製造リーダーのための施設・ネットワークセキュリティ強化：エグゼクティブラウンドテーブル

あらゆる製造施設において最も重要な側面の一つはセキュリティです。機械やデータを守るためのものです。Tech Briefsは、ネットワークおよび施設セキュリティソリューションを提供する企業のエグゼクティブに、サイバーセキュリティ、クラウド、ワイヤレスデバイス、リモートワークフォースの保護などについて質問し、彼らの見解を聞きました。

参加者：Mike Jabbour氏（Siemens Digital Industries デジタル接続および電力担当ジェネラルマネージャー）、Mike Lloyd氏（RedSeal 最高技術責任者）、Radu Pavel氏（TechSolve 最高技術責任者兼チーフエンジニア）、Donovan Tindill氏（Honeywell Connected Enterprise – サイバーセキュリティ シニアサイバーセキュリティストラテジスト）

Tech Briefs: COVID-19パンデミックでリモートワークが増える中、設備の遠隔操作、診断、保守のためにどのようなセキュリティ手順とシステムを導入すべきか？

Mike Lloyd氏

在宅勤務への急速な移行の中で、ほとんどのセキュリティチームは、ノートPCの管理強化、新たなVPN要件、新しいクラウドサービスなどの要請に押し寄せられました。しかし、オペレーターが移動しても動かなかったビジネス資産という、しばしば見落とされる側面があります。突然、オペレーターは移動しなかった物理設備を遠隔で操作・診断する必要に迫られました。セキュリティにおいて「リモート」は常に「リスク」を意味します。リモートワーカーと物理的な会社資産の間に新たな制御経路が生まれることは、企業の攻撃対象領域の拡大を意味します。セキュリティチームは、会社のすべての物理資産への到達経路を再監査することが賢明です。COVID以前にそれがどう機能していたかを知っていたとしても、今の状況を把握しているとは限りません。

Radu Pavel氏

COVID-19の状況は、職場環境のデジタル化を加速させています。ビジネスの現実が多くの機能からリアルタイムデータを必要とする中、新技術の潜在的メリットが工場フロアでの生産・非生産デバイスの接続を促進しています。メーカーの先端技術への欲求は、それを守る能力を急速に上回っており、この接続性とデータリッチな環境は、サイバーセキュリティに関連する重大な懸念と課題を提起しています。メーカーは、ITシステムだけでなく、センサーからPLC、ロボットコントローラ、工作機械、その他の運用機器に及ぶオペレーショナルテクノロジー（OT）も保護するという追加の課題に直面しています。

Mike Jabbour氏

良いニュースは、COVID-19がリモート通信に必要な全体的な設備やプロセスを変えたわけではないことです。ただ、すでに利用可能だった技術を活用する必要性を加速させただけです。すべての企業がリモートアプリケーションとセキュリティで全く同じことをすべきではありませんが、基本は常に組み込むべきです。その他にも検討すべきセキュリティアプライアンスは多数ありますが、最低限、VPN接続、ファイアウォール、ジャンプサーバーを活用すべきです。

リモート通信は常に適切に認証、暗号化され、使用しないときは遮断されるべきです。適切なファイアウォールは、信頼できないネットワークから内部トラフィックを保護します。ネットワークに複数のセグメントがある場合、ファイアウォールを通じた通信で、各内部セグメントを互いに保護すべきです。リモート通信において、リモートユーザーから信頼できるネットワークへのトラフィックを暗号化することは常にベストプラクティスとされます。これはVPNアプライアンスで実現できます。信頼できないネットワークからセキュアなネットワークへの直接通信があってはなりません。

Donovan Tindill氏

産業制御システム/オペレーショナルテクノロジー（ICS/OT）システムへのリモートアクセスでは、サイバー攻撃による影響と損失が、情報技術（IT）へのアクセスよりも著しく大きくなります。このビジネスリスクを低減するため、信頼できないネットワークからの多要素認証など、追加のセーフガードが必要です。信頼は相対的なものです。ビジネスネットワークはICS/OTシステムよりも低い信頼レベルです。一般的なVPNでは、ユーザーが24時間365日自由に接続できます。ICS/OTサイバー攻撃の結果の可能性を考慮すると、リモート作業時には、セッションごと、ユーザーごと、日ごとに明示的なアクセスリクエストの承認が必要です。

Tech Briefs: クラウド、ワイヤレスセンサーネットワーク、その他の産業システムは、デジタルファクトリーに画期的なメリットをもたらしましたが、同時にスマートマニュファクチャリング技術は攻撃対象領域を大幅に拡大しました。アクセス性とセキュリティをどう両立させるべきか？

