産業用IoTのセキュリティ確保：サイバー・フィジカルシステムへの実践的戦略

組織がIndustrial Internet of Things（IIoT）イニシアチブを開始すると、セキュリティチームにとってその用語は抽象的に感じられることがあります。「セキュリティ実務者は概念を超え、サイバー・フィジカルシステムの具体的な現実に焦点を当てる必要があります」と、GartnerのVPアナリスト、カテル・ティーレマン氏は語ります。

ティーレマン氏は、速度がセキュリティを上回ることが多いと警告します。「初期導入は、システムのライフサイクル全体をカバーする包括的戦略を出し抜いてはなりません」と同氏。多くの企業が依然としてIT中心の視点を産業環境に適用しており、重要資産を脆弱な状態に置いています。

Tata Consultancy Servicesのグローバルサイバーセキュリティサービス責任者、サンタ・スブラモニ氏は、経営層と規制当局の運用技術（OT）セキュリティへの関心の高まりを指摘します。OTを完全なサイバー可視性下に置くことは複雑だと説明します：脅威サーフェスは広大で、センサー、エッジデバイス、接続性、データ、アプリケーション、ホスティングエコシステムに及びます。 レガシーテクノロジーと孤立したネットワークがエンドポイント可視性をさらに制限し、予防を困難にしています。

スブラモニ氏は、複数レベルでの継続的な脆弱性追跡の必要性を強調します。「組織は、脆弱性の最新カタログとそれに対処するテクノロジーを維持しなければなりません」と同氏。

ケーススタディ：HIL Ltd.のIIoT導入セキュリティ確保

建材メーカーHIL Ltd.は、インドの4工場でデジタルショップフロアテクノロジーを導入し、デジタルトランスフォーメーションを開始しました。とCIOのムラリ・ラジ氏。システムは全機械を単一ネットワークで接続し、効率と品質を向上させます。

「現在は予知保全と品質へ移行中です」とラジ氏。「セキュリティもこれら新機能と共に進化しなければなりません。」センサー、PLC、SCADAシステムからのリアルタイムデータは、HILのITネットワーク経由でクラウドへ送られ、即座に分析され、オペレーターへアラートが生成されます。

以前はSCADAシステムが孤立した「島」で運用されていました。インターネット接続への移行には、IT側のファイアウォールと厳格なデバイスセキュリティ基準が必要でした。定期的なファームウェアとソフトウェアパッチ適用が義務化されました。

テクノロジーを超え、HILは人とプロセスにも対応しました。「以前、メンテナンスと電気エンジニアはITやセキュリティチームと接点がありませんでした」とラジ氏。「今では協力し、アップデートを共有し、役割権限とパスワード管理などのITセキュリティプラクティスを採用しています。」外部パートナーのEYとDeloitteが、ITとOTセキュリティを整合させる客観的フレームワークを提供しました。

重要デバイスと資産の保護

IIoT攻撃は従来のIT侵害より稀ですが、その影響は壊滅的です。生産損失、装置損傷、データ窃取、産業スパイ、さらには人的被害に至る可能性があります。VdooのCTO、アサフ・カラス氏は、組織に対し、本番導入の瞬間から重要資産を保護するよう促します。

カラス氏の推奨事項：

• 産業環境に合わせたリスクと脅威管理の実装
• 設計段階からデバイスを保護し、悪用可能なファースト/サードパーティの弱点を排除
• 資産管理ツールで導入後の産業資産を発見・特定
• IIoTデバイス専用のエンドポイントランタイムエージェントを導入し、継続的監視を実現

ハイパー接続性の管理

多くのIIoTデバイスはセキュリティを考慮して構築されていないと、Booz Allen Hamiltonのプリンシパル/ディレクター、カイル・ミラー氏は指摘します。レガシーなリアルタイムOSにはモダンITプラットフォームの保護機能がなく、組織の攻撃サーフェスを劇的に拡大します。

ミラー氏は、どのデバイスが通信できるかを制御し、侵害時の影響範囲を限定するゼロトラスト環境の構築を助言します。「IIoT導入前にリスクを理解すべきです。ベンダーのセキュリティ姿勢、暗号化、アクセス制御を評価してください。」

セグメンテーションは不可欠です：「IIoTデバイスは他のITおよびOTネットワークから分離し、単一の侵害が拡散するのを防ぐべきです」とミラー氏は付け加えます。

組織的サイバー衛生

Booz Allen Hamiltonのプリンシパル/ディレクター、デビッド・フォーブス氏は、多くの侵害が弱い組織的衛生に起因すると強調します。「規律、プロトコル、ガバナンスがしばしば欠けています」と同氏。2020年の脆弱性と脅威の急増後、産業環境は攻撃者にとってますます魅力的になっています。

ティーレマン氏はライフサイクルアプローチを強調します：「セキュリティ考慮は、要件・設計から購入、導入、保守、廃棄まで組み込まれなければなりません。」産業システムには固有の制約（物理的位置、運用レジリエンス、安全性）があり、これらを戦略に統合する必要があります。IT中心モデルは、これらの文脈でのパッチ適用、監視、認証に対応できるよう進化しなければなりません。

スブラモニ氏は、エンジニアリングと生産が通常IIoTを所有する一方で、「トランスフォーメーションの監督とテクノロジー近代化は組織横断的に調整されなければなりません」と付け加えます。信頼できるパートナーは、この急速に進化する環境でコスト管理しながら保護を拡張するのに役立ちます。