運用技術（OT）システムへのサイバー攻撃の増加は、世界中でエネルギー、水、製造業に影響を及ぼし、重要インフラを危険にさらしている。
CEOは、データと産業オペレーションを効果的に保護するため、ITとOTのサイバーセキュリティを区別する必要がある。
ICS対応計画や防御可能なアーキテクチャなど、個別に調整されたOTサイバーセキュリティ管理策は、重要システムを守り、運用の継続性を確保することができる。
産業組織の経営陣（C-suite）と取締役会は、国家主体、ハクティビスト、犯罪組織によるサイバー脅威の高まりの時代においても、自社が耐えられることの保証を求めており、サイバーリスクへの認識を一層高めている。
最近のインシデントには、水道施設、化学プラント、流体を扱う製造業者が使用するプログラマブルロジックコントローラーに対する多数のサイバー攻撃が含まれる。スパイ活動の脅威は、Volt Typhoonとして、引き続きエネルギー、水道、輸送、通信インフラを脅かしている。
最近発見されたFrostyGoopマルウェアは、ウクライナで600以上の住宅建物の暖房を妨害しただけでなく、世界中で46,000台以上のインターネットに接続された産業用制御システム（ICS）機器で使用されている技術を標的としている。組織はまた、PIPEDREAMにも警戒を強めている。これは、システムやセクターを横断して攻撃を拡大する能力を備えた、初のICSマルウェアである。
産業界のCEOや取締役会メンバーには、自社の取り組みを示すため、情報技術（IT）セキュリティツールによって生成された指標やサイバーセキュリティ予算の配分が提示されることが多い。
残念ながら、このアプローチは誤った安心感をもたらす。事業の収益を生み出す側を支える運用技術（OT）は、ITサイバーセキュリティでは十分に保護できないため、依然として無防備な状態にある。
ITとOTの違い、およびこれらの環境における効果的なサイバーセキュリティ管理策を理解することで、CEOと取締役会はより多くの情報に基づく意思決定を行い、チームの説明責任をより適切に問うことができる。
以下は、概念を分かりやすく解説し、サイバーセキュリティとレジリエンスに対する組織的アプローチを強化するための入門ガイドである。
私たちの生活様式を支える運用システムを守る
OTは現代の産業システムと重要インフラを支えており、私たちの生活の多くの側面に大きな影響を及ぼしている。2022年時点で、重要インフラは世界人口の91%（72億人）に電力を供給しており、また74%に安全な飲料水を供給している（59億人）。
石油・ガスは、世界の輸送、製造業、発電に不可欠である。世界銀行の『世界開発指標』（2023年版）によると、製造業は世界の国内総生産の15%以上を占め、世界の労働力の15～20%を雇用しており、生産される財やサービスを通じて、地球上のほぼすべての人々に影響を及ぼしている。
OTサイバーセキュリティは、運用の継続性と復旧に重点を置く形で、本質的に進化してきた。
OTシステムが妨害されると、停電、供給不足、安全上の危険、生産停止、経済的損失が生じる。水道システムへのサイバー攻撃は、飲料水を安全でない状態にしたり、利用不能にしたりする可能性がある。
エネルギーインフラへの攻撃は、停電や経済的混乱を引き起こす可能性がある。食品加工工場、半導体製造業者、製薬会社へのサイバー脅威は、供給不足、品質の欠陥、健康や生命への脅威、世界のサプライチェーンの断絶、そして企業の評判や事業の存続性への損害をもたらす。
経営幹部が、自社が保護されているかどうかを最高情報セキュリティ責任者（CISO）に問うのは正しいことである。しかし、さらに踏み込んで検討する必要がある。その理由は次のとおりである。企業のサイバーセキュリティ投資は、通常、データや情報システムの保護に割り当てられているが、大規模に稼働し、可用性に対して厳格な要件を持つ独自のシステムを備えた産業プロセスの保護には充てられていない。
これらのOTシステムは、デジタルトランスフォーメーションの取り組みを通じてますます接続されているが、サイバーセキュリティを念頭に設計されていなかった脆弱な技術を含んでいることが多い。
適切なサイバーセキュリティの実装
ITサイバーセキュリティは、情報を保護し、不正アクセスを防ぐことを目的としている。ITは、情報の可用性、機密性、完全性を確保するためのデータの管理と処理に重点を置いている。IT機器は一般的に既製品であり、寿命が短く、交換や保守が容易である。
一方、OTサイバーセキュリティは、産業環境の安全で効率的な運用を確保するシステムを保護する。OTは物理的なプロセスや機器を監視・制御し、機械や物理インフラと相互作用する。
OTで使用される機器は、多くの場合、特定用途向けに設計されており、寿命が長く、専門的な保守が必要である。OTのセキュリティ上の優先事項は、従来、安全性、信頼性、リアルタイム性能を重視してきており、物理的なプロセスや機器の保護に焦点を当ててきた。
企業は、OTシステムを保護するために、産業環境に特化したサイバーセキュリティを活用しなければならない。指針の範囲が広いため、その把握は困難な場合があるため、SANS Instituteは、組織が最も重要な管理策を優先し、効果的なサイバーセキュリティの取り組みを構築できるよう、OTサイバーセキュリティのための「5つの重要な管理策」を策定した。
管理策には次のものが含まれる。
攻撃に備えてICSインシデント対応計画を策定すること。
防御可能なアーキテクチャを構築すること。
ICSネットワークの可視化と監視を実現すること。
安全なリモートアクセスを利用すること。
産業用の高可用性環境に適した脆弱性を優先し、軽減する、リスクベースの脆弱性管理を実施すること。
世界経済フォーラムが最近発表したホワイトペーパーによると、『Unpacking Cyber Resilience』では、「組織は、サイバーレジリエンスを戦略的なリーダーシップの課題として優先し、中核的な事業目標を保護し、長期的な成長を促進できるようにしなければならない」とされている。
これは、OTサイバーセキュリティへの正しい道筋を組織に示す産業界のビジネスリーダーにとって前向きな知らせである。彼らのサイバーレジリエンスは即座に向上する。
確立された実践方法や広範な導入という点でITサイバーセキュリティより新しい分野であるものの、OTサイバーセキュリティは、運用の継続性と復旧に重点を置く形で、本質的に進化してきた。
OTサイバーセキュリティは、重要インフラを安全かつ機能的に維持することに伴う独自の課題と高い責任を常に考慮しなければならなかった。したがって、OTサイバーセキュリティには、サイバー脅威から守り、システムがインシデントに耐え、迅速に復旧できることを確保する戦略が組み込まれている。