Lloyd氏

産業用モノのインターネット（IIoT）は大きなメリットをもたらしますが、同時に大きなリスクも伴います。一般的に、IoTのすべての「モノ」は脆弱で信頼できないものとして扱うべきです。これは、孤立したSCADAインフラの管理に慣れたチームにとっては衝撃的ですが、時代は変わりました。IoTシステムがいかに脆弱であるかを考えると、唯一合理的なアプローチはネットワークセグメンテーションです。すべての可能なアクセス経路を把握し、産業システムを可能な限り分離する必要があります。時間とともにアクセス管理はずさんになり、ミスが生じます。そのため、アクセスが必要最小限であることを継続的に再検証し、ネットワークドリフトを阻止する仕組みが必要です。

Tindill氏

アクセス性とセキュリティの両立は可能ですが、同時に新たな規範が確立されます。9.11以前の空港セキュリティと今日のそれは大きく異なりますが、新しい常識は、新技術とプロトコルによって確立され、依然としてタイムリーなセキュリティスクリーニングを可能にしています。新技術にはソリューショントレーニングが必要であり、サイバーセキュリティがそれに組み込まれていれば、ユーザー体験とアクセス性は問題になりません。これらの新技術とデジタルファクトリーがもたらすビジネスメリットは、これまでにない成果を生み出す可能性を秘めています。サイバーセキュリティの役割は、クラウド、ワイヤレスセンサーネットワーク、その他の産業システムへの投資を保護し、それらがROIを提供しながらサイバー攻撃に対してよりレジリエントになることです。多要素認証、公開鍵基盤、暗号技術、その他のセキュリティコントロールを正しく実装すれば、ユーザーにはほぼシームレスであり、従来のレガシー技術では実現できなかったレベルのアクセス制御が可能になります。

Jabbour氏

意図的に計画され、セグメント化されたネットワークは、プラント通信システムのバックボーンであるだけでなく、セキュリティベストプラクティスの要でもあります。セグメント化されたICSネットワークは、攻撃発生時にセンサーネットワーク同士を保護し、プラントの単一セクションへの侵入が、会社全体を一撃でダウンさせることを防ぎます。これと合わせて、自社施設の脆弱性を知り、理解することが不可欠です。デバイスを設置して放置することは、ハッカーにシステムへの攻撃面を提供する主要な手順です。ネットワーク上のすべてのデバイスを管理することは、どのデバイスがあるかを知るだけでなく、脆弱性とその脅威レベル（低/中/高）の定期的な見直しを含みます。

Pavel氏

デジタル化の規模と速度、接続ネットワークの成長は、サイバーセキュリティリスクの増大を招いています。問題は露出の規模だけでなく、接続されるサイバー物理システムの脆弱性です。これらの新システムは、本質的にサイバーセキュリティを考慮して設計されていません。既存システムへの一般的なサイバーセキュリティ技術の統合によるパフォーマンス悪化の可能性が、問題を悪化させています。アクセス性とセキュリティの両立は、標準通信プロトコル、ネットワーク上で転送されるデータの暗号化、最新のサイバーセキュリティ標準の活用、サイバーセキュリティ脅威をリアルタイムで特定・緩和する技術の実装に依存する多面的な戦略です。

なぜサイバーセキュリティが後回しにされるのか？

Jabbour氏

サイバーセキュリティが最も見落とされやすいからです。ほとんどのIIoT導入はビジネスニーズを満たすことを目的としており、攻撃が発生するまで、サイバーセキュリティはビジネスニーズの標準的な会話トピックになりません。

Lloyd氏

皮肉なことに、セキュリティは常にすべての導入の最後の要素です。IoTへの推進は機能とコストに集中しています。つまり、デバイスは迅速に、最低価格で生産され、払った分のセキュリティしか得られません。デバイスは多くの場合パッチ適用が不可能で、我々のセキュリティツールセットにある従来のエージェントやスキャナーをサポートできません。したがって、IoTセキュリティは非常に難しい問題です。すでに手に負えないほど無秩序なネットワークに、無数の脆弱な新デバイスを注入するようなものです。問題が発生したとき（発生するかどうかではなく、いつ発生するか）、その爆発半径を事前に計画し、制御する規律ある人々だけが、IoTへの移行を成功させられます。

Tindill氏

サイバーセキュリティが導入の最後にしか考慮されない理由はいくつかあります。調達・購買プロセスでは価格が主要因であるため、サイバーセキュリティ要件が除外されます。ほとんどのエンジニアリングプロセスではサイバーセキュリティが除外されます。つまり、仕様策定、設計、構成、テスト、コミッショニングが、サイバーセキュリティのタスクや成果物なしに行われます。ITとサイバーセキュリティチームは、ネットワークやインターネットへの接続の段階まで除外されます。これが、プロジェクトの存在を初めて知るタイミングになることもあります。サイバーセキュリティは意思決定基準において十分な重みを持つべきです。購買プロセスに組み込まれれば、設計、構成、強化、サイバー受け入れテスト、すべてがローンチ前に実施されます。

