ICSとIIoTの増大する脅威の状況への取り組み

接続されたデバイスとセンサーの急増により、すべての業界と企業に新たに増大するセキュリティの課題がもたらされたことは周知の事実です。問題は、デバイスやセンサーがデジタル接続されているかどうかではなくなりました。今日の焦点は、生成された運用データに誰がアクセスできるか、およびデバイスまたはセンサーが安全であることを確認する方法に焦点を当てる必要があります 。これは、重要なインフラストラクチャの基盤を形成する統合システムにとって不可欠です。

今週、ジョージア州アトランタで開催されたSecurityWeekのICSサイバーセキュリティ会議で講演することができました。この会議は、IIoTの最前線にいる人々の集まりとして機能しました。SCADAシステム、プラント制御システム、プログラマブルロジックコントローラー（PLC）などの要素を含む産業用制御システム（ICS）に対するサイバー脅威に対処するオペレーターと情報技術パートナーです。 ）。偶然にも、今週の全国サイバーセキュリティ意識月間活動は重要なインフラストラクチャを保護することの重要性に焦点を当てており、私の仲間の会議出席者は、防衛、発電、送電および配電、水道事業、化学薬品、石油など、このインフラストラクチャを支える多くの業界を代表しましたガス、パイプライン、データセンター、医療機器など。

接続されるセンサーとデバイスの数が増えると、前例のない深さと幅の攻撃対象領域が作成されます。 IIoTは、現在ICSを駆動するデジタルセンサー、コントローラー、マシン、ソフトウェア、モバイルデバイス、および社会の基盤を形成するインフラストラクチャで構成されていることを考えると、これらの接続を保護するための課題は飛躍的に増大しています。

しかし、このセキュリティの課題には追加の現実があります。デジタル産業環境のライフサイクルの不可欠な部分であるサードパーティのエコシステムに対処するための本質的な必要性。このエコシステムには、ICS / IIoTが統合された情報通信技術（ICT）を含む、ICSおよびIIoTを構成するコンポーネントのメーカー、ディストリビューター、およびサービスプロバイダーが含まれます。

重要なインフラストラクチャの保証を提供するために、このサードパーティのエコシステムを保護するための重要なニーズを入力してください。

サードパーティのエコシステムの保護

制御システム、デバイス、センサーは本質的に可変であり、特殊なデータフィードと操作をカスタマイズできます。たとえば、エネルギーセクターには、独自の動作許容誤差とピーク需要メトリックを備えた制御システムがあります。これらの要因は、接続された医療提供環境では目立たない場合があります。さらに、これらの多様なシステム、センサー、デバイスの管理と制御も異なります。

EE Timesの最近の記事によると、なぜIIoTはサイバー攻撃に対して非常に脆弱なのですか？このセキュリティ脅威の「完璧な嵐」を推進している重要な要素の1つは、「独自の非独占的な複数のベンダーのOTおよび制御システムのパッチワーク」です。リモートターミナルユニット（RTU）、SCADAmaster（監視制御コンピューター）、およびプログラマブルロジックコントローラー（PLC）にアクセスできるヒューマンマシンインターフェイス（HMI）コンピューターを含む更新可能なソフトウェア。」一見無限の構成のような環境で、どのようにセキュリティを管理しますか？

ICSおよびIIoTデバイスおよびセンサーベンダーのサードパーティエコシステムに対処する場合、セキュリティに対処するための5つの重要なステップを提案します。

ステップ1： このエコシステムを構成しているのは誰か、彼らが提供しているもの、そしてそれらがICSまたはIIoTのセキュリティにどのように影響するかを知ってください。

ステップ2： オペレーティングシステムを構成するソリューションにセキュリティを組み込むために、エコシステムメンバーが何をしているのかを理解します。

ステップ3： どのデバイスが他のどのデバイスと通信するかを制御するアーキテクチャを展開します–セグメンテーションと最小特権アクセスの原則を活用します。

ステップ4： エコシステムのサードパーティがセキュリティ許容範囲内で動作しているかどうかを評価します。

ステップ5： ICS、IIoT、およびそのサードパーティのエコシステムに影響を与えるポリシー、標準、およびガイダンスを認識し、それらに情報を提供します（例：ANSI / ISA-62443-4-1-2018、「産業用自動化および制御システムのセキュリティパート4-1 ：製品セキュリティ開発のライフサイクル要件; "US NISTIRドラフト8228、" IoTサイバーセキュリティとプライバシーリスクの管理に関する考慮事項; "NERC CIP 013-1、"バルク電気システム（BES）の信頼性の高い運用に対するサイバーセキュリティリスクを軽減するためBESサイバーシステムのサプライチェーンリスク管理のためのセキュリティ制御を実装することによって」）

公的部門と民間部門のセキュリティに取り組むための新たな取り組みが進行中です。たとえば、米国国土安全保障省は、ICTサプライチェーンタスクフォースの立ち上げの最終段階にあります。サードパーティのエコシステムの影響と、重要なインフラストラクチャをサポート、提供、運用するデジタルデバイスのライフサイクルを通じたセキュリティの必要性に対するこの認識は、私に希望を与えてくれます。重要なインフラストラクチャを含むさまざまな業界にわたる官民パートナーシップを通じて、サードパーティのエコシステムの増加に伴う拡大し続ける脅威の状況のセキュリティ上の課題に一丸となって取り組むことを願っています。これは大きな仕事になるでしょうが、正しい方向への歓迎すべき動きです。

これまで以上に、サードパーティのエコシステムを構成するのは誰で何であるかを知る必要があります。このエコシステム全体の包括的なセキュリティが最も重要です。これは、重要なインフラストラクチャのICSオペレーターだけでなく、すべての業界のIIoT接続デバイスのユーザーとメーカーにとって特に重要です。良いニュースは、公的部門と民間部門が協力してこの課題に直接立ち向かうことです。私たちの集団的な成功を確実にするために、参加し、意識を保ち、自分の業界内と他の業界全体の両方で協力してください。

重要なインフラストラクチャ、ICS、およびIIoTの保護に関する追加資料：

• デジタル時代の重要なインフラストラクチャの保護
• 重要なインフラストラクチャを保護するための基盤を築く重要なインフラストラクチャのセキュリティに光を当てないでください