運用技術（OT）環境を守るための枠組みが既に存在するにもかかわらず、主要なライフサイクル段階では、サイバーセキュリティ管理が緩められたり見過ごされたりすることがよくあります。
工場受入試験（FAT）、現場受入試験（SAT）、停止保守、ブラウンフィールドサービスの間に、リスクが生じる可能性があります。
ここでは、これらのリスクをどのように軽減できるかを検討します。
運用技術（OT）環境を守るための枠組みが既に存在するにもかかわらず、工場受入試験（FAT）、現場受入試験（SAT）、停止保守、ブラウンフィールドサービスなどの主要なライフサイクル段階では、サイバーセキュリティ管理が緩められたり見過ごされたりすることがよくあり、サイバー脅威に対する脆弱性が高まっています。CISAの2022年報告書では、OTシステムへのサイバー攻撃が30％増加し、800件を超えるインシデントが発生したと指摘されています。ENISAの調査結果もこれを裏付けており、重要インフラの63％がサイバーインシデントに直面し、そのうち55％がOTシステムを標的としていたことが示されています。
2023年の初めには、注目すべきサイバー攻撃が相次ぎました。1月には米国の水処理施設がランサムウェア攻撃を受け、2月には欧州の電力網で障害が発生し、3月にはアジアの運輸企業で業務が停止しました。これらのインシデントは、OTシステムのライフサイクル全体、特に重要な段階において、厳格なサイバーセキュリティが重要であることを浮き彫りにしています
FAT段階のリスクと提案される管理策
OTシステムのライフサイクルにおける重要な段階であるFATでは、システムは管理された環境でテストされ、設計要件への適合が確認されます。ただしFATでは、範囲に明示的に含まれていない限り、セキュリティよりも設計仕様が主に重視され、サイバーセキュリティ管理が緩くなることがよくあります。FAT後にリスクや脅威が現場へ移転するのを防ぐため、この段階で essential な高レベルのサイバーセキュリティ管理を組み込むことが極めて重要です。この予防的なアプローチは、システムのライフサイクル全体を通じて堅牢なセキュリティを維持するための鍵となります。これらの管理策には、以下が含まれますが、これに限られません。
• ステージングエリアのセキュリティ
導入前のシステムテストに使用されるステージングエリアには、不正アクセスを防止し、本番環境へのマルウェアやその他の脅威の侵入を回避するための安全な対策が求められます。
• 人
人は、あらゆるセキュリティシステムにおいて常に最も脆弱な要素です。従業員には、サイバーセキュリティのベストプラクティスについて教育することが重要です。これには、フィッシング活動の識別、機密性の高いプロジェクト情報の取り扱い、サイバーセキュリティ要件の遵守、サイバーセキュリティインシデントの特定と報告に関する研修が含まれます。
世界経済フォーラムは、高まるサイバーセキュリティ上の課題にどのように取り組んでいますか。
サイバーセキュリティセンターは、リーダーが一堂に会し、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。増大する相互接続されたデジタル世界において、理解と信頼の構築に重点を置いています。
セクター横断的な連携と知見の共有を可能にすることで、同センターはパートナーのサイバーレジリエンスの強化を支援し、集団的な対応を必要とする課題への取り組みを後押しします。
• 資産リスト
資産リストとは、特定のプロジェクトで使用されるすべてのハードウェアおよびソフトウェア資産を網羅したリストです。このリストは、変更が発生したかどうかを検知し把握するための主要な基盤となります。
資産リストには、ファームウェアのバージョン、OS、IPアドレス、MACアドレス、脆弱性、パッチ適用済みの項目と未適用の項目、エンドポイントセキュリティの最新の更新内容などの情報が含まれます。すべての資産が適切に保護されるよう、また効果的な脆弱性管理およびパッチ管理を可能にするため、このリストは定期的に維持・更新されなければなりません。
• アクセス管理
アクセス管理は、機密情報やシステムへの不正アクセスを防ぐために不可欠です。これには、強力なパスワードポリシー、多要素認証、その他の仕組みの導入が含まれ、権限のある担当者のみが機密性の高い領域や機能にアクセスできるようにします。
