金融からヘルスケア、製造まで、さまざまな分野で、機密データを保護し、重要なサービスの継続的な運用を確保するためには、包括的なサイバーセキュリティ対策が不可欠です。サイバーセキュリティの最も重要でありながら見落とされがちな分野の1つが、OT(オペレーショナルテクノロジー)セキュリティです。自動化され相互接続されたシステムへの依存度が高まり、脅威アクター、ハクティビスト、国家からの攻撃が着実に増加するにつれて、これらのテクノロジーとそれらが運用する環境をサイバー脅威から保護することがこれまで以上に重要になっています。
OTとは?
OT（Operational Technology：運用技術）とは、物理的なプロセス・機器・インフラを監視・制御するために使用されるハードウェアやソフトウェアシステムを指します。一方、データの処理や保存を主な目的とする IT（Information Technology：情報技術） とは異なり、OTは現実世界の運用を直接扱うため、そのセキュリティはサイバーセキュリティ全体において極めて重要な要素となります。
OTセキュリティとは?
OTセキュリティとは、運用技術（OT）システムをサイバー脅威から保護するための取り組みや技術を指します。これには、ICS（産業制御システム）、SCADA（監視制御・データ収集システム）、PLC（プログラマブル論理制御装置）、DCS（分散制御システム）など、産業プロセスを管理・自動化する各種システムが含まれます。
さまざまな分野で見られるOTコンポーネントの例:
産業プロセスの運転や制御を担う自動化システム。
産業機器を監視・制御するために、リアルタイムデータを収集・分析するハードウェアとソフトウェアのネットワーク。
組立ラインやロボット機器などの製造工程を制御するために用いられる産業用デジタルコンピュータ。
ITセキュリティとOTセキュリティの違い
重点領域
ITセキュリティは主に、データの完全性・機密性・可用性を保護することを目的としています。デジタル情報の保護、ネットワークの安全確保、ユーザーのプライバシー保持に重点を置いています。一方で、OTセキュリティは物理システムの安全性・信頼性・運用の継続性を優先します。ITセキュリティが「データを守る」ことを目的とするのに対し、OTセキュリティは「機械やインフラを正常に機能させること」を重視しています。
資産の特性
IT資産には、データ、ソフトウェア、ネットワーク、ユーザー端末などが含まれます。一方、OT資産には、製造装置、電力網、交通システム、重要インフラといった物理的なシステムが含まれます。
脅威の全体像
ITシステムは、マルウェア、メールフィッシング、データ漏えい、内部不正といった脅威にさらされています。そしてIT/OT コンバージェンス（融合）のにより、これらの攻撃が“環境に潜む正規の仕組み”を悪用して重要なOT資産へアクセスすることも可能になっています。さらに OTシステムは、サボタージュ（妨害行為）、産業スパイ活動、サイバー・フィジカル攻撃など、運用を混乱させたり物理的被害を引き起こしたりする脅威にもさらされています。
OTネットワークは、不正アクセスを防ぐために、セキュリティで保護されていないネットワーク、特にパブリックインターネットからネットワークを分離するセキュリティ対策であるエアギャップを採用することが多いという点で独特です。これらの予防措置にもかかわらず、レガシーOTシステムの更新には通常、重要な資産の維持とアップグレードに不可欠なリムーバブルメディアが必要ですが、重大なセキュリティリスクも伴います。リムーバブルメディアの使用は、従来のネットワークセキュリティ対策を迂回し、マルウェアやその他の脅威をOT環境に直接導入し、これらの重要なシステムの整合性と安全性を損なう可能性があります。
セキュリティのアプローチ
ITセキュリティでは、アンチウイルスソフト、ファイアウォール、メールセキュリティ、暗号化といったツールが用いられ、システムの機密性を守ることが最優先となります。一方で、OTセキュリティの戦略は、ネットワークの分離、資産の可視化、USBやリムーバブルメディアのスキャンなどに重点が置かれます。これらは、製造設備やプロセスの予期せぬ停止を防ぐためのセキュリティ対策です。
コンプライアンスおよび法規制
規制もまた、こうした優先事項を反映しています。ITセキュリティは、データ保護やプライバシーを重視する GDPR、HIPAA、PCI-DSS といった規制の対象となります。一方、OTセキュリティは、産業制御システムや重要インフラのセキュリティに特化した規格や規制に従います。具体的には、NIST SP 800-82、IEC 62443、ISO/IEC 27019、 NERC CIP、 NIS2、米国大統領令や その他の規制 の対象となり、多くの場合、これらのシステムの信頼性が優先されます。
