制御システムセキュリティを世界で主導、世界初のCSMS国際標準認証が始動：産業制御システムのセキュリティ（1/2 ページ）

標的型攻撃などが活発化する中、制御システムを守るために企業運営の面から対策する制御システムセキュリティマネジメントシステム（CSMS）認証制度が始動した。同認証は、国際標準規格である「IEC62443-2-1」に準拠。認証制度が本格始動したことにより、三菱化学エンジニアリングと横河ソリューションサービスが、世界で初めて同認証を取得している。

[三島一孝，MONOist]

　社会インフラに用いられる「制御システムのセキュリティマネジメントシステムの国際標準である「IEC 62443-2-1」に対して、日本で認証制度が始動した。初の認証企業として三菱化学エンジニアリングと横河ソリューションサービスが世界で初めて同認証を取得し、2014年4月25日には認証の授与式が開催された。

　標的型サイバー攻撃の拡大などが進む中、従来外部ネットワークとの接続がほとんどなくセキュリティが意識されてこなかった制御システムのセキュリティ向上が大きなテーマとなりつつある（関連テーマサイト：「制御システムセキュリティ」）。

	『制御システムセキュリティ』に関連する記事：
⇒	あなたの工場はこうやって襲われる！ ――標的型攻撃の典型パターンとは？
⇒	ググるだけで水圧バルブを直接操作可能!? ――制御系システムの「危うい現実」
⇒	工場システムがネットで丸見え!? ――JPCERT/CCが訴える制御システムの危機
⇒	事例から見る、製造現場でのセキュリティ導入の“ツボ”
⇒	Windows XPサポート終了問題、移行しないとなぜ駄目なの？
⇒	産業用制御システムの“深刻な脆弱性”が増加、IPA
⇒	連載「制御システム技術者のためのセキュリティ基礎講座」
⇒	テーマサイト「制御システムセキュリティ」

国際標準規格「IEC 62443-2-1」に準拠

　このような流れにおいて、国際電気標準会議（IEC）においても制御システム分野のセキュリティとして「IEC 62443シリーズ」の規格化を進めている。製品の制御システムセキュリティの国際標準として規格化された「IEC 62443-4（装置・デバイス層におけるセキュリティ機能や開発プロセス要件）」に対し、組織の管理体制に対して規格化されたのが「IEC 62443-2-1（組織に対するセキュリティマネジメントシステム）」だ。

　セキュリティというと機器やネットワークを技術的に保護するということに主眼が向きがちだが、実際には組織や人の問題が大半を占める（関連記事：サイバー攻撃の脅威は、サプライチェーンにどういう危機をもたらすか）。そのため、情報システムセキュリティにおいては早くからマネジメントシステムの「ISMS（情報セキュリティマネジメントシステム）認証」が用意されたが、制御系の情報ネットワークについても同様の考え方が求められることから、規格化が進んだ。

CSMS認証とは（クリックで拡大）

　「IEC 62443-2-1」は2010年に定められたものだが、この「IEC 62443-2-1」に準拠し、制御システムセキュリティマネジメントシステムについて適切な認証体制を構築するため、実際に認証サービスの提供に向けて準備を推進。このほど認証サービスが開始可能になった。

　CSMS認証体制は日本が世界に先駆けて構築が進んでいる。まず「認定機関」（認証機関を選ぶ機関）となった日本情報経済社会推進協会（JIPDEC）が認証機関を選定し、「認証機関」（事業者やインテグレーターを認証する機関）が各企業のCSMSについて求められるレベルにあることを認証するという仕組みを取る。認証機関として、日本品質保証機構（JQA）およびBSIグループジャパンが選ばれている。この認証体制構築に際しては、経済産業省の平成24年度（2012年度）補正予算事業「グローバル認証基盤整備事業」が活用されているという。

CSMS認証制度の仕組み（クリックで拡大）