用的対策」に焦点を当て考察する。

重要なのは継続的なリスクの抑制

　工場のセキュリティ対策は、技術的な仕組みを導入するだけでは不十分であり、運用を通じて継続的にリスクを抑制することが求められる。経産省のガイドラインでは、サイバー攻撃への耐性を高め、安定稼働させるために、運用面で取り組むべき13項目が整理されている（図）。それらを満たすために必要な対策を具体的に説明する。

13項目を満たすために必要な具体策

■セキュリティポリシーの策定
　関連：[2-2][2-3][2-9][2-10][2-11]
　工場に特化したポリシーを策定する必要がある。インターネット利用、USBメモリーの取り扱い、ID／パスワード、機器持ち込みなどに対してだ。現場の責任者を巻き込み、実態に即したルールにすることが重要だ。

■資産管理
　関連：[2-6][2-7]
　PLC※1、産業用PCなどの制御機器は更新の周期が長く、把握漏れが起きやすい。常時稼働でないものや現場判断で設置したものなども存在するため、全体把握が難しい傾向にある。解決策としては、図面などを用いた定期的な棚卸しや、資産検出ツールの活用がある。
　資産情報は、脆弱性管理やマルウェア対策、バックアップなどの基礎情報となる。

■脆弱性管理
　関連：[2-8]
　制御機器の場合、メーカー保証対象外、保守期間終了などの理由でセキュリティパッチの適用が難しいものが多く、ファイアウォールやIPS※2を用いてネットワーク分離などを行う必要がある。

■リスクアセスメント
　関連：[2-1]
　サイバー攻撃の侵入経路は、インターネットやIT環境、持ち込みPC、記録媒体などに限られるため、まずは、それらを起点に脅威ベースでリスクを洗い出す。その上で「脅威×脆弱性×影響度」でスコア化し、対策の優先順位を明確にする。

■ネットワーク管理
　関連：[2-6]
　ネットワークの構成情報は、ほかの対策の前提として必要になる。そのため、定期的な確認・棚卸しを行わなければならない。

■アクセス管理
　関連：[2-7][2-11]
　設定変更や情報持ち出しなどの不正操作を防ぐため、ID管理と物理アクセス管理が必要だ。アカウントの共有禁止、異動者・退職者のアカウント削除、認証媒体の管理を徹底するとともに重要エリアへの入室制限や記録を徹底したい。

■マルウェア対策
　関連：[2-2][2-9][2-12]
　制御機器は、メーカー保証対象外、適用対象外OSなどの理由によりマルウェア対策ソフトウェアが適用できない場合もある。その場合、ネットワーク分離、USBメモリー型のマルウェアスキャン、ホワイトリスト型プログラム起動制御を考える必要がある。また、外部保守員が持ち込む保守用PCやUSBメモリーに対して、マルウェアチェック義務化や検疫も必要だ。

■ログ管理
　関連：[2-4][2-5]
　各種操作ログや通信ログ、入退室ログなどを取得しておくことが、さまざまな場面で役に立つ。例えば、障害発生時、故障なのか、人的ミスなのか、サイバー攻撃なのか、ログの相関分析で切り分ける。

■インシデント対応
　関連：[2-4][2-5]
　障害だけでなくサイバー攻撃発生時の手順・体制も明確にしておく必要がある。故障や人的ミスとサイバー攻撃との切り分け、マルウェア感染時の隔離、縮退運転や生産ライン停止判断などだ。これらの手順・担当者・判断者を明確にしておかなければ、有事の対応に苦慮する。FSIRT※3相当の組織を構築し、ベンダーやCSIRT※4など、ステークホルダーとの連携が重要だ。

■バックアップ
　関連：[2-13]
　サイバー攻撃を100%防ぐことは難しい。そのため、PLCや産業用PCなど個々の資産の特性を考慮し、すぐに戻せるバックアップや代替機器などを準備しておく必要がある。

継続できる運用の重要性

　これらの項目は、どれも継続できる仕組みづくりが鍵となる。どれか一つを実施すればよいのではなく、関連性を考慮して実施する必要がある。技術的対策の有効性を高めるためにも、現場に理解してもらい運用を回すことで、工場のセキュリティレベルは着実に向上する。そのためには、現場の立場になって現場に通じる言葉で啓発や訓練を継続的に実施することが重要だ。

〈参考〉
経済産業省「工場システムにおけるサイバー・フィ ジカル・セキュリティ対策ガイドライン」
https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html

※1 Programmable Logic Controller：工場などにおける機械の動きを制御する。
※2 Intrusion Prevention System：不正侵入防御システム。
※3 Factory Security Incident Response Team：工場内で発生するセキュリティインシデントに対して、専門的に対応する組織。
※4 Computer Security Incident Response Team：セキュリティ問題に専門的に対応する組織。