寿命を迎えた産業用ファイアウォールの置き換えについては、ブランド名だけで判断するのではなく、導入モデル、対応プロトコル、ポリシー作成方法、認証、およびライセンス条件に基づいて決定するのが最善です。これら5つの要素によって、置き換えによって既存のネットワークアーキテクチャが維持されるか、稼働中の特定の産業用デバイスが保護されるか、そしてその環境のコンプライアンス要件や予算要件に適合するかが決まります。ベンダーが提案する後継機種は、調査を始める上で妥当な出発点ではありますが、このチェックリストに基づいて検討を行うことの代わりにはなりません。
主なポイント
- 導入モデルによって、ネットワークのどの程度を再設計する必要があるかが決まります。IPアドレスを持たない透過型インラインファイアウォールでは、既存のアドレス設定が維持されますが、ルーティング型ファイアウォールではそれが変更されます。
- プロトコルの対応状況は、ベンダーの標準リストではなく、お客様の環境に合わせて確認する必要があります。ベンダーによっては、特定のプロトコルファミリーを、互いに排他的な個別のライセンス階層に割り当てている場合があるため、見積もりに含まれているSKUを正確に確認してください。
- ポリシーがどのように策定されるかは、ファイアウォールが何をブロックするかと同じくらい重要です。リアルタイムのトラフィックを監視し、機械学習を用いてポリシーのベースラインを作成できるファイアウォールであれば、古いネットワーク図に基づいてルールが作成されるという、よくある失敗パターンを回避できます。
- 認証は、ベンダーだけでなく、具体的なモデルによっても異なります。変電所向けのIEC 61850-3のような、ベンダーの主力認証であっても、そのベンダーの製品ラインナップに含まれるすべてのハードウェアモデルに自動的に適用されるわけではありません。
- 「コンプライアンスに対応」と「認証を取得」は異なる主張です。ほとんどの産業用ファイアウォールは、IEC 62443やNERC CIPといったフレームワークに基づき、デバイスとして独立した認証を取得しているわけではありません。それらは、これらのフレームワークが要求するセグメンテーションやロギングに対応しているに過ぎません。いずれのフレームワークにおいても、デバイス認証に関する主張は、直接確認すべき「危険信号」として扱うべきです。
ブランド名ではなく、導入モデルから始めよう
産業用ファイアウォールの導入方法は2通りあり、その選択によって既存のネットワークのどの程度を変更する必要があるかが決まります。透過型（インライン）デバイスは、独自のIPアドレスを持たずにトラフィックの経路に配置されるため、既存のアドレス設定やルーティングを維持できます。一方、ルーティング型デバイスは独自のIPアドレスを持ち、ネットワーク層に直接参加するため、機能は拡張されますが、ネットワークの再設計作業も必要になります。
どちらのモデルも、一概に優れているとは言えません。透過型展開は移行の負担を最小限に抑えることができ、これは、Belden社のTofino Xenonのように、長年使用されてきたファイアウォールを置き換える際に最も重要な要素となります。一方、ルーティング型展開は、ネットワークがファイアウォールを中心に設計される（その逆ではない）新規構築環境において、より高い柔軟性を提供することができます。
プロトコルの適用範囲を実際の環境に合わせて調整する
Modbus、DNP3、EtherNet/IP、IEC 61850 などの産業用プロトコルに対するディープパケットインスペクションこそが、産業用ファイアウォールと、OT ネットワークに適用される汎用ネットワークファイアウォールとの違いです。重要なのは、ベンダーがいくつのプロトコルをリストアップしているかではなく、その環境で稼働している特定のプロトコルが、見積もりの対象となっている SKU の対象範囲に含まれているかどうかです。
- プロトコル一覧は、製品ファミリー単位ではなく、SKU単位で請求してください。一部のベンダーでは、汎用セットやGEプロトコルのようなベンダー固有のセットといったプロトコルファミリーを、ファームウェアで適用される別個の、相互に排他的なオプションとしてライセンス供与しています。
- 検査が暗号化されたトンネルにも及ぶかどうかを確認してください。ベンダーへのアクセスやマルチサイト接続にIPsecやOpenVPNを使用している環境の場合は、プロトコル検査がそれらのトンネル内にも適用されるのか、それとも暗号化されていないトラフィックにのみ適用されるのかを具体的に確認してください。機能一覧から推測するのではなく、書面で確認するようにしてください。
セキュリティポリシーの策定および維持管理の方法を評価する
産業用ファイアウォールが長期にわたり「監視専用モード」のままになってしまう最も一般的な理由は、正当なトラフィックがどのようなものかについて、誰も確固たる最新の把握を持っていないためです。この問題を解決するには、2つの異なるアプローチがあります。
- 手動によるポリシーの作成では、ネットワーク図に基づいてファイアウォールルールを記述する必要がありますが、そのルールは作成当日の時点では正確であっても、その後は実際の状況と乖離していくことになります。
- 学習型または行動ベースライン型モードでは、定義された期間にわたって実際のトラフィックを監視し、現在実行されている内容に基づいてポリシー案を作成した後、それ以降のベースラインからの逸脱を検知します。これにより、導入から実際の適用までのプロセスが短縮されます。
特定の業種およびモデルに合わせて認証を確認する
