原子力産業におけるPMMD（携帯Media ・Mobile 機器）保護

デジタルおよび通信システムの安全を確保するための厳格な要件に伴い、NEI（原子力研究所）は、CFR（連邦規則）のタイトル10、セクション73.54に沿った2つの文書、NEI 08-09およびNEI 18-08を発表した。この2つの文書は、サイバーセキュリティに対するリスクベースのアプローチを強調し、原子力発電施設を保護するための強固な基盤を形成している。

連邦規則集タイトル10のセクション73.54は、核物質と施設のセキュリティのための枠組みを確立することにより、原子力施設における厳格なセキュリティ対策を実施している。その規定は、堅牢な物理的保護システムを導入し、システムの完全性と冗長性を確保し、厳格なアクセスプロトコルを適用することを事業者に求めている。この規制の包括的なアプローチは、USB ドライブ、DVD、フロッピーディスクのようなレガシーデバイスを含む悪意のある周辺メディアがもたらす脅威に対処しながら、物理的な保護に焦点を当てている。

NEI 08-09 は、原子炉のサイバーセキュリティプログラムを確立するための包括的な枠組みを提供する。重要なデジタル資産（CDA）を特定し、内部および外部の脅威から保護し、ポータブルおよびmobile メディアを含むシステム全体の脆弱性を緩和するための方法を概説している。

規制要件に準拠した効果的なサイバーセキュリティ計画を策定するには、以下の点を考慮する必要がある。

エアギャップ環境では、キオスク端末がサイバー攻撃の主要な標的になる。PMMD攻撃の経路に対処することは、強固なサイバーセキュリティ計画を立案・実施する上で極めて重要である。

サイバーセキュリティ計画の策定を検討することはさておき、これらの具体的な対策を実施することは、PMMD攻撃に対する原子力施設の安全確保に役立つ。

OT 環境内のポータブルメディアとmobile デバイスに厳格な管理ポリシーを課して、許可されていないデバイスを制限し、MetaDefender Endpoint™ のようなエンドポイント保護ソリューションを使用することで、デバイスの使用状況を監視・管理することができます。さらに、組織は、デバイスの紛失や盗難に備えてデータの完全性を保護するために、すべてのポータブルメディアの暗号化を要求するポリシーを実施する必要があります。

重要なネットワークにアクセスする前に、ネットワークに接続する周辺機器やリムーバブル・デバイスは認証を受ける必要がある。このようなプロセスにより、適切にスキャンされ、セキュリティで保護されたデバイスのみが施設のシステムとやり取りできるようになります。MetaDefender Kiosk™のようなソリューションは、そのMetaDefender Media Firewall™技術と様々な場所に適合する複数のフォームファクタを持ち、原子力施設のファイル転送操作の安全性を確保する上でその有効性が証明されています。

デバイスのアクティビティを継続的に監視し、データ転送の包括的なログを記録することで、異常なアクティビティや不正アクセスの試みを特定することができます。さらに、デバイスの接続ログを維持することは、セキュリティ監査に役立ちます。

ネットワークへのアクセスを許可する前にすべてのデバイスにマルウェアがないかチェックするためには、施設に入るすべてのポータブルおよびmobile メディアに対する強制スキャンが極めて重要です。据え置き型のスキャンツールに加え、ルートキット感染などの隠れたマルウェアを検出する機能を備えたMetaDefender Drive™ のようなポータブルベアメタルスキャンツールは、サイバーセキュリティ計画の強化に役立ちます。

最新のセキュリティ・システムのほとんどは、依然としてヒューマン・エラーを起こしやすい。組織は、ポータブル・メディアやmobile デバイスの使用に関連するリスクについて、定期的かつ最新の従業員研修を実施すべきである。NEIのガイドラインでは、不明なUSB デバイスの使用を避ける、個人のデバイスが重要なシステムに接続されていないことを確認する、といったベストプラクティスについて従業員を教育することを提唱している。