OT サイバーセキュリティのリスク要因の評価:オートメーション エンジニアのためのガイド

「インターネットは悪い地域だ」とよく言われます。それは真実であるように見えますが、自動化と制御に使用されるコンピュータ システムに影響を与える可能性のある、自動化エンジニアが認識しておく必要があるリスクや脅威は他にもたくさんあります。

運用テクノロジー (OT) は、産業用機器、プロセス、インフラストラクチャの監視と制御に使用される物理ハードウェアとソフトウェアを指します。これらは、私たちオートメーション エンジニアが毎日扱っているアイテムです。

この記事では、OT サイバーセキュリティのリスク要因と、これらのリスクを軽減する方法について詳しく説明します。

エネルギープラント、ダム、風力発電所などの重要なインフラや、重要な製造プラントは、システムが直面する多くの脅威を認識する必要があります。たとえば、不満を抱いた従業員が故意にネットワークにウイルスを感染させると、脅威が発生する可能性があります。

脅威はインターネットなどの外部ソースから来る可能性があります。これらの脅威の種類はそれぞれ、プラントの OT インフラストラクチャに重大な損害を与える可能性があります。

あなたのシステムはどのようなリスクから守る必要がありますか?他の人と同じことをしたり、サイバーセキュリティのハードウェアやソフトウェアを無計画に採用したりするだけでは、安全を確保するのに十分ではありません。

サイバーセキュリティへの体系的なアプローチは、リスクを排除し、システムをより友好的な環境にするために必要な重要なステップです。

OT サイバーセキュリティ リスク評価の基礎

OT リスク評価は、脅威と脆弱性を特定、評価し、優先順位を付けるための体系的なプロセスとして定義されます。 IT 環境とは異なる、OT 環境固有の特徴がいくつかあります。

その中には、レガシー システムの普及、年中無休の可用性要件、製造プロセスを構成する機械、アクチュエータ、センサーへの物理的な統合などが含まれます。

リスク評価には、運用、エンジニアリング、IT、管理担当者など、影響を受けるすべての関係者が参加する必要があります。前に述べたように、このリスク評価を成功させるには、体系的なアプローチに従う必要があります。

それでは、この評価に含まれる 5 つのステップを見てみましょう。

資産の特定と在庫

保険会社があなたの家に保険をかけるように依頼されるとき、彼らは何が失われる可能性があるか、つまり何が損失や損害の危険にさらされているかを知るために、家の中に何があるかを知りたいと考えています。サイバーセキュリティにおけるリスク評価にも同じことが当てはまります。

すべての OT 資産のインベントリとマッピングは、最初の重要なステップです。 PLC、SCADA システム、HMI ステーションなどのハードウェアを含むすべてのものをインベントリにリストする必要があります。このインベントリには、OT システムにインストールされているすべてのソフトウェアとファームウェアが含まれている必要があります。

これらの資産は本質的に物理的なものではないように見えますが、危険にさらされており、ハッカーにとって最も感染しやすい資産です。

スイッチやケーブル配線などのネットワーク機器も含める必要があります。また、ベンダー アクセス用に提供されるデータ ポートやリモート メンテナンス用の接続などの外部接続も忘れないでください。

リスク評価チームがいわゆる「脅威の状況」を完全に理解できるようにするには、完全なインベントリが不可欠です。

ベンダー アクセス用に提供されているデータ ポートなどのアイテムが欠落していると、悪意がなくてもシステム感染の簡単な経路となる可能性があります。

脅威と脆弱性の特定

すべての資産をリスト化すると、攻撃される可能性のあるアイテムがすべてわかります。次に、システムが引き起こす可能性のある脅威の種類を特定する必要があります。

これらの脅威は、アカウントから資金をスキミングしたり、ユーザー認証要件のバイパスを可能にするネットワーク スイッチの不用意な構成ミスなど、内部関係者による内部脅威である可能性があります。

