「パスワード」はIoT／OT環境でもまだ安全？ 強固な防御実現に必要な対策：産業制御システムのセキュリティ（2/2 ページ）

最も身近なセキュリティ対策手法である「パスワード」。しかし、製造業でIoTとOTシステムの統合が進むなか、果たしてパスワードは十分な安全性を提供し続けてくれるでしょうか。

[貴島直也／Tenable Network Security Japan，MONOist]

全てを結び付ける――2FA、キー、デジタル証明書

　他の認証および承認メカニズムを使用することで、パスワードで実現できるもの以上にセキュリティを強固にできます。一般的には、「所有している情報と知っている情報」が使用されます。つまり、2つの要素（2FA）を使用した認証が最も安全となります。

　デジタル証明書、またはワンタイムパスコード（アプリケーションやFOBベース）をパスワードと組み合わせることで、2FAの「所有している情報と知っている情報」という要件を満たします。生体認証は、パスワードの強力な代替手段となります。さらにマシン間通信では、デジタル証明書によってマシン間通信の相互認証と強力な暗号化が可能になります。

　最後に、デジタル証明書は安全な通信でメッセージにデジタル的に「署名」するために使用されます。これにより、送信中のメッセージの内容の漏洩（ろうえい）を防ぎます。HTTPSでWebを使用していると、このアプリケーションが日々使用されていることが分かります。

　パスワードはこれからも認証の重要な部分を担い続けますが、単独での使用リスクは日々増していくでしょう。そのため、多くのオンラインサービスプロバイダーは「パスキー」に移行しつつあります。これらは2FAの2番目の要素として機能します。

　アプリやFOBキーの番号ではなく、生体認証（顔／指紋）を使用することで、システムを利用しているのが登録者本人であることを確認します。パスワードは玄関の鍵に相当します。これを使い中に入れますが、コピーを持っている人なら誰でもドアのロックを解除できてしまいます。資格情報の盗難が頻繁に発生していることから分かるように、パスワードはもはや安全な手法ではありません。

　このため、他の認証手段を含めたより強力な認証方法でセキュリティを強化する必要があります。証明書、または適切な2FAのいずれかが絶対に必要です。実際、誰かがパスワードを入手しても、2FAが適切に実装されていれば、そのパスワードは使用できません。認証に2番目の要素の提示が求められ、応じられない、または認証できない場合はシステムへのアクセスが拒否されます。1024ビットまたは2048ビットのRSAキーの偽造は、現時点では理論上不可能。顔や指紋についても同様です。

キーベースの未来への移行：課題と検討事項

　暗号鍵には否定できない利点がある一方で、課題も存在します。まず、レガシーシステムには慣性があります。おそらく、こうしたシステムは、運用が経済的に不可能になるまで、使用され続けることでしょう。

　キーを管理するには、専門的なスキルと権限証明書が必要です。証明書の有効期限切れやシステム障害の可能性を回避するには、慎重な管理が不可欠です。より複雑になることから、適切な導入シナリオを検討する際にリスクと利益の分析が必要になります。キーベースのシステムへの移行には、新しいテクノロジー、スタッフのトレーニング、ポリシーの開発に関連するコストもかかります。ただし、長期的なメリットは初期投資を上回り、より安全でレジリエントな環境を実現できます。

（今のところは）パスワードに縛られている

　暗号キーをサポートしていない一部のレガシーOTデバイスでは、残念ながら依然としてパスワードを使用せざるを得ないという現実があります。完全な置き換えが不可能な場合もあります。人間は誰しも慣れ親しんだものが好きで、時に切り替えのコストが高すぎることもあります。

　さらに、階層化セキュリティモデルの下位レベルで本当に高度なセキュリティの価値提案ができるのかと疑問を抱く人もいると思います。特に、それらのレベルが複数の上位層によって十分に保護されている場合はなおさらです。

　こうした状況では何ができるのでしょうか。このようなシナリオでは、強力なパスワード管理が不可欠です。これには、パスワードにおける複雑さの要件の設定、定期的なローテーション、可能な場合は多要素認証（MFA）の導入が含まれます。パスワードマネージャーでパスワードを安全に保存、管理することで、セキュリティをさらに強化し、不適切なパスワードの使用に伴うリスクを軽減できます。

IoT／OTセキュリティの未来：総合的なアプローチ

　ITとOTが統合されるにつれて、サイバーエクスポージャー管理、Active Directoryのセキュリティ保護、ゼロトラストアーキテクチャ（ZTA）がますます重要になります。これは効率性には優れていますが、新たなセキュリティ上の課題も生み出してしまいます。基本的な原則としては、孤立したシステムだけではなく、全体像を見ることにあります。

　サイバーエクスポージャー管理では、脆弱性を特定して軽減するために、アタックサーフェスを継続的に監視および評価する必要があります。Active Directoryを保護することで、承認されたユーザーのみが重要なシステムにアクセスできるようになると同時に、ZTAが厳格なアクセス制御を実施します。ITシステムとOTシステムの急増は、セキュリティリスクの増加につながる一方で、セキュリティ戦略を近代化するチャンスでもあります。包括的なアプローチを採用することで、組織は機密資産を保護し、運用におけるレジリエンスを強化できます。

つながる世界のための要塞を築く

　パスワードはこれまで十分にセキュリティ保護で役立ってきました。しかし、IoT／OTセキュリティの進化によって、保護に必要な要素はさらに増加しました。大量の新しいデバイスがインターネットに接続されるようになったため、セキュリティを本格的にアップグレードする必要があります。

　暗号化キーやセキュリティの階層化、パスワードのベストプラクティスに関する継続的な啓発活動は全て、防御を強化する上で不可欠です。これには継続的な警戒と適応活動が必要ですが、サイバー攻撃への防御力の強化は計り知れないメリットをもたらします。相互接続されたデバイスの世界は拡大し続けています。それらを揺るぎない意思を持って保護していくことが求められています。

⇒特集「制御セキュリティ」はこちら
⇒「産業制御システムのセキュリティ」の記事を読む

著者紹介

貴島直也（きしまなおや）
Tenable Network Security Japan株式会社
カントリーマネージャー

経歴

アダムネット株式会社（現三井情報株式会社）やEMCジャパン株式会社で主に金融担当営業および営業マネージャーを経て、EMCジャパンのセキュリティ部門であるRSAに執行役員として所属。GRCソリューションやxDRのビジネスの立ち上げ、拡大に従事、さらに韓国のゼネラルマネージャーも兼務。その後、RSAの独立に伴い執行役員社長としてRSAのビジネスの拡張をけん引。2021年4月より現職。日本企業のセキュリティマーケットの拡大およびチャネルアクティビティーの実行を統括。