{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
OT環境：サイバー犯罪の新たな領域 ー デジタル化する工場のサイバーセキュリティ（PwCオーストラリア）
本記事は2020年2月25日発表の英語版からの翻訳です。翻訳には正確を期しておりますが、英語版と解釈の相違がある場合は英語版に依拠してください。
OT（Operational Technology：生産ラインやシステムの制御・運用技術）環境に対するサイバー攻撃は近年、ますます高度化し、重要な社会インフラを阻害する可能性が高まっています。多くの組織は保有する膨大で複雑なネットワークの可視性を欠いており、サイバー攻撃に悪用され得る無数の潜在的なエントリーポイントが存在しています。セキュアな職場環境の実現のための包括的なサイバーセキュリティのアプローチは、増大するリスクを緩和し、よりレジリエントな組織への変革に貢献します。Fourth Industrial Revolution（第4次産業革命）［English］によって現実世界のデジタル化が進むにつれて、OT環境に対するサイバー攻撃の脅威は、破壊的な影響を与える懸念とともに急速に成熟しつつあります。
サイバー攻撃者は、21世紀に入る少し前から、制御・運用技術による監視や動作を担うインフラの一種であるOT環境への攻撃を開始してきました。初期の攻撃は、手法の有効性を見極めるために実験的に行われましたが、その後、有効な手法をベースに、より大きなダメージを与え得る手法へと強化されています。最近のOT環境に対するサイバー攻撃の動向として、新しい世代のサイバーハッカーが「取引」を始め、洗練された悪意あるランサムウェアによる攻撃が増加しています。
ノルウェーのアルミニウム製造企業、ノルスク・ハイドロに対する2019年のランサムウェアによる攻撃は、企業や政府が現在直面している脅威に関する重要な前兆でした。1
現在のサイバー攻撃の被害はかつてないほど深刻なものとなっています。ファイルを複合する見返りとして小額の支払いが要求される単純な攻撃から、2019年にメキシコの石油大手Pemexで発生したインシデントのように、石油精製などの重要なインフラの稼動停止を避けるために数百万ドルが要求される攻撃へと移行しています。2
攻撃包囲網の下で
政府や公的機関の組織は往々にして、自組織の保有するOTシステムに潜むセキュリティの脆弱性だけではなく、OTシステム自体についても完全に把握してはいません。それは、脅威が高まっているという事実に対し、認識が欠如しているということが理由ではありません。サイバーセキュリティはビジネス全体の懸案事項ではなく、ITだけの問題であるという旧来の考え方は、組織の安全を維持する責任の欠如を助長し、悪意のある第三者が重要なシステムやネットワークにアクセスできる可能性を高めます。
次に、ネットワーク分離の問題があります。ネットワーク分離は、企業の電子メールやインターネットアクセスといった、信頼性が低く脅威が相対的に容易に伝播する可能性があるネットワークからシステムを保護するために重要です。ファイアウォールなどの技術を使用してネットワークをさまざまなセグメントに分割するIT/OTネットワーク分離は、比較的単純な概念です。しかし、使いやすさとスピードを重視し、従来のネットワーク障壁がほとんどないデジタル社会を損なわずに実装することは、非常に困難な場合があります。
このような複雑さを念頭に置きながら下記の3つのステップを踏むことで、重要インフラを管理する組織は、サイバーセキュリティ戦略の中心にOT環境を置き、将来の攻撃に対してレジリエンスな組織を構築する過程でリスクを緩和することができます。
1．適切なリスク管理フレームワークを導入する
ITと重要インフラが融合することにより、都市はよりスマートになり、コネクテッド化が進み、その過程で、工場、鉄道・線路、送電網といった、これまでは独立していた環境が、よりシームレスかつ効果的に運営されています。
しかし、これらの環境でデータを収集するデジタルセンサーが普及し、数が増えるに連れて、それらを安全に保つことがますます困難になってきています。2017年7月、ワシントン・ポストは、IoTに対応した水槽を使用して米国のカジノからデータを盗むハッカーについて報道しました。3水槽のセンサーはその温度を調節するために使用されており、このような一見どうということもないIoTデバイスが、カジノのハイローラー（重要顧客）の重要データにアクセスするために利用されていました。これは衝撃的な事例であり、セキュリティに配慮されていないOT環境が深刻な被害を招く可能性があることを示しています。
