産業制御システムの保護：実証済み戦略とベストプラクティス

シスコの年次サイバーセキュリティレポートは、グローバルなセキュリティトレンドと新たな脅威について包括的な洞察を提供しています。産業界におけるIoTの役割拡大は、複数のセキュリティアナリストと攻撃者の注目を集め、2018年のシスコレポートでホットトピックとなりました。回答者の69%が自社のOT（運用技術）機器を攻撃対象と見なし、セキュリティ専門家の31%がすでに何らかのサイバー攻撃をOT機器で経験しています。

では、産業制御システムをどう保護すべきか？ ITインフラと同等の厳格なセキュリティ手法をOT機器にどう適用するか？

産業制御システムが脆弱であるだけでなく、企業の運用ハードウェアへのアクセス権を持ち、生産性を直接左右することを十分理解する必要があります。ファイルサーバーの侵害は被害が大きいですが、産業制御システムがランサムウェアで乗っ取られれば、操業停止や、最悪の場合、人的危険を招く異常動作を引き起こします。

ネットワークの保護

まず、明確な境界を持つ適切なネットワーク設計を確保すべきです。ISA IEC-62443規格がネットワークセグメンテーションの実践的ガイドラインとなります。すべての無線アプリケーションを保護し、メンテナンスとトラブルシューティング用のリモートアクセスソリューションを導入します。同時に、すべてのネットワークインフラ機器を監視します。

エンドポイントの保護

多くのOT専門家は、専用プロトコル、ファイアウォール、マルウェア対策によりエンドポイントが守られていると確信しています。しかし、従業員が私用デバイス（ノートPC、スマートフォン等）を持ち込み、社内ネットワークに接続することを許可すると、防御の境界が急速に侵食され、脆弱性が生じます。

この問題に対処するには、エンドポイントを保護し、スタッフが企業ネットワークに接続できないようにすべきです。さらに、USB接続の禁止、偽Wi-Fiホットスポット対策などのデジタルポリシーを整備します。

企業がエンドポイント保護の第一歩を踏み出すには、資産検出から始め、各エンドポイントの棚卸しを行います。次に、制御を定義し、自動化して保護の継続を保証します。最後に、エンドポイントを継続的に監視し、不正な変更があれば反応を引き出します。

コントローラーの保護

産業環境はPLC、アクチュエーター、センサー等の物理システムで構成されます。コントローラーは多様な産業機器を制御する特殊コンピューターであり、高度化によりマルウェア攻撃を受けやすくなっています。

悪意ある行為者がPLC、PAC、産業用PCにアクセスし、システム内で大混乱を引き起こし、物理的破壊をもたらした事例が記録されています。最も悪名高いのはStuxnetで、高速遠心分離機を制御するシーメンスPLCが標的となり、物理的損害と生産性の不可逆的な損失をもたらしました。ここでもマルウェアはネットワーク経由で侵入しており、厳格なネットワーク制御ポリシーがあれば防止可能でした。

境界ファイアウォールとVPNに加え、アクセス制御とアクティビティログを実装し、ハイエンドシステムへのアクセスを特定の個人に限定すべきです。さらに、アンチマルウェアソフトウェアで、初期防御をすり抜けた危険なコードを検知できます。