リスクマネジメント
ITリスクマネジメントは、データの保護と事業継続の確保を中心に据えています。一方、OTリスクマネジメントは、物理的な運用の安全性と信頼性を重視し、しばしばデータの機密性よりも人命の安全や環境保護を優先します。
OTセキュリティ上の脅威
OTシステムは、深刻な影響を及ぼしかねない独自のサイバーセキュリティ脅威に直面しています。ITシステムとの接続や統合が進むにつれて、OTもまた新たな脅威経路に対して脆弱になりつつあります。OTセキュリティが侵害された場合、その影響は企業の運用や収益性にとどまらず、公共の安全や国家安全保障にも重大なリスクをもたらす可能性があります。代表的なOTセキュリティの脅威には以下のようなものがあります。
マルウェア
Confickerのような攻撃は、ネットワークの脆弱性を悪用し、リムーバブルメディアを介して拡散する。2008年の英国国防省システムに対する攻撃に見られるように、エアギャップを越えてOTインフラにとって危険なものとなり、重要なオペレーションを混乱させる。
ランサムウェア
重要なシステムを人質に取り、身代金が支払われるまでロックダウンする攻撃です。代表例としては、英国の国民保健サービス（NHS）に甚大な影響を与えた WannaCry 攻撃があります。
内部の脅威
悪意を持つ従業員や契約業者、または不注意によってセキュリティを侵害してしまう人為的リスク。
国家主体の脅威アクター
国家に支援され、高度に組織化された攻撃者。多くの場合、政治的な目的を伴う攻撃計画を実行します。
現実に起きたセキュリティ被害
これらの脅威は空虚なものでも仮定の話でもなく、非常に現実的なものです。ここでは、OTセキュリティに重点を置くことで阻止できた可能性のある、注目を集めたサイバー攻撃の最新の例をいくつか紹介します。
2010
イランの核開発計画を標的とし、遠心分離機に物理的な損傷を与えた高度なサイバー兵器。
2015
20万人以上が停電するサイバー攻撃で、重要インフラの脆弱性が浮き彫りになりました。
2023
イランが支援するハッカーグループCyberAv3ngersは、圧力の監視と調整を担当するブースターステーション をなんとか制御し 、飲料水の供給を脅かしました。
OTセキュリティ侵害がもたらすリスク
重要なOTネットワークが侵害されると、その影響は広範囲に及び、組織の運用やより広範なコミュニティのさまざまな側面に大きな影響を与える可能性があります。OTシステムの完全性とセキュリティを確保することは、次のようなさまざまな悪影響を防ぐために不可欠です。
公共の安全に対するリスク
OTシステムが侵害されると、危険な状態になり、人命や環境を危険にさらす可能性があります。たとえば、水処理施設へのサイバーフィジカル攻撃は、水道を汚染し、公衆に深刻な健康リスクをもたらす可能性があります。同様に、産業用制御システムの中断は、危険物の制御不能な放出、火災、または爆発につながる可能性があります。
製造業の混乱
製造プロセスの混乱は、金銭的損失をはるかに超えた影響を与える可能性があります。例えば、重要なワクチンの生産が中断されると、健康危機の際に予防接種の取り組みが遅れ、病気の蔓延を悪化させる可能性があります。さらに、合金などの重要な材料が検出されずに仕様外で製造された場合、他のアプリケーションで壊滅的な故障につながる可能性があります。製造管理が危うくなったために、構造部品が思ったよりも脆くなって橋が故障したと想像してみてください。このようなインシデントは、製造業務における厳格な監視とセキュリティを維持することの重要性を強調しています。
経済的影響
OTシステムの広範な停止や混乱は、経済に大きな影響を与える可能性があります。商品の生産や輸送の失敗は、組織の当面の財務健全性に影響を与えるだけでなく、サプライチェーンを混乱させ、消費者と企業の両方に不足とコストの増加をもたらします。例えば、主要港湾へのサイバー攻撃は、物資の流れを止め、世界中の産業に影響を与え、経済を著しく不安定にする可能性があります。
IT/OTコンバージェンスとは何か？
IT/OTコンバージェンスとは、効率性、データ共有、意思決定の向上を目的としたITシステムとOTシステムの統合を指す。この融合は、IIoTIndustrial Internet of Things）、ビッグデータ分析、クラウドコンピューティングなどのテクノロジーの進歩によって推進されている。
新しいセキュリティの脆弱性
接続性の向上により、新しい攻撃ベクトルが導入されます。
システム管理の複雑化
異種システムを統合するには、慎重な計画と調整が必要です。
効率の向上
