セキュリティの「7つの柱」：モダンな脅威から工場を守る実証済み戦略

これは2部構成シリーズの第1部です。来週第2部を公開予定。

工場システムとエンタープライズネットワークをシームレスに統合するメーカーは、ダイムラー・トラック・北米のケーススタディが示す通り、俊敏性、効率、収益性を獲得する。しかし、各接続は攻撃対象領域を拡大する。レガシー産業制御システムはセキュリティやIP接続を考慮せず構築されており、ITとOTが絡み合うとき脆弱性が増大する。一方、ハッカーはますます巧妙化している。

産業オートメーション・制御システム（IACS）は歴史的にプロプライエタリなハードウェアとプロトコルに依存し、標準ネットワークセキュリティツールを拒絶する。企業IPから隔離されていても、最小限または無防備なオープンネットワークの「マシンアイランド」として動作しがちだ。ビジネス俊敏性と成長を制限するようなアイランドをなぜ作るのか、堅牢なシステミックセキュリティが不可欠なときに。ガイダンスとしてバイヤーズガイド：産業制御サイバーセキュリティベンダーへの10の質問を参照されたい。

賭け金は高い。最近のCisco Connected Factoryホワイトペーパーによれば、サイバーセキュリティ遅延はデジタル価値実現を最大5年遅らせ、競合に追い抜かれる余地を与える。Cisco 2016 Annual Security Reportは、産業セクターが最も未成熟なセキュリティプラクティスと最低品質インフラを持つと指摘。この環境では、強固なセキュリティ態勢は単なる防衛策ではなく、持続可能な競争優位性となる。

「最高の攻撃は最高の防御」という格言通り。そして7は多くの文化でラッキーナンバーだが、運は意図的なセキュリティ戦略の代用にはならない。

以下は、工場が効果的に自衛するための「セキュリティ7」アプローチだ。

1. セキュリティポリシーの策定、教育、施行

多くのプラントに正式なセキュリティポリシーが欠けている。誰がどの資産にアクセスできるか、許容される資産利用、インシデント報告メカニズムを定義した明確な文書化ポリシーと手順の策定から始めよ。セキュリティインシデント後のクリティカル生産システム復旧手順を詳細化したインシデント対応計画を含めよ。

2. ディフェンス・イン・デプス（多層防御）セキュリティの実装

各接続が侵害機会を拡大する。単一技術で絶対的保護は不可能。物理、手順、デジタル層（ネットワーク、デバイス、アプリケーション）を組み合わせた包括的防御が必須。全ネットワーク上のデバイスとソフトウェアを棚卸しするマッピング演習から始めよ。エアギャップ戦略も完全ではない——侵害されたUSBドライブが孤立マシンを危険に晒す。

動画：製造業向けディフェンス・イン・デプス

3. 第一防衛線の強化

物理セキュリティが最重要。内部脅威——無許可フロアアクセスなど——が在庫窃盗、データ損失、IP窃盗など最も深刻な被害をもたらし得る。安全な有線・無線産業ネットワークと統合された包括的物理セキュリティシステムでPLC等クリティカル資産を保護。ロック、キーカード、ビデオ監視、デバイス認証、認可、可能な暗号化を活用。

地域飲料ディストリビューターDel Papa Distributingは、テキサス州の27エーカー本社をCiscoソリューションで保護：ビデオ監視、アクセス制御、デジタルサイネージ、温度センサー。IPカメラが周囲、倉庫、オフィス、納品ゲートを監視。制限ドア開放時にライブビデオリンク付きでスタッフへアラート。IP電話ボタンでドア開閉制御可能。

4. デバイスプロファイリングでネットワークアクセス制御

製造現場には従業員のタブレット、電話、その他モバイルデバイスが溢れ、ネットワーク可視性を複雑化する。デバイスとアイデンティティプロファイリングサービスで、中央集権的ポリシーベースセキュリティを通じ、ネットワーク上のすべてのユーザー、デバイス、アプリケーションを監視、認証、制御。

Diebold, Inc.はCisco Identity Services Engine（ISE）を導入し、77カ国87,000デバイスを保護。ISEが全デバイスをプロファイリング、ゲスト/契約者アクセスを合理化、不正接続を拒否——ダウンタイムとセキュリティ侵害を防止。

残りの「セキュリティ7」項目は来週共有予定。さらなる工場セキュリティベストプラクティスは最新ホワイトペーパーで：

今後の製造ブログをメールで受け取る：