産業オートメーションセキュリティ：なぜ最優先事項でなければならないか

COVID-19の影響で、産業オートメーションがこれまで以上に加速しています。このシフトが効率を高める一方で、ミッションクリティカルな運用を危険にさらす新たなセキュリティリスクももたらしています。

「オートメーションと産業制御システム（ICS）において、急ぐことは単なる無駄以上の結果を招く」と、Analyst SyndicateのアナリストDan Miklovic氏は警告します。「破滅的、甚至は致命的な結果を招きかねません。」

歴史的に、人的監視がクリティカルシステムを稼働させてきました。ONE TechのソリューションエンジニアリングディレクターChris Catterton氏は、自動監視が手動チェックを上回る性能を発揮することを指摘します。人間の耳では聞き取れない数ポンドのトルク値のズレや高周波ベアリングの異音を検知します。

しかし、オートメーションにおけるセキュリティの軽視は危険です。ホビースト向けエレクトロニクスが機械制御を簡素化する一方で、馴染みの攻撃対象面も露出させます。Miklovic氏は、組み込みセキュリティを欠いたプラグアンドプレイソリューションが脆弱性の氾濫を招くと警告します。Catterton氏は、そうした製品がサイバー犯罪者の遊び場になり得ると付け加えます。

AI導入には慎重な監視が必要

データサイエンス人材が不足し、経験豊富なオペレーターがCOVID-19制約で現場を離れる中、産業ワークフローへのAI導入を急ぐのはリスクが高いです。Miklovic氏は、トレーナーが重要な安全情報を見落とすことで、安全でないAI振る舞いを招くと強調します。

最良の条件下でも、ソフトウェアには1,000行あたり1〜10のバグが含まれ得ます（「The Fifth Domain」参照）。宇宙船のようなミッションクリティカルシステムでもこの欠陥率です。数百万行のコードでは、エラーの余地は縮まり、失敗は破滅的になります。

歴史は厳しい教訓を残しています。1996年のAriane 5ロケット失敗は、再利用ソフトウェアがロケットの高速打ち上げを処理できず、約3億ドルの損失を出しました。2019年のBoeing 737 Max運航停止は、時給9ドルの開発者にソフトウェアをアウトソーシングした結果、346名の犠牲者を出す2件の墜落事故を招き、Boeingに180億ドルの損害を与えました。

リモートアクセスが攻撃対象面を拡大

Zoomなどのツールを通じたリモートアクセス拡大は、営業秘密と運用データをサイバー犯罪者に晒す可能性があります。Miklovic氏は、制御システムのパブリックインターネット露出が「既知の攻撃標的」であると指摘します。PAS GlobalのCOO Mark Carrigan氏は、そうしたシステムが限界を超えて動作するプロセスの最後の防衛線であり、したがって厳重に保護されなければならないと指摘します。

フィッシング攻撃も、より多くの従業員が特権アクセスを得るにつれて増加しています。Carrigan氏は、ソーシャルエンジニアリングキャンペーンが認証情報を収集し、ますますアクセスしやすくなるリモートゲートウェイを通じて制御環境に侵入できると警告します。

セクター固有の脅威ランドスケープ

原子力、石油、化学プラントなどのクリティカルインフラは、通常、確立されたプロトコルと規制監督があり、急速な変化には比較的強靭です。例えばエネルギーユーティリティは、FERCとNERCのサイバーセキュリティ標準への準拠が義務付けられています。

一方、HVAC、照明、プラントシステムは長らくリモート管理されており、ソーシャルディスタンス義務の影響をあまり受けない可能性があります。「ミドルティア」の産業運用が、パンデミック圧力により最も急速なオートメーションとリモートワーク採用を経験していると、Analyst Syndicateの共同創業者French Caldwell氏は語ります。

戦略的考慮事項

各組織は、デジタル化のメリットと、遅すぎたり急ぎすぎたりする導入のリスクのバランスを取る必要があります。「オートメーションは物理資産から切り離せなくなりつつある」と、AppnomicのCEO Nitin Kumar氏は語ります。「適切なデジタルプロセスを統合しないと、非効率な運用モデルが生まれます。」

エンジニアリングとITの協業は不可欠です。特に危機時には。Caldwell氏は、共同チームで信頼性とセキュリティをシステムクリティカリティと整合させるよう促します。ポストパンデミックでは、企業は帯域幅を得てオートメーションとリモートアクセスを見直し、拡張し、予期せぬ事態へのレジリエンスを高められるでしょう。

ビジネス視点では、ステークホルダーは不確実性の中により高いレジリエンスを要求します。Kumar氏は、株主が堅牢なオートメーションを求め続ける一方、セキュリティは初日から設計に組み込まれなければならないと指摘します。DeloitteのパートナーSean Peasley氏は、「セキュリティは後付けではなく、最初から機能要件でなければならない」と強調します。

要するに、産業オートメーションは驚異的な利益をもたらせますが、セキュリティが導入のあらゆる段階に組み込まれている場合のみです。慎重な計画、厳格なテスト、部門横断的な協業が、オートメーション、AI、リモートアクセスのメリットを享受しながら運用を守る鍵となります。