Pavel氏

コンピュータウイルスが最大のリスクだった初期から、運用技術マルウェアが装置を破壊し、死傷者を出す今日まで、コンピュータ界はサイバーセキュリティ攻撃の指数関数的増加を目の当たりにしてきました。IoTベースの技術は、データ完全性、データ漏洩、プライバシー、不正アクセスの可能性など、独自のセキュリティ課題をもたらします。

では、なぜセキュリティがIoT導入の最後になるのか？ これらのシステムの一部は、特定の機能を提供することのみを目的に設計され、サイバーセキュリティは考慮されていません。エンドユーザーは、システムのタスク遂行能力、効率、コストを主な選定基準とし、サイバーセキュリティを主要基準と見なしてきませんでした。ここ数年で、ユーザー、政府、標準化団体によってサイバーセキュリティ問題がより強調されるようになりました。

産業ネットワークのトップ3優先事項

Lloyd氏

産業ネットワークのトップ3優先事項は、セグメンテーション、セグメンテーション、セグメンテーションです。古いエアギャップは消滅し、インターネットが物理プラント運用にますます混在するようになっています。このインターフェースの氾濫により、総攻撃対象領域は爆発的に拡大し、遅かれ早かれ何かが侵入します。最優先事項は、セグメンテーションを用いて悪い事象の拡散を制限するよう事前に計画し、最も重要なシステムについては、潜水艦の隔壁ドアのように「ブラストドア」を閉じる計画を立てることです。

Pavel氏

サイバー攻撃は、製造現場において機密性、完全性、可用性に影響を与える可能性があります。製品・プロセスIPの喪失、部品・プロセスの破壊・改変・リプログラミングによる生産損失、評判の毀損、さらには負傷や死に至るケースもあります。製造におけるデータ完全性の重要性は、部品製造に関連して見ることができます。製品・プロセス仕様の改変は、製品品質と信頼性に悪影響を及ぼす可能性があります。

データとサイバー物理システムの可用性も製造生産性にとって不可欠です。レガシーハードウェアとソフトウェアが製造プロセスで広く使用されており、これらの一部はサイバーセキュリティやIoTを考慮して設計されていません。したがって、このようなレガシーデバイスをIoTに接続したり、工場ネットワークに統合したりする際には固有のリスクが伴います。

ファイアウォールだけで十分か？

Jabbour氏

絶対に違います。ファイアウォールは全体システムの単一アプライアンスに過ぎません。ファイアウォールを使用すべきですが、他の設計上の考慮事項も考慮に入れる必要があります。

Tindill氏

1990年代半ばには、ファイアウォールとアンチウイルスが標準でした。当時のサイバーセキュリティ脅威に対して十分な保護を提供したからです。今日、ほぼ100%の組織がファイアウォールを持っていますが、サイバー攻撃は他の戦術、技術、手順（TTP）を用いてファイアウォールをバイパスできます。サイバー脅威は急速に進化しており、複数のサイバーセキュリティコントロールが必要です。ファイアウォールは主に保護コントロールを果たし、ネットワーク境界での既知の悪意ある振る舞いの検出に優れています。今日の攻撃には認証情報の窃取があり、それを用いてブルートフォースや悪意ある接続を必要とせずにネットワークに侵入します。脅威アクターが攻撃の6〜9ヶ月前にシステム内にいたという話をよく聞きます。これは、弱い検知と対応能力がどのように現れるかの例です。

Pavel氏

ファイアウォールのみに頼るのはもはや良い習慣ではありません。おそらくかつてもそうでした。企業セキュリティプログラムの最も重要な3要素は、人、プロセス、技術です。中小規模組織は、製造環境とサプライチェーンにおけるサイバーセキュリティで特別な課題を抱えています。多くは堅牢なサイバーセキュリティを提供する技術スタッフがおらず、脅威の複雑さを認識していないため、OTサイバーセキュリティへの投資のビジネスケースを作れません。これらの落とし穴に対処し、適切なサイバーセキュリティ対策の導入を加速するため、政府は業界全体に適用可能な規制、標準、認証プログラムの開発に投資しています。

Lloyd氏

ファイアウォールは建物のドアロックのようなものです。良いスタートであり、基本的なセキュリティ衛生ですが、リスクに対する包括的な解毒剤ではありません。ファイアウォールは複雑で、ほぼ常に何らかの誤設定があります。私は数千台の実運用ファイアウォールを評価してきましたが、1台あたり10件未満のエラーを見つけるのは稀です（極めて複雑なファイアウォールでは、単一デバイスで数千件のエラーを含むこともあります）。ファイアウォールの最も難しい側面は、それがすべてをカバーしているかどうかを理解することです。ファイアウォールを読むだけでは、ファイアウォールを迂回する経路を特定できません。工場ネットワーク全体のアクセスを包括的に把握し、ネットワークの変更と成長に合わせてアクセスを追跡し続ける必要があります。

リソース

1. Honeywell Connected Enterprise
2. RedSeal
3. Siemens Digital Industries
4. TechSolve