認証はハードウェアのモデルごとに取得されるものであり、ベンダーの全製品ラインナップに共通して適用されるものではありません。ベンダーの最上位モデルには、変電所や電力会社向けの環境向けのIEC 61850-3やIEEE 1613などの認証が取得されている場合でも、同じ製品ファミリー内の小型モデルやポート数が少ないモデルにはその認証が取得されていないことがあります。検討中の具体的なモデルについては、必ずデータシートを確認してください。
縦方向 / 要件 | 確認のための認証 | なぜ重要なのか |
電力会社の変電所 | IEC 61850-3、IEEE 1613 | 変電所設備の電磁両立性および環境耐性に関する規定 |
危険区域または指定区域 | C1D2 | 可燃性ガスや粉塵のリスクがある環境での導入には必須です |
一般的なハードウェアの認証 | CE、FCC | 管理されていない産業環境における信頼性の基本要件 |
Industrial サイバーセキュリティ | IEC 62443-4-2（SL2、SL3） | 自己申告に頼るのではなく、ファイアウォールのセキュリティ機能およびベンダーのセキュア開発プロセスを独立した立場で検証する |
「コンプライアンスに対応」という主張は、「認証を取得している」という主張とは異なります
IEC 62443 や NERC CIP といったフレームワークは、個々のデバイスを単独で規定するものではなく、組織のプログラムやシステムアーキテクチャを規定するものであるため、ほとんどの産業用ファイアウォールは、いずれのフレームワークにおいても、単体製品として個別に認証を受けていません。ファイアウォールは、それ自体が「IEC 62443 認証」や「NERC CIP 認証」を受けていなくても、これらのフレームワークが要求するセグメンテーション、アクセス制御、監査ログ機能をサポートすることができます。 もしベンダーがデバイス自体についてそのような特定の認証を謳っている場合は、どの機関が発行したのか、またその認証の範囲はどの程度なのかを尋ねてください。
ライセンスおよび所有権のモデルについて理解する
Industrial ファイアウォールは、複数のライセンス体系で販売されています。具体的には、永久ライセンス型アプライアンス（ハードウェア費用の一括払い）、サブスクリプション更新型（定期的な料金）、機能ベース型（プロトコルや機能のアドオン）、スループットベース型（帯域幅の階層）、プロトコルベース型（プロトコルごとのライセンス）、および集中管理ライセンス型（マルチサイト可視化プラットフォーム）などがあります。 各モデルは、デバイスの耐用年数にわたって総所有コスト（TCO）に異なる影響を与えます。永久ライセンスからサブスクリプションへの切り替え、あるいは機能、スループット、管理ライセンスの追加は、継続的な予算負担をもたらします。これらは、導入時や更新時に初めて気付くのではなく、評価段階で明確に把握しておく価値があります。
複数拠点にわたる一元管理の計画
各デバイスに個別にログインする必要があるような代替手段では、サイト数が数カ所を超えると対応できなくなります。オンプレミスであれクラウドであれ、一元管理システムであれば、1か所からすべての導入済みデバイスに対してポリシーの適用、ステータスの収集、およびレポート作成をサポートできる必要があります。
全敷地を対象とした取り組みを行う前に、限定的なパイロット事業を提案する
導入前にモニターモードで実行し、事前に合意された成功基準が定められた単一ゾーンのパイロット運用を行うことで、アーキテクチャの変更によって予期せぬダウンタイムが発生するリスクを低減できます。システム全体での置き換えについては、最初の検討事項ではなく、別の段階での議論となります。
代替品の評価チェックリスト
- 導入モデル：透過型／インライン型、またはルーティング型。また、既存のネットワークアーキテクチャを維持できるのはどちらのモデルか
- プロトコルの対応範囲：お客様の実際の環境および見積対象の特定のSKUに対して確認されたものであり、一般的な製品ファミリーの一覧ではありません。
- ポリシー作成方法：手動によるルール作成、または学習／行動ベースライン
- 認証：検討中の特定のモデルについて検証済みであり、ベンダーの主力製品から推測したものではない
- コンプライアンスに関する表現：「フレームワークの要件を『サポートする』」と、検証されていないデバイス認証の主張との違い
- ライセンスモデル：永久ライセンス型（アプライアンス）またはサブスクリプション型、およびそれぞれに伴う総所有コスト
- 一元管理：1か所からすべての拠点にわたるポリシーの配布とレポート作成
- パイロットの範囲：全社的な決定を行う前に、合意された成功基準に基づく、単一ゾーンのモニターモードによる概念実証
MetaDefender 、Industrial 、Firewall がこのチェックリストにどのように適用されるか
MetaDefender Industrial Firewall™は、OPSWAT 社が提供するOTネットワーク向けの産業用ファイアウォールであり、IT製品を流用したものではなく、運用技術（OT）およびサイバーフィジカルシステム向けに設計されています。 上記のチェックリストに対して：本製品は、透過型（インライン）展開とルーティング型展開の両方をサポートしています。また、「ラーニングモード」では、手動でのルール設定を必要とせず、観測されたトラフィックからセキュリティポリシーを自動生成します。4ポートおよび8ポートのハードウェアモデルが用意されており、8ポートモデルは変電所や電力会社での利用向けにIEC 61850-3およびIEEE 1613に対応しています。さらに、複数拠点にわたるポリシー管理およびレポート作成のために、My のOPSWAT™（Central Management ）と統合されています。 本製品は、前述のコンプライアンス上の区別（これはサポートの表明であり、デバイスの認証に関する主張ではない）に準拠し、IEC 62443およびNERC CIP要件に沿ったネットワークセグメンテーションをサポートