重要インフラへのサイバー脅威に緊急対応を：新レポートが産業IoTリスクを警告

世界的安全慈善団体Lloyd’s Register Foundationが新レポート「産業用Internet of Thingsの運用サイバーセキュリティ：課題と機会」を発表しました。BlueVoyantのインターナショナルエグゼクティブチェアマン、Robert Hannigan氏と、オックスフォード大学サイバーセキュリティ教授、Sadie Creese氏によるこの研究は、IoTの急速な拡大が重要インフラを増大するサイバー攻撃の脅威にさらしていると警告しています。

産業用IoT（IIoT）は、エネルギー、輸送、建設環境、物理インフラ、製造セクターのバックボーンにますます組み込まれています。これらの現場では安全が最優先であり、いかに安全でレジリエントなシステムを構築するかを理解することが不可欠です。

レポートは、現在の運用サイバーセキュリティ能力を凌駕する主要な新興リスクを特定し、IIoTコミュニティに対して、特に失敗のコストがシステミックになり得る中で、サイバー攻撃に対するレジリエンスを強化する指針原則の採用を呼びかけています。

運用管理者、取締役、規制当局、調達チーム、サイバーセキュリティ専門家など、さまざまなステークホルダーが異なるリスク管理視点を持っています。レポートは、すべてのグループのサイバー意識を高めるための簡潔な概要を提供します。

核心的な発見は明確です：技術変化のペースが、適切なセキュリティ対策の開発を追い越しています。現在のソリューションは拡張性に欠け、十分にテストされていない、または単に存在しないことが多々あります。レポートは、サイバーインシデントからの回復能力における迫り来るティッピングポイントを指摘し、セキュリティマインドセット、強固な規制、予防的実践を促進する保険フレームワークの必要性を強調しています。

規制、サイバー保険要件、組織のサイバーセキュリティ文化は運用上のギャップを埋められますが、新たな課題にも対処しなければなりません。従来システムは複雑な人間・技術相互作用のマッピングや、異なるリスクフレームワーク間のコミュニケーションにすでに苦労しています。これらの問題はIIoT採用の拡大に伴いさらに深刻化し、クリティカルな能力ギャップを生み出します。

ステークホルダーがこの状況をナビゲートするのを助けるため、レポートは以下のアクションを推奨しています：

1. リスク管理戦略を計画する際、常に潜在的な危害を評価する。
2. IoTデバイス使用の増加に伴い、セキュリティ制御がどう劣化するかを評価する。
3. 定期的なレビューではなく、継続的かつニアリアルタイムの評価手法を導入する。
4. サプライチェーンにおけるIoT使用を考慮し、サプライヤーの不備を直接的なセキュリティリスクとして扱う。
5. フォレンジックレディネスプロセスを開発する。
6. 将来シナリオ分析をリスク評価に組み込む。
7. IoT標準とベストプラクティスに関するスタッフトレーニングに投資する。
8. セキュリティ監視データを共有するデバイスインターフェースプロトコルで協力する。

レポートの著者は、BlueVoyantインターナショナルエグゼクティブチェアマン（元GCHQ長官）のRobert Hannigan氏と、オックスフォード大学コンピュータサイエンス学部サイバーセキュリティ教授のSadie Creese氏です。

著者について

BlueVoyantインターナショナルエグゼクティブチェアマン（元GCHQ長官）のRobert Hannigan氏は、「過去数年間、世界中で重要インフラへの意図的攻撃が増加している。産業IoT採用が拡大し続ける中、明確な行動とガイダンスが不可欠だ」と強調します。レポートは課題を整理し、サイバーインシデントから守る解決策を提案しています。

オックスフォード大学サイバーセキュリティ教授のSadie Creese氏は、「拡大し続ける接続デバイスネットワーク全体でセキュリティを保証するレジリエントなインフラ構築は喫緊の課題だ。リスク制御パフォーマンス、責任モデル、IoT市場への実践的インパクトに関する更なる研究を行い、IIoTサプライチェーンへの信頼構築のため国際協力を促進しなければならない」と付け加えています。