産業用サイバーセキュリティにおける意思決定プロセスを円滑にする2つのポイント

HOME技術コラム産業用サイバーセキュリティにおける意思決定プロセスを円滑にする2つのポイント

2021 .12.1

産業用サイバーセキュリティにおける意思決定プロセスを円滑にする2つのポイント

効果的なサイバーセキュリティ管理は、全ての企業にとって不可欠なもので、参照すべき規格やガイドラインが数多く存在します。今回のコラムでは、産業用制御システム(ICS)用のサイバーセキュリティ管理システムの構築に必要となる、明確なフレームワークや規格に基づいた取組事項をご紹介します。ネットワーク構築に多層防御アプローチを取り入れ、信頼できるベンダーからのセキュアバイデザインソリューションを採用することで、ICSのサイバーセキュリティにおける意思決定プロセスを簡略化することができます。

サイバーセキュリティ管理システムの重要な要素

サイバーセキュリティ管理システム(CSMS)の重要な要素を理解するため、産業用制御システム(ICS)の保護に包括的かつ幅広いアプローチを提供する工業規格IEC 62443の詳細を見てみましょう。この規格は、アセットオーナーやサプライチェーンマネージャ、フィールドアプリケーション分野の製品開発チームに豊富な情報を提供しますが、自社のICSサイバーセキュリティ管理システムに必要な具体的な取組事項を選び出すのは難しいかもしれません。ここでは、IEC 62443に提示されている、CSMS開発プロセスの重要点をご説明します。

IEC 62443に提示されている重要な要素	取組事項
1. CSMSプログラムの開始	経営陣の承認を得るのに必要な情報の収集
2. ハイレベルなリスク評価	リスクの優先順位の確認と評価
3. 詳細なリスク評価	脆弱性の詳細な技術評価の実施
4. セキュリティポリシー、組織、認識の構築	セキュリティポリシー、関係組織、従業員の認識の構築
5. 対策の選択と実施	リスクの軽減
6. CSMSの維持	CSMSが効果的かつ組織の目標に有効であることを保証

IEC 62443に示されているように、アセットオーナーやシステムインテグレータ、製品サプライヤがサイバーセキュリティ管理システム全体において重要な役割を果たしています。特に、規格ではアセットオーナーが自社のリスク選好度に従い、リスクに対するサイバーセキュリティ管理システムの防御能力を分析、取組、監視そして改善することを推奨しています。さらに、IEC 62443はソリューションプロバイダやシステムインテグレータが提案する、許容可能な製品やシステムのセキュリティレベルを維持するため、製品ライフサイクルを通してのセキュリティ開発を推奨しています。

図1: 製品ライフサイクル例

上記のフレームワークでは、下記の2つの重要ポイントが示されています。

・ネットワーク構築に多層防御アプローチを取り入れること

・アフターサービスと実証されたセキュリティ対応プロセスを含む、セキュアバイデザインソリューションを提供する業者を選択すること

これらに従うことで、セキュリティの脆弱性からデバイスを保護し、セキュリティリスクをより上手く管理することができます。

多層防御ネットワークの構築

よく見られるICSの弱点の1つが、ネットワーク上の全デバイスが必要でないにもかかわらず互いに通信できるフラットネットワークです。フラットネットワークアーキテクチャは、ネットワーク上の情報管理の欠如を引き起こし、脅威伝搬と通信状況の悪化に繋がります。

軍事戦略に習い、アセットオーナーはネットワーク構築の際、多層防御アプローチを採用すべきでしょう。軍での多層防御とは、複数のレベルもしくはレイヤの防御を施し、侵入者の進行を食い止めることを意味します。同様に、多層防御ネットワークは、複数のゾーンと経路に区分され、それぞれのリスクに応じたセキュリティレベルが設定されます。

セキュリティレベルの評価

多層防御戦略で重要なのが、ゾーンと内部製品の防御手段を考慮することです。IEC 62443では、ゾーン、経路、チャンネル、そして製品に適応されるセキュリティレベルを紹介しています。セキュリティレベル(SL)は特定のデバイスを調査し、システム内のどこに設置するかによって、どの位のレベルのセキュリティが必要か判定することで設定されます。セキュリティレベルは1から4の4つのレベルに区分されています(規格ではレベル0についても言及されていますが、当てはまることは殆どありません)。