脅威は、調合物やレシピなどの貴重な資産を狙ったインターネット ソース、マルウェア、ハッカー、または国家の攻撃者などの外部から発生する可能性もあります。

パッチの欠如、弱い認証、安全でないプロトコルなど、レガシー OT ハードウェアやソフトウェアで発生する可能性のある一般的な脆弱性は忘れられがちです。

影響分析

脅威の状況がわかったので、攻撃によって実際にシステムが侵害された場合の結果を評価する必要があります。

こうした影響は、人員や環境に対する安全上のリスク、生産の中断、業務の中断、経済的損失、風評被害、規制やコンプライアンス違反など、さまざまな形をとる可能性があります。

施設が直面する可能性のある結果は、お客様固有の状況によって異なり、他の多くのリスクが含まれる可能性があります。

可能性の評価

次のステップは最も困難です。これらの結果が実際に実現する可能性を判断することです。

システムの脆弱性が悪用される可能性を判断するには、インターネットの脅威にさらされることを予測し、既知の悪用や攻撃者の能力を特定し、さらに重要なことに、貴社のようなシステムに影響を与えたインシデントの履歴も必要になります。

たとえば、Stuxnet は、特定のサプライヤーのハードウェアを攻撃する、蔓延して衰弱させるウイルスでした。コロニアル パイプライン攻撃はランサムウェア サイバー攻撃であり、東海岸全域で操業停止と重大な燃料不足を引き起こしました。あなたの手術では何が起こる可能性がありますか?また、それが起こる可能性はどれくらいですか?

リスク マトリックス

最後のステップは、各リスク要因のリスク マトリックスを構築することです。リスク マトリックスには通常、サイバーセキュリティ侵害の影響と、侵害が発生する可能性がリストされます。以下は、影響と可能性のしきい値を低、中、高として使用したマトリックスの例です。

リスク評価チームは、マトリックス上の各四角形へのリスクの最適な割り当てを決定する責任があります。チームは、発生の可能性が高く、影響が中程度である場合も、高リスクに該当すると判断する場合があります。ランキングはあなたの固有の状況にのみ依存します。

なぜこのマトリックスを生成するのでしょうか?これにより、すべての高リスク項目などの即時緩和が必要なリスクと、低リスク項目などの延期できるリスクを簡単に識別できます。

企業のサイバーセキュリティに対する予算は限られているため、最もリスクの高い問題から最初に対処する必要があります。

OT リスク評価における課題と考慮事項

このプロセスは通常、簡単なものではありません。レガシーシステムにパッチを適用するためのすべての制約を理解するなどの項目は、難しい場合があります。一部の脅威の性質については、可視性が限られている場合があります。

一部の脅威の範囲を評価するために必要なすべてのデータを取得するには、組織的な障壁がある場合があります。未知のサプライ チェーンやサードパーティのリスクが存在する可能性があります。

効果的な OT リスク評価のためのベスト プラクティス

これらの制約の一部を克服し、効果的なリスク プロファイルを開発するためのベスト プラクティスがあります。最も重要なのは、すべての関係者が評価に参加し、協力することです。

このプロセスを支援するために、NIST CSF や IEC 62443 など、リスク評価プロセスでチームを導くための標準やフレームワークが多数用意されています。

効果的なサイバーセキュリティ リスク評価プログラムの鍵は、現在のデータを使用して評価を定期的に更新することです。

結論

OT サイバーセキュリティ リスク評価は、内部および外部の脅威に対する効果的な防御を構築するための基盤です。すべての関係者をプロセスに参加させることで、脅威と発生の可能性の最も完全な全体像を決定し、リスク マトリックスにプロットすることができます。

リスク マトリックスから、サイバーセキュリティ防御の採用について適切な決定を下すことができます。 OT リスクが進化するにつれて、施設は OT サイバーセキュリティ プログラムの基礎として、積極的にリスク評価を継続的に実施することが重要です。

‍