「制御システムセキュリティ」ってそもそもどういうこと？：制御システム技術者のためのセキュリティ基礎講座（3）（2/2 ページ）

制御システム技術者が知っておくべきセキュリティの基礎知識を分かりやすく紹介する本連載。今回は「そもそも制御システムのセキュリティとはどういうものか」について解説する。

[佐々木 弘志 ／ マカフィー，MONOist]

制御システムにおけるC-I-Aとは？

　では、これらの資産について維持する必要のあるC-I-Aはどのようなものなのかを考えてみよう。

　まず、C（機密性）については、制御システムを動作させるためのプログラムやレシピデータなどの知的財産の漏えい防止が考えられるだろう。例えば、打錠機^※注3）のような精密機械においては、ラダープログラムが性能を左右する大きな要素となる。また、製薬ラインや化学プラントで用いられる材料の配合比率などのレシピデータは、収率^※注4）を左右する大きなノウハウである。これらのデータが漏えいし、第三者に悪用されないように対策することが、「機密性」を維持するということだろう。

※注3）薬の粉末を成型して錠剤とするための装置。精度や高速性が求められる。

※注4）化学反応などにおいて、理論上得られる量の最大値と実際に得られる量の割合。収率が高いほど効率が良く、コストダウンできる。

　次に、I（完全性）について考えてみる。例えば、制御機器と端末をつなぐ通信が何らかの方法で改ざんされるとどうなるだろうか。これはまさに前回紹介したStuxnetの例そのものだろう。Stuxnetによって、制御機器のモニターデータが改ざんされたために、オペレータは装置の異常に気付くことができなかったという。結果、核施設内の多数の遠心分離器が破壊されたのだ。

　他にも、レシピデータの改ざんによって、化学プラントの収率が落ちることも考えられる。こうして考えると、「完全性」を維持するとは、制御システムに関するモニター値、ログ、レシピ、ラダープログラムなどの管理データが勝手に改ざんされないようにすることといえるだろう。

13の工場が停止し1400万ドルの損害

　最後に、A（可用性）について考えてみよう。制御システムではこの可用性が最も重視される。電力システムなどの重要インフラにおいては言わずもがなだが、例えば、通常の製造業の工場においても、ラインが止まってしまうと大変な損失を産む場合がある。

　2005年8月に、ダイムラー・クライスラーの13の工場がワーム^※注5）感染により操業停止に陥り、総額でおよそ1400万ドル（約11億円）の損害が発生したという事例もある^※注6）。皮肉なことに、制御システムにおいては、可用性を維持することが最優先されるがために、可用性を損なう危険性が増しているというのが実情である。

※注5）ユーザーの操作を必要とせず、コンピュータに侵入し、破壊活動や他のコンピュータに感染しようとするマルウェア（悪意あるソフトウェア）の一種。

※注6）IPA「重要インフラの制御システムセキュリティとIT サービス継続に関する調査」より（PDF）

　「可用性を維持する」とは、制御システムでは「できる限り現状維持」と同義となっている場合が多い。つまり、制御システムにおいては、古いOSやシステムが残り続けるし、システムを構成するOSやソフトウェアのアップデートがなかなかできない上、アンチウイルスソフトの定義ファイルが更新されずに放置されるということが起こっているのである。実際、先のダイムラー・クライスラーのワーム感染の例では、Windows2000に対するセキュリティアップデートが行われていなかったことで感染が広がったといわれている。

　こうして考えてみると、制御システムは、「守るべき資産」の上では「汎用でないOSや専用通信ネットワーク」、また「維持する必要のあるC-I-A」の観点では「可用性の維持」という点に特有の事情があることが見て取れる。

次回は？

　ここまで、制御システムのセキュリティとはどういうものかの概要を説明してきた。いわゆる情報セキュリティと基本的な考え方は同じであるが、制御システム特有の事情があることもご理解いただけたと思う。

　当然のことながら「では、制御システムにおける守るべき資産について、必要なC-I-Aを維持するには具体的にどうすればいいのか？」というのが次の疑問となって出てくるだろう。次回は、この疑問に答えるべく、最新のセキュリティトレンドを交えながら具体的なソリューションについて紹介することにする。

危機を迎える制御システムのセキュリティ対策とは？：「制御システムセキュリティ」コーナーへ

工場やプラントなどの制御システム機器へのサイバー攻撃から工場を守るためには何が必要なのでしょうか。「制御システムセキュリティ」コーナーでは、制御システムセキュリティ関連の最新情報をお伝えしています。併せてご覧ください。