運用の合理化とリソース管理の改善。
意思決定の強化
リアルタイムのデータ分析により、情報に基づいた意思決定が可能になります。
コスト削減
自動化と予知保全による運用コストの削減。
統一されたアーキテクチャ
統合する共通フレームワーク IT そしてOTシステム。
高度な分析
両方のデータを分析するためのツール IT とOT環境。
堅牢なセキュリティ対策
統合システムを保護するための包括的なセキュリティ戦略。
OT環境を守るベストプラクティス
Considering the challenges presented by an evolving threat landscape, effective OT cybersecurity is essential for protecting critical infrastructure and ensuring the uninterrupted operation of industrial systems. By adhering to OT security best practices, organizations can significantly reduce the risk of cyberattacks and mitigate potential damage. The following sections outline key strategies and practices for enhancing OT cybersecurity, including thorough risk assessments, essential cybersecurity practices, and the development of a defense-in-depth security framework.
サイバーセキュリティの主要な概念
周辺機器およびリムーバブルメディアのセキュリティ
リムーバブルメディアに厳格なスキャンセキュリティポリシーを適用する USB ロビーからエンドポイントまで、すべての エントリポイントにストレージデバイスを配置します。
セグメンテーション
OTネットワークを IT マルウェアの拡散を制限するためのネットワーク。
ネットワーク境界のセキュリティ
データダイオードとセキュリティゲートウェイを備えたネットワーク間のデータトラフィックをリアルタイムできめ細かく制御します。
サプライチェーンセキュリティ
サプライチェーンの混乱は、ドミノ効果を引き起こす可能性がある。つまり、悪用された脆弱性は、最終的にチェーンのさらに下流にまで影響を及ぼし、大きな損害につながる可能性がある。
パッチ管理
重要な資産のソフトウェアとファームウェアを定期的に更新して、 セキュリティの脆弱性を修正します。
セキュリティリスク評価
新たな脅威に対処するために、リスク管理計画を定期的に見直して更新します。
多層防御型OTセキュリティフレームワークの実装
適切に構造化されたセキュリティフレームワークは、重要なインフラストラクチャを保護するだけでなく、産業オペレーションの回復力と継続性も確保します。以下の5つのステップは、現在のセキュリティ対策の評価、ポリシーの確立、コントロールの展開、スタッフの教育、継続的な監視の維持に焦点を当て、効果的なOTセキュリティフレームワークを開発および実装するための包括的なガイドを提供します。
コンプライアンスおよび法規制
業界標準と規制を遵守することは、OTセキュリティ対策を包括的かつ最新のものにするために重要です。コンプライアンスは、リスクを軽減し、重要なインフラストラクチャを保護するのに役立つだけでなく、組織が法的および規制上の要件を満たしていることを保証し、コストのかかる罰金や法的措置を防ぐことができます。OTセキュリティに関連する3つの主要な規格と規制の枠組みは、NIST(米国国立標準技術研究所)ガイドライン、IEC(国際電気標準会議)規格、およびNERC CIP(North American Electric Reliability Corporation Critical Infrastructure Protection)規格です。
NISTガイドライン
NISTサイバーセキュリティフレームワークは、サイバーセキュリティリスクを管理および軽減するための包括的なアプローチで広く認識されています。主なコンポーネントは次のとおりです。
識別する： 組織のOT環境を理解し、サイバーセキュリティリスクを管理します。これには、物理資産とソフトウェア資産の特定、サイバーセキュリティポリシーの定義、リスク管理プロセスの確立が含まれます。
守る： 重要なインフラストラクチャサービスを確実に提供するためのセーフガードを実装します。これには、アクセス制御対策、トレーニングおよび意識向上プログラム、データセキュリティプロトコル、およびメンテナンスプロセスが含まれます。
検出する： サイバーセキュリティイベントの発生を特定するためのアクティビティを開発および実装します。これには、継続的な監視、検出プロセス、およびセキュリティイベント分析が含まれます。
対応する： 検出されたサイバーセキュリティイベントに対してアクションを実行するためのアクティビティを開発および実装します。これには、対応計画、コミュニケーション戦略、分析、および軽減が含まれます。
回復する： レジリエンスのための計画を維持し、サイバーセキュリティイベントによって損なわれた機能やサービスを復元するためのアクティビティを開発および実装します。これには、復旧計画、改善、および復旧活動の伝達が含まれます。
IEC規格
IECは、すべての電気、電子、および関連技術に関する国際規格を提供します。OTセキュリティの主な基準は次のとおりです。
- IEC 62443: この一連の規格は、産業用オートメーションおよび制御システム(IACS)を保護するための包括的なフレームワークを提供します。サイバーセキュリティのさまざまな側面に対応しています。
- 一般要件(IEC 62443-1-x): OTサイバーセキュリティに関連する用語、概念、モデルの概要を提供します。
- ポリシーと手順(IEC 62443-2-x): セキュリティ ポリシー、手順、およびプラクティスを確立および維持するための要件について説明します。
- システムセキュリティ要件(IEC 62443-3-x): 制御システムおよびコンポーネントのセキュリティ要件を指定します。
- コンポーネントのセキュリティ要件(IEC 62443-4-x): 制御システムコンポーネントの安全な製品開発とライフサイクル管理の要件を詳しく説明します。
IEC 61508: 電気、電子、およびプログラマブル電子安全関連システムの機能安全に対応しています。これは、安全システムの故障に関連するリスクを特定して軽減するのに役立ちます。
NERC CIP 標準規格
NERC CIP規格は、北米のバルク電力システム内で運用されている事業体に義務付けられています。これらの標準は、BES をサイバーセキュリティの脅威から保護するように設計されており、次のものが含まれます。
- CIP-002: BES Cyber Systemsおよび関連資産を、グリッドへの影響に基づいて識別および分類します。
- CIP-003: BES Cyber Systems のセキュリティを管理するためのサイバーセキュリティ ポリシーと手順を確立します。
- CIP-004: BESサイバーシステムにアクセスできる個人が資格を持ち、セキュリティの責任を理解していることを確認するための人員とトレーニングプログラムが必要です。
- CIP-005: 電子セキュリティ境界に焦点を当て、BESサイバーシステムへの電子アクセスを制御するための対策を要求します。
- CIP-006: BES サイバーシステムを物理的な脅威から保護するための物理的なセキュリティ制御を指定します。
- CIP-007: パッチ管理やマルウェア防止など、システム セキュリティ管理の要件について概説します。
- CIP-008: サイバーセキュリティインシデントのインシデント報告と対応計画が必要です。
- CIP-009: サイバーセキュリティイベント後にBESサイバーシステムを復元できるようにするための復旧計画を確立します。
- CIP-010: 構成変更管理と脆弱性評価に対処します。
- CIP-011: BES Cyber System情報の取り扱いと廃棄を含む情報保護を確保します。
OTセキュリティの未来
世界の重要なシステムを保護するために使用される戦略とツールは、攻撃的な脅威の状況の先を行く必要があります。OTセキュリティの未来は、保護とレジリエンスの強化を約束する新たなトレンドと技術の進歩によって形作られることになります。AIや機械学習、エッジコンピューティング、ブロックチェーン技術などの主要な開発は、OTセキュリティに革命をもたらし、脅威を予測、検出、軽減する新しい方法を提供する態勢を整えています。
さらに、テクノロジーの絶え間ない進化により、セキュリティチームが新たな課題に取り組むための準備を整えるために、適応型セキュリティ戦略と継続的な専門的なトレーニングが必要になります。
新たなトレンド
- AI and Machine Learning
Leveraging AI and machine learning for predictive maintenance and threat detection.
- エッジコンピューティング
生成された場所の近くでデータを処理することで、セキュリティを強化します。
- ブロックチェーン技術
ブロックチェーンを使用してデータトランザクションを保護し、システムの整合性を強化します。
専門的なトレーニングと能力開発の役割
最新のセキュリティプラクティスとテクノロジーに追いつくには、継続的な教育とトレーニングが不可欠です。専門能力開発に投資することで、セキュリティチームは進化する脅威に対処するための十分な準備を整えることができます。
世界の重要インフラをマルウェア攻撃から保護する
OTに関連する固有の課題と脅威を理解し、ベストプラクティスを実装し、新しいテクノロジーを採用することで、組織はサイバーセキュリティ体制を大幅に強化できます。重要なインフラストラクチャを保護するには、定期的なリスク評価、継続的な監視、業界標準や規制の遵守など、OTセキュリティに対するプロアクティブなアプローチが不可欠です。
過去20年間 OPSWAT、のグローバルリーダー IT、OT、ICSの重要インフラのサイバーセキュリティは、複雑なネットワークを保護し、コンプライアンスを確保するために必要な重要な利点を公共部門および民間部門の組織や企業に提供するエンドツーエンドのソリューションプラットフォームを継続的に進化させてきました。今すぐ当社の専門家に相談して、OTサイバーセキュリティの重要な利点を発見してください。
よくある質問
Q.OT(オペレーショナル・テクノロジー)とは?
A. オペレーショナル テクノロジーとは、製造、エネルギー、公益事業などのさまざまなセクターの物理デバイス、プロセス、およびイベントを監視および制御するために設計されたハードウェアおよびソフトウェア システムを指します。違って IT、OTは物理的な世界に直接影響します。
Q.なぜ現代の産業においてOTセキュリティは重要なのですか？
ある。自動化されたコネクテッドテクノロジーの使用が進む業界にとって、OTシステムのセキュリティを確保することが重要になっています。セキュリティ侵害は、運用の中断、経済的損失、人間の安全へのリスクなど、深刻な結果につながる可能性があります。
Q.ITセキュリティとOTセキュリティは、資産管理の点でどのように異なりますか？
ある。 IT セキュリティは、主にデータの保護と、機密性、整合性、可用性の維持に重点を置いています。しかし、OTセキュリティは、可用性と安全性に重点を置いた、物理的なプロセスと機械の安全で信頼性の高い運用を確保することに重点を置いています。
Q.OTシステムに対する実際の脅威の例を挙げていただけますか?
A. 例としては、コロニアル・パイプラインへの悪名高い攻撃など、重要インフラに対するランサムウェア攻撃や、Stuxnetウイルスなどの産業用制御システムを標的としたマルウェアなどがあります。
Q.OTセキュリティの規制要件とは?
A. OTセキュリティ規制は業界や地域によって異なりますが、エネルギー分野では北米電気信頼性公社(NERC)、産業用オートメーションシステムでは国際電気標準会議(IEC)規格などが共通しています。
Q.OT環境におけるリスクを評価するための一般的な戦略にはどのようなものがありますか?
A. OTにおけるリスク評価には、物理デバイスやソフトウェアの脆弱性を特定し、これらの脆弱性の潜在的な影響を評価し、緩和戦略を決定することが含まれます。これには、多くの場合、定期的なシステム監査と業界固有のセキュリティ標準への準拠が含まれます。
Q.組織はどのようにしてOTセキュリティインシデント対応を改善できるでしょうか?
A. インシデント対応を改善するには、専任のセキュリティ チームの設立、インシデント処理プロトコルの開発、定期的なセキュリティ訓練の実施、脅威の迅速な検出と対応のための継続的な監視ツールの採用が含まれます。
Q.ITと OTの 融合にはどのようなメリットがありますか？
A.ITとOTを融合することで、ビジネスプロセスの最適化、効率性の向上、データ収集・分析能力の強化、ひいては市場での競争力強化につながります。
Q.OTセキュリティの未来を形作る新しいテクノロジーとは?
A. 人工知能や機械学習などのテクノロジーは、セキュリティの脅威をリアルタイムで予測して軽減するためにますます使用されています。ブロックチェーン技術は、産業環境におけるデバイス間のトランザクションや通信を保護する可能性についても検討されています。
Q.企業は、OT セキュリティのベストプラクティスについて、どのように職員を訓練すべきか？
A. 職員の訓練は、特定のセキュリティポリシー、保護技術の使用、OT システムを安全に運用・保守するためのベストプラクティスに重点を置くべきである。定期的なトレーニングセッションと訓練は、これらの実践を強化するのに役立ちます。
