OTサイバーセキュリティのリスク要因評価：オートメーション エンジニア向けガイド

「インターネットは悪い近所だ」と言われることがよくあります。それが真実のように思える一方で、オートメーション エンジニアが認識しておくべき、オートメーションおよび制御で使用されるコンピュータ システムに影響を与える他の多くのリスクと脅威があります。

オペレーショナル テクノロジー（OT）とは、産業用機器、プロセス、インフラストラクチャを監視および制御するために使用される物理的なハードウェアとソフトウェアを指します。これらは、私たちオートメーション エンジニアが日々扱うものです。

この記事では、OTサイバーセキュリティのリスク要因を厳しく検証し、これらのリスクを軽減する方法を探ります。

エネルギー プラント、ダム、風力発電所などの重要インフラストラクチャ、および重要な製造プラントは、システムが直面する多くの脅威を認識する必要があります。例えば、不満を持った従業員が故意にネットワークをウイルスで感染させる脅威があります。

インターネットなどの外部ソースからの脅威もあります。これらの脅威タイプのそれぞれが、プラントのOTインフラストラクチャに重大な損害を与える可能性があります。

あなたのシステムはどのリスクから守る必要がありますか？他の人がしていることを真似たり、無秩序にサイバーセキュリティのハードウェアとソフトウェアを導入したりするだけでは、安全を確保するには十分ではありません。

サイバーセキュリティへの体系的なアプローチは、リスクを排除し、システムをより安全な環境にするための必要不可欠なステップです。

OTサイバーセキュリティ リスク評価の基礎

OTリスク評価とは、脅威と脆弱性を特定、評価、優先順位付けするための体系的なプロセスと定義されます。IT環境とは異なる、OT環境特有の特徴がいくつかあります。

その中には、レガシー システムの蔓延、24時間365日稼働要件、製造プロセスを構成する機械、アクチュエータ、センサーへの物理的統合などがあります。

リスク評価には、運用、エンジニアリング、IT、管理担当者など、影響を受けるすべてのステークホルダーが関与する必要があります。前述の通り、このリスク評価は成功させるために体系的なアプローチに従う必要があります。

それでは、この評価に含まれる5つのステップを見てみましょう。

資産の特定と棚卸し

保険会社があなたの家を保険にかけるとき、家の中に何があるかを知りたがります。つまり、何が失われる可能性があるか、あるいは何が損失や損害のリスクにあるかを知りたいのです。サイバーセキュリティのリスク評価でも同じことが言えます。

すべてのOT資産を棚卸ししてマッピングすることが最初の重要なステップです。PLC、SCADAシステム、HMIステーションなどのハードウェアを含め、すべてを棚卸しに記載する必要があります。この棚卸しには、OTシステムにインストールされているすべてのソフトウェアとファームウェアも含める必要があります。

これらの資産は物理的な性質を持たないように見えるかもしれませんが、リスクにさらされており、ハッカーが最も容易に感染させられる資産です。

スイッチやケーブルなどのネットワーク機器も含める必要があります。また、ベンダー アクセス用のデータポートやリモート メンテナンス用の接続などの外部接続も忘れずに含めてください。

完全な棚卸しは、リスク評価チームがいわゆる「脅威の状況」を完全に理解するために不可欠です。

ベンダー アクセス用のデータポートなど、見落とされた項目は、悪意がなくてもシステム感染の容易な経路になり得ます。

脅威と脆弱性の特定

すべての資産をリストアップしたら、攻撃される可能性のあるすべての項目がわかります。次に、システムが招く可能性のある脅威のタイプを特定する必要があります。

これらの脅威は、アカウントから資金を着服する、ユーザー認証要件をバイパスするようなネットワーク スイッチの意図しない誤設定など、内部関係者からの内部脅威である可能性があります。

脅威は、インターネットソース、マルウェア、ハッカー、貴重な資産（処方やレシピなど）を狙う国家支援のアクターなど、外部からのものである可能性もあります。

レガシー OTハードウェアおよびソフトウェアで発生し得る一般的な脆弱性（パッチ未適用、弱い認証、安全でないプロトコルなど）が見落とされることがよくあります。

影響分析

脅威の状況がわかったら、攻撃によってシステムが侵害された場合の結果を評価する必要があります。

これらの結果は、要員や環境への安全リスク、生産の中断、運用の混乱、財務的損失、評判の毀損、規制およびコンプライアンス違反など、多岐にわたります。

施設が直面する結果は固有の状況によって異なり、他の多くのリスクを含む可能性があります。

発生可能性の評価

次のステップが最も困難です。これらの結果が実際に実現する可能性を判断することです。

システムの脆弱性が悪用される確率を判断するには、インターネット脅威への曝露の予測、既知のエクスプロイトと敵対者の能力の特定、そして重要なことに、あなたのシステムと類似したシステムに影響を与えたインシデントの履歴を分析することが含まれます。

例えば、Stuxnetは特定のサプライヤーのハードウェアを攻撃した蔓延性の高い弱体化ウイルスでした。コロニアル パイプライン攻撃は、操業停止と東海岸全体での深刻な燃料不足を招いたランサムウェア サイバー攻撃でした。あなたの操業に何が起こり得るか、そしてそれがどれくらいの確率で起こり得るか？

リスク マトリックス

最後のステップは、各リスク要因のリスク マトリックスを作成することです。リスク マトリックスは通常、サイバーセキュリティ侵害の影響と、その侵害が発生する可能性を対比させます。ここでは、影響と可能性の閾値を低、中、高としたマトリックスの例を示します。

リスク評価チームは、マトリックスの各マスへのリスクの最適な割り当てを決定します。チームは、発生確率が高く影響が中程度の場合もハイ リスクと判断するかもしれません。ランキングは固有の状況にのみ依存します。

なぜこのマトリックスを作成するのでしょうか？すぐに緩和が必要なリスク（すべてのハイ リスク項目など）や、延期できるリスク（ローリスク項目など）を簡単に特定できるからです。

企業のサイバーセキュリティ予算は限られているため、最もリスクの高い問題から優先的に対処すべきです。

OTリスク評価における課題と考慮事項

このプロセスは通常、容易ではありません。レガシー システムのパッチ適用に関するすべての制約を理解することは難しい場合があります。一部の脅威の性質への可視性が限られている可能性があります。

一部の脅威の範囲を評価するために必要なすべてのデータを取得する上で、組織的な障壁がある可能性があります。未知のサプライ チェーンおよびサードパーティ リスクがある可能性があります。

効果的なOTリスク評価のためのベスト プラクティス

これらの制約の一部を克服し、効果的なリスク プロファイルを開発するためのベスト プラクティスがあります。最も重要なのは、すべてのステークホルダーが評価に関与し、協力することです。

このプロセスを支援するために、NIST CSFやIEC 62443など、リスク評価プロセスでチームをガイドする多くの標準とフレームワークが利用可能です。

効果的なサイバーセキュリティ リスク評価プログラムの鍵は、現在のデータを使用して評価を定期的に更新することです。

結論

OTサイバーセキュリティ リスク評価は、内部および外部の脅威に対する効果的な防御を構築するための基盤です。すべてのステークホルダーをプロセスに関与させることで、脅威と発生可能性の最も完全な把握が可能になり、リスク マトリックスにプロットできます。

リスク マトリックスから、サイバーセキュリティ防御の導入に関する適切な決定を下せます。OTリスクが進化し続ける中、施設は継続的なリスク評価を実施し、それをOTサイバーセキュリティ プログラムの基盤とすることで、プロアクティブに対応することが重要です。