タッチポイント（スマートフォン、ラップトップ、タブレット）の爆発的な増加や、クラウドベースのプラットフォームへの移行により、絶えず形を変え続ける「アタック・サーフェス（攻撃可能な箇所）」が生じています。重要な資産を把握し、米国のNISTフレームワークのようなリスク管理フレームワークによって重要な資産を管理することは、これまで以上に重要です。4これらのフレームワークは、従来のセキュリティ課題であるプライバシーや機密性より、安全性や環境への影響が重要視されるOT環境において関連するリスクに対応しています。
組織は、盲点を特定し、ITとOTネットワークを分割し、設定忘れといった単純なミスを避ける必要があります。サイバーセキュリティ戦略を検討する上で、テクノロジーランドスケープの変化を予測することも重要です。
2．人材と組織文化に焦点を当てる
セキュリティに対する意識と説明責任がサイバーセキュリティ戦略を推進する上で大きな障害であることは言うまでもありません。PwCの「2019 Digital Trust Insights」の調査によると、「サイバーセキュリティの先駆的企業」の71％が、サイバーセキュリティ部門が経営幹部と十分に意思疎通を行っていると答えている一方で、その他の企業ではわずか33％に留まりました。この結果は、サイバーセキュリティは経営上の重要課題ではなく、ITだけの問題であるという考えが背景にあると推測されます。
IT部門とOT部門間の意見の不一致や相互理解の不足、さらに、経営幹部または取締役会でサイバーセキュリティ対策の重要性について十分に理解を得られないことにより、セキュリティ侵害に対して無防備になり、重要なインフラストラクチャとサービスを脅威にさらす企業が後を絶ちません。OT環境におけるサイバーリスクを軽減し、より包括的で効果的なアプローチを実行するために、サイバーセキュリティ人材に投資し、あらゆる階層の組織においてサイバーセキュリティに関する重要性を認識し、さまざまな部門の協業を妨げる障壁を取り払うことが必要です。
OTシステムに大きく依存している組織は、インフラストラクチャの運用や保守に関するリスク、およびそれらが潜在する危険な環境に配慮し、安全を重要視する文化が強い傾向にあります。こうした組織は、サイバーセキュリティを安全の別の形態として定義し、すでに実装されている方法と手順を活用する絶好の機会です。その鍵となるのは、サイバーセキュリティに関するリスクを、OTを担うメンバーにとって身近な言葉で伝えることです。例えば、エンジニアは安定性、稼働時間、安全性およびレジリエンスを重視する傾向があり、こうした観点は全て、セキュリティと強い関連性または依存関係があります。現場にいる人々に、セキュリティを分かりやすく伝え、「実現する」ことが、OTサイバーセキュリティの認知を高める秘訣です。
3．可視性に対する障壁を排除する
サイバーセキュリティの確実な取り組みがなされない場合、組織へのサイバー攻撃のリスクが高まります。しかし、OT分野では、多くの組織が脅威の検知能力と対応能力を阻害する障壁に悩まされています。
例えば、レガシーシステム、複数のテクノロジーベンダー、責任の所在を複雑にしてしまう組織構成によって、多くの組織はOT環境のセキュリティリスクを一目で把握できません。
また、OT環境とIT環境を適切に分割できず、フラットなネットワーク構造になってしまうことで、管理は容易であるものの、サイバーセキュリティの観点から見れば簡単に攻撃を許してしまう構造となりがちです。つまり、1つのデバイスが侵入口となることは、自社の従業員または社外のビジネスパートナーのいずれからであっても、ITネットワーク全体を危険にさらし、重要なOTシステムにも拡大します。
重要なシステムとそうでないシステムを区別することは、組織が保護する価値のある資産をより適切に把握し、適切な制御を実施するために有効です。OT環境とIT環境の関係性または両者の違いを明確にすることが、将来の脅威を防ぐ第一歩です。
より安全な未来に向けて
テクノロジーによって、私たちのインフラストラクチャは、よりシームレスに、便利に、顧客中心になっていますが、一方で絶えず出現するリスクに備え、将来の脅威を予測することが重要です。そのための備えは、サイバーセキュリティをビジネスにおける必須事項の中心に置き、サイバースペース上の安全性の確立に投資し、脆弱性のあるシステムを特定することから始まります。
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
