ICSセキュリティチェックリスト：産業制御システムを守る8つの実証済みステップ

産業制御システム（ICS）は、原子力プラントから石油精製所まで、重要インフラを統括します。サイバー攻撃は運用を停止させる可能性があり、従来のデータ漏洩が主にITデータストアに影響するのとは異なります。

OT（運用技術）デバイスとネットワークは従来のITと異なるため、それらを守るには専用のアプローチが必要です。以下は、業界プロフェッショナルがリスクを低減し、レジリエンスを構築するために採用できる8つのエビデンスベースの原則です。

1. 資産を棚卸し、理解する

多くの施設では、どの設備があるかを明確に把握していません。Trend Microのインフラストラクチャ戦略担当VP、Bill Malik氏は「ほとんどの組織が、どの技術が導入されているかを知らない」と指摘します。

運用技術資産にはPLC、SCADA、DCSシステムが含まれ、しばしば非ネットワークデバイスや1960〜70年代のレガシー設備の裏に隠れています。サーバーやIPアドレスのカウントだけではこの複雑さを見逃します。DeloitteのSean Peasley氏によれば、OT棚卸しは専門ベンダーによるパッシブな手法で、プロセスを妨げずに実施可能です。

2. 信頼できるフレームワークを採用する

ISA/IEC 62443、ISO/IEC 27001、NISTサイバーセキュリティフレームワーク、NERC CIP、産業制御システム向けMITRE ATT&CK、UL 2900などの標準は、ITとOTを橋渡しする共通言語とコントロールを提供します。

自社環境に適したフレームワークから始めてください。これらの標準間の重複が、包括的なサイバーセキュリティマインドセットをもたらします。

3. サイバー災害復旧計画を策定する

フレームワークは、検知、対応、復旧に関する平易な言葉でのガイダンスに翻訳されるべきです。Haward-Grau氏は実行可能な計画の必要性を強調します：「いかに特定し保護するか？ いかに検知し、対応し、復旧するか？」

4. サイバー保険への投資

多くのレガシー資産はパッチ適用できないため、保険会社は補償的コントロールを要求することが多々あります。個々のデバイスではなく、産業プロセスをカバーしてください。堅牢なセキュリティ態勢でも除外事項があることを認識しておく必要があります。

5. 最小権限の原則を適用する

OTネットワークとデバイスへのアクセスを制限します。ファイアウォールで不要なトラフィックを遮断し、許可プロセスをホワイトリスト化し、リモートメンテナンスには固有の認証情報を強制します。Malik氏は、ハードニングされていない汎用PCの使用を警告します。

6. バグバウンティプログラムの検討

バグバウンティは、特にIIoTと5Gの拡大に伴い、脆弱性を早期に特定するのに役立ちます。しかし、未パッチのレガシーシステムを抱える組織を圧倒する可能性があります。戦略的に活用してください。

7. サードパーティリスクを管理する

Peasley氏によれば、大企業は数千のサプライヤーとサブコンポーネントに直面します。正式なサードパーティリスクプログラムは、ソフトウェア、ハードウェア、組み込みシステムをサプライチェーン全体で評価する必要があります。

8. 安全プログラムの実践を活用する

プロセス危険分析のような従来の安全プロトコルをサイバーセキュリティに拡張できます。米国化学工学会は、これらの分析にサイバーリスクを統合することを推奨しています。安全装置システムは脆弱になり得ますが、依然として不可欠な防御層です。サイバーレジリエンスのための再設計なしに後付けすることは推奨しません。

これら8つのステップに従うことで、産業オペレーターは防御を強化し、ベストプラクティスに準拠し、ミッションクリティカルな運用を進化するサイバー脅威から守ることができます。