• 安全な構成
安全な構成とは、ハードウェアおよびソフトウェアシステムの設定時にセキュリティのベストプラクティスを実装することを指します。これには、不要なサービスやポートの無効化、強力な暗号化の使用、およびシステムの攻撃対象領域を減らすためのその他のセキュリティ対策の実施が含まれます。
• 脆弱性およびパッチ管理
脆弱性およびパッチ管理とは、システムの脆弱性を定期的にスキャンし、既知の問題を修正するためのパッチを適用することを指します。これは、攻撃者が既知の脆弱性を悪用して機密情報へアクセスしたり、業務を妨害したりすることを防ぐうえで極めて重要です。
• インシデント管理
インシデント管理とは、サイバーセキュリティインシデントが発生した際に対応するための計画を整備しておくことを指します。これには、インシデントの範囲の特定、封じ込め、復旧に加え、改善点を特定するための事後分析の実施が含まれます。
これらすべての管理策は、潜在的なリスクが現場に移転しないよう、FAT段階で導入・文書化されなければなりません。
SAT段階のリスク
同様に、SAT/停止保守の期間およびブラウンフィールドサービスの段階も、OTシステムにサイバーセキュリティ上のリスクをもたらします。この段階では、システムが実際の環境でテストされ、発生した問題が対処されます。ただし、これらの段階ではシステムを停止する必要がある場合があり、保守作業を円滑に進めるためにサイバーセキュリティ管理が緩和されることがあります。さらに、サードパーティの請負業者はシステムのサイバーセキュリティ管理に精通していない場合があり、保守作業の完了時や、システム／プラントを生産再開のために再稼働させる際に、サイバーセキュリティ上の問題が生じるおそれがあります。その結果、無効化またはバイパスされたサイバーセキュリティ管理に対して、追跡できない変更が多数発生する可能性があります。
提案される高レベルの管理策
FAT段階で挙げた高レベルの管理策に加えて、動的なSAT環境に対応するため、SAT/停止保守の期間およびブラウンフィールドサービスの間に、追加の管理策を導入する必要があります。これらの管理策には、以下が含まれます。
• 環境との統合
SATでは、周辺の運用システムとの統合についてシステムの評価が行われます。これにより、他のシステムやソフトウェアとの相互作用によって生じる可能性のある脆弱性を特定できます。
• ネットワーク統合およびファイアウォール
システムは現在、意図された通りのネットワーク環境に置かれているため、SATでは、ファイアウォール、侵入検知システム、その他のネットワークセキュリティ対策とどのように相互作用するかを評価できます。開放されるべきでないポートの開放や、不正なネットワークアクセスの可能性といった脆弱性を明らかにすることができます。
• 認証および認可
これらはFATでもテストされる可能性がありますが、SATでは運用環境の文脈においてテストされます。例えば、システムが企業のID・アクセス管理ソリューションとどのように統合されているかなどです。
• レッドチーム／ブルーチームのテスト
組織によっては、実際の環境において、シミュレートされたサイバー攻撃に対してシステムがどの程度耐えられるかを確認するため、SAT中により積極的な侵入テスト（レッドチーム演習）を実施することを選択する場合があります。
• インシデント対応との統合
SAT中には、システムで発生したインシデントが、組織全体のインシデント対応計画およびツールとどのように統合されるかをテストすることもできます。
これらのリスクを軽減する方法
これらのリスクを軽減するため、エンドユーザー、請負業者、ベンダー、サプライヤーは、適切な文書化、承認の仕組み、テストおよび検証の手順を含む、堅牢な変更管理プロセスを確立し、採用しなければなりません。このプロセスにより、重要な期間やギャップ期間中に行われたものを含むすべての変更が適切に追跡され、セキュリティへの影響が評価され、システムの稼働開始前に検証されることを確実にする必要があります。より高度で厳格なアプローチとして、専任のサイバーセキュリティ担当者を任命し、各段階で行われたすべての変更をフォローアップし、文書化することが挙げられます。
