重要インフラのための強固なサイバーセキュリティ戦略構築

重要インフラのための強固なサイバーセキュリティ戦略構築

主なポイント：

• 重要インフラ保護は最優先事項だが、多くの組織がサイバー防御態勢で遅れをとっている。
• COVID-19で「重要」の定義が拡大（PPE製造、物流、食品加工など）、必須システムの再評価を促す。
• 組織は、サイバー脅威増大とリモート運用増加の中、受動的対策から能動的なサイバーセキュリティ態勢へシフトしなければならない。

送電網、ダム、投票システム、その他連邦指定インフラへのサイバー攻撃への公的懸念は高まっています。しかし、DeloitteのSean Peasley氏が指摘するように、ほとんどの運用技術（OT）企業は依然として初期段階のサイバーセキュリティプログラムしか持っていません。

歴史的に「重要インフラ」は交通やユーティリティなどの公共事業を指しました。過去数十年で範囲はヘルスケア、エネルギー、製造業などに拡大しました。DeloitteのKieran Norton氏は、パンデミックでさらに幅が広がり、PPEメーカー、物流会社、パルプ・紙、食肉処理が必須と認識されるようになったと指摘します。

多くのOT組織が伝統的リスク管理で数十年の経験を持つ一方、サイバーセキュリティは比較的新しい焦点です。Kudelski SecurityのCEO Andrew Howard氏は、OTセキュリティがITに10〜15年遅れていると観察します。

IBMのX-Force Threat Intelligence Index 2020によれば、産業制御システムへの攻撃が2019年に急増し、過去3年間の合計を超えました。注目すべきインシデントには、Hondaへのランサムウェア、台湾のエネルギーユーティリティ、米国天然ガス施設、イスラエルの水道、NTTの社内ネットワーク侵害があります。

リスク評価：継続的な不可欠要件

測定可能なリスクなしでは改善は停滞します。多くの重要インフラ主体は、多様で複雑な環境とOTサイバーセキュリティ専門家不足のため、正確な資産インベントリの維持に苦労しています。

初期リスク評価は、脅威、脆弱性、潜在的帰結を定量化し、共有パスワード、未パッチシステム、サードパーティハードウェア/ソフトウェア、許容的なファイアウォールに焦点を当てるべきです。こうした評価は大規模な是正リストを明らかにすることがあり、深刻度と修正容易性に基づく優先順位付けが必要です。

アクティブネットワークスキャンは制御システムを不安定化する可能性があるため、運用側との慎重な協働アプローチが不可欠です。パッシブ監視は侵襲性が低いものの、クリティカルな洞察を見逃す可能性があります。この議論は、ITのアクティブスキャン志向とOTのリスク回避姿勢の衝突を反映しています。

是正優先順位付けは、リスク深刻度と是正労力の両方を考慮すべきです。Miklovic氏が指摘するように、境界インターフェース（プロトコルまたは物理）が最弱リンクであることが多く、USBドライブが一般的な侵害ポイントです。迅速な修正（USBポート封鎖など）も重要ですが、バランスの取れたリスクベースアプローチがより効果的です。

RunSafeのJoe Saunders氏は、脆弱性可能性と影響深刻度を評価する2×2マトリックスを推奨し、各システムのニュアンスあるリスクプロファイルを可能にします。

ニューノーマルにおける新リスク

パンデミックはリモートワークを加速し、生産システムのセキュリティを複雑化しました。従業員が自宅からVPNで生産制御を変更することは、以前は珍しかった慣行です。サードパーティベンダーもリモートアクセスを得る可能性があり、さらなる露出を生みます。

帯域幅、スケーリング、導入課題がリモート接続増加に伴います。同時に、物理的プレゼンスと手動プロセスに依存する従来のコンティンジェンシープランは、今や信頼性が低下しています。

適応のために、重要インフラ組織はテクノロジーアーキテクチャの全面的再設計を検討し、セキュリティコントロールを資産により近く埋め込むべきです。

プロアクティブなサイバーセキュリティへ

目標は、増分的・手動プロセスを、脅威を予測し継続的に適応するプロアクティブな態勢に置き換えることです。

強固なセキュリティポリシーの主要構成要素には：

• 機器・デバイス - レガシー産業コントローラー、IoTセンサー、ゲートウェイ、社用ノートPCを保護。デバイスコンテキストの理解が不可欠。
• ネットワーク・ユーザー - 厳格なアクセス制御、ダイナミックポリシーエンジン導入、侵害検知への投資。
• データ - 分類と発見を行い、適切な保護レベルを決定。
• ワークフロー・サプライチェーン - プロセス保護、契約者コンプライアンス強制、サプライチェーン攻撃からの保護。
• ソフトウェア開発 - SDLC全体にセキュリティを組み込み、レジリエントな導入を確保。

予防、検知、対応のバランスが重要です。PAS GlobalのMatt Selheimer氏は、労力の50%を予防、50%を検知と復旧に配分することを推奨します。Norton氏は、対応能力が予防コントロールと同様に重要だと強調します。

フレームワークと成熟度モデル

組織は、ISO 27002、ISA/IEC 62443、国防総省のサイバーセキュリティ成熟度モデル認証（CMMC）などの確立されたフレームワークに準拠できます。CMMCは、基本的衛生（レベル1）から高度な最適化（レベル5）までの5段階成熟度モデルを提供します。サードパーティ監査要件が客観性と説明責任を促進します。

CMMCレベル	焦点	主要プラクティス
レベル1	基本的サイバー衛生（実施）	必要に応じて選択的プラクティスを文書化
レベル2	中程度のサイバー衛生（文書化）	全プラクティス文書化；全活動にポリシー存在
レベル3	良好なサイバー衛生（管理）	サイバープランが全活動で運用化
レベル4	プロアクティブ（レビュー）	全サイバー活動がレビュー、測定、経営層と共有
レベル5	高度な進歩的（最適化）	組織全体で標準化された文書化

オートメーションと組み込みセキュリティ

機械学習駆動の監視で、侵害検知などの定型タスクを自動化できます。リソース制約デバイスへの組み込みセキュリティは、固有の保護と資産可視性を提供します。

しかし、堅牢なポリシーなしの時期尚早なオートメーションは誤検知を生みます。Selheimer氏が指摘するように、ファイアウォールルールとSIEM相関の微調整がノイズ削減に不可欠です。

重要インフラの独自のランドスケープにより、市販のオートメーションはカスタマイズを必要とする場合があります。Norton氏は、センシティブなシステムを隔離し、オーケストレーションでオートメーションギャップを橋渡しすることを提案します。

究極的に、脅威は急速に進化します。プロアクティブであり続けることは、新興リスクと業界トレンドを反映してサイバー態勢を継続的に調整することを意味します。

更なる業界インサイトについては、8月11〜13日のIoT Worldバーチャルイベントにご登録ください。IoT、AI、5G、エッジソリューションを垂直分野横断で特集。今すぐ登録。