・セキュリティレベル1(SL1): 偶発的な露出

・セキュリティレベル2(SL2): 小規模なリソースによる意図的な攻撃

・セキュリティレベル3(SL3): 適度なリソースによる意図的な攻撃

・セキュリティレベル4(SL4): 大規模なリソースによる意図的な攻撃

リスクとコストのバランス

ゾーンのセキュリティレベルが決定したら、ゾーン内のデバイスがセキュリティレベルを満たすことが可能か分析する必要があります。不可能な場合は、求められるSLを達成するための対策を考えなければなりません。対策には、ファイアウォールなど技術的なもの、ポリシーや手段など管理上のもの、もしくはロックされたドアなど物理的なものがあります。

全てのゾーンや経路、デバイスにレベル4が必要というわけではありません。アセットオーナーやシステムインテグレータは、システム内の各ゾーンや経路に応じて、適切なレベルを設定できるよう、リスクを詳細に分析する必要があります。つまり、アセットオーナーやシステムインテグレータはリスクとコストのバランスを考慮する必要があるのです。

強化されたコンポーネントの選択

セキュリティレベルのコンセプトは、システム構築に使用されるコンポーネントにも適用されます。実際に、IEC 62443-4-2では4タイプのコンポーネントに対するセキュリティ要件を定めています。

・ソフトウェアアプリケーション

・組込みデバイス

・ホストデバイス

・ネットワークデバイス

さらに、IEC 62443-4-2は各コンポーネントタイプに対し7つの基本要件も定めています。

・識別および認証管理

・使用制御

・システム保全

・データの機密性

・データフロー制限

・イベントへのタイムリーな対応

・リソースの可用性

幸運にも、Bureau Veritas社や ISA Secureのような機関でIEC 62443-4-2の認証を受けることができます。このような機関を利用すれば、必要なセキュリティレベルを決定し、要件に合う認証商品を選択するだけで良く、手順を簡略化することができます。

ハードニングとしても知られるこのコンポーネントレベルの安全性の保障によって、多層防御戦略の一環として、システムにさらなる予防策を追加することができます。

アフターサービスを提供するセキュアバイデザインサプライヤの選択

セキュリティが強化されたデバイスの選択に加え、アセットオーナーはサプライチェーン管理にも十分注意を払わなければなりません。実際に、アフターサービスや脆弱性への対応は、デバイスがどのように設計・製造されるかと同じくらい重要な項目です。サイバーセキュリティ管理システムに使用されるコンポーネントは、複数の業者から納入されることがよくあります。1つの業者のデバイスに欠陥があった場合、システム全体の機能も損なわれる危険性があるため、デバイスレベルのセキュリティに加え、製品ライフサイクルを通してサポートや品質管理、パフォーマンスの検証、脆弱性への対応など様々なサポートを含むサービスを提供する業者を選択することが重要です。

つまり、全製品ライフサイクルにおいてセキュアバイデザインである必要があるのです。IEC 62443にはIEC 62443-4-1というサブセクションがあり、製品ライフサイクル(構築・維持・廃止)を通しての’セキュアバイデザイン’を保証するための要件が定められています。これらの要件は一般的にパッチ管理やポリシー、手段、既知の脆弱性に関するセキュリティ通信に必要なサポートと関連付けられています。製品認証用のIEC 62443-4-2同様、ソリューションプロバイダが適切なセキュリティ管理方法に従い、IEC 62443-4-1の基準を順守していることを証明でき、アセットオーナーは意思決定プロセスを簡略化できます。

さらに、セキュリティ脆弱性からの製品保護に積極的に取り組み、Moxa Cyber Security Response Team(CSRT)のようなチームを通して、ユーザーのリスク管理をサポートする信頼できる業者を選ぶことで、新しい脆弱性や脅威が発生した場合でもサプライチェーンの安全性を確保することができます。

結論

世界中の重要なインフラストラクチャを維持する産業用制御システムの保護は、容易なことではありません。産業用ネットワーク用の包括的なサイバーセキュリティ管理システムに関するガイドラインや規格は数多く存在しますが、システムおよびアプリケーションを構築する際には、アセットオーナーやシステムインテグレータ、製品サプライヤが共同で取り組む必要があります。ネットワーク構築に多層防御アプローチを採用し、脆弱性に積極的に対応するセキュアバイデザインサプライヤを選択することは、サイバーセキュリティ管理システム構築の複雑性の簡略化に有効です。

IEC 62443についてより詳しく知りたい方は、こちらよりホワイトペーパーをダウンロードしてください。また、Moxaのサイバーセキュリティソリューションに興味のある方は、弊社営業までお気軽にお問い合わせ下さい。※ダウンロードには会員登録が必要です。