終焉する“孤立したOTネットワーク”、ITとの統合でサイバー攻撃を防ぐには：製造業が直面するサイバーリスクと対策（1）

製造業におけるサイバーリスクとセキュリティトレンドおよびそれらの課題と対策について説明する本連載。第1回は、既に自動化が進んだ工場におけるOTとITの統合に向けたサイバー攻撃への対策を取り上げます。

[森屋幸英（Tenable Network Security Japan），MONOist]

はじめに

　製造業では、コンピュータが導入された当初から、企業の構内などクローズドの環境で稼働してきました。しかし現代は、スマートなOT（Operational Technology：制御技術）、モダンITおよびその間にある全てのものが混在するダイナミックかつ複雑な環境になっており“孤立したOTネットワーク”の時代は既に終わりを告げています。

　サイバー犯罪者は、これらの統合されたネットワークを利用して、1つのシステムから別のシステムへと移動するため、デバイスの侵害をいっそう危険なものにしています。本連載では3回にわたって、製造業におけるサイバーリスクとセキュリティトレンドおよびそれらの課題と対策について説明します。第1回は、既に自動化が進んだ工場におけるOTとITの統合に向けたサイバー攻撃への対策を取り上げます。

世界で最も多様性に富んだ日本の製造業

※写真はイメージです

　日本の製造業は、世界で最も多様性に富んだ産業の一つです。その専門性は、家電製品、自動車製造、コンピュータ、機械など多岐にわたっています。

　日本が国内だけでなく、グローバルの需要も満たしているのは、自動化技術の急速な導入と関係しています。自動化へのシフトは、1960年代初頭にPLC（プログラマブルロジックコントローラー）を活用して、手動で行われていた製造作業を自動化したことで始まりました。これらのコンピュータは、ロボットアーム、ポンプ、アクチュエータなど、自動システムを実行する頭脳となりました。技術の進歩に伴い、これらを制御するOTは増殖し、製造と生産のバックボーンとなりました。

　ITとOTの融合は、DX（デジタルトランスフォーメーション）のペースを加速させ、多くの点で効率化をもたらすことができますが、リスクがないわけではありません。

ITとOTの境界線があいまいに

　今日、製造業や重要インフラはともに、ITとOTの相互接続による効率化の恩恵を受けています。互いの境界線があいまいになっていく中、かつてはエアギャップ^※）で厳重に隔離されていたものが今では融合しつつあります。

※）エアギャップ：コンピュータネットワークでセキュリティを高める手法の一つ。守りたい対象となるコンピュータやネットワークを、インターネットなどの他ネットワークから物理的に隔離すること。

　OT環境が外部にさらされることで、ビジネスに大きな影響を与える新たなセキュリティ脅威が発生しています。OT環境と外部の接続は、以前では考えられなかった攻撃経路の増加を伴いつつ、より大きな攻撃対象面を生み出すことになったのです。

　従って、組織は、このITとOTの相互接続というコンバージェンス（融合）の潜在的な影響を深く理解しておく必要があります。企業のセキュリティチームは、ITとつながる全てのOTデバイスの所在を正確に把握しているのか、それぞれのOTデバイスの詳細を完全に把握しているかどうかが重要になってきます。サプライヤーなどのサードパーティーを通じて、サイバー攻撃が行われる可能性もあります。

　サイバーセキュリティを担保していたエアギャップを増やせばいいというわけではありません。逆に、エアギャップで区切られている環境の間をサイバー攻撃者が容易に行き来することを可能にします。

　例えば、サードパーティーが特定のコンポーネントを製造している場合、サードパーティーのシステムに存在する脆弱性が、他の組織のネットワークにまで浸透する可能性があります。代表的な事例となるのが、数年前に米国の大手小売チェーンで発生したサイバー攻撃です。このケースでは、暖房換気空調（HVAC）のメンテナンスを提供しているパートナーが、この小売チェーンにVPN（仮想プライベートネットワーク）で接続していました。ハッカーが、HVAC業者に危害を加え、VPN接続を発見し、これを利用して小売チェーンに侵入しました。このようなシナリオが今日でも実行される可能性があると考えるのは、決してとっぴな話ではありません。

ITとOTの統合運用に伴うサイバーリスクへの対応

　組織のインフラが成長し分散化が進むにつれ、OT環境内の全てのコンポーネントを追跡することはより困難になり、OTアセットが工場のオペレーターを未知のリスクにさらすことになります。

　ITとOTの統合運用に伴う新たなサイバー攻撃に対処するためには、両部門のセキュリティチームがインフラ全体を統一した視点で捉えなくてはなりません。そのためには、各アセット、脆弱性、セキュリティアラートの状況認識を深める必要があります。

　ここからは、サイバー攻撃を防ぎ、リスクを軽減するためのガイドラインを紹介します。

• 可視性：OTとITシステム全体のサイバーリスクを管理、測定するための単一プラットフォームを持つことで、セキュリティチームは、統合した攻撃面を完全に可視化することができます
• 脅威の検出と緩和：マルチ検出エンジンを活用して、OT業務に影響を与えるリスクの高い脅威を検出します
• アセットトラッキング：ネットワークレベルだけでなく、デバイスレベルに至るまで、インフラに対する比類のない可視性を得ることが大切です。ネイティブな通信プロトコルを組み合わせて、ICS（産業用制御システム）環境のOTデバイスだけでなく、ITにも積極的に照会を行い、全てのアクションを特定します
• 脆弱性管理：包括的で詳細なITおよびOT資産追跡機能を活用して、ICSネットワーク内の各アセットを使用することで、脆弱性とそのリスクレベルを管理します
• 構成管理：デバイスの構成変更を全て記録することで、最後に良好だった状態でバックアップのスナップショットを確立し、迅速なリカバリーと業界の規制へのコンプライアンスを実現します

　ITとOTの統合を検討する場合、新しい技術を追加したり、既存の技術を他のシステムやインターネットに接続したりする際に、新たな脅威が入り込まないように、十分セキュリティを考慮する必要があります。後からキャッチアップしても良い結果や費用対効果の高い結果が得られることはほとんどありません。セキュリティが最初から組み込まれていれば、許容できないリスクや不必要な追加コストを負担することなく、自動化システムの可用性、セキュリティおよび制御を確保することができるのです。

筆者プロフィール

森屋 幸英（もりや ゆきひで） Tenable Network Security Japan カントリーマネージャー

マイクロソフト株式会社でWindows Serverなどのインフラ製品・セキュリティ技術のマーケティングを担当、トレンドマイクロ株式会社で企業向け製品のデマンドジェネレーション活動やコンシューマー向けマーケティング業務の統括、セキュリティソフトウェア会社のマーケティングディレクター、事業統括などを経て2020年1月Tenable Network Security Japan カントリーマネージャーに就任。

・Tenable Network Security Japan https://jp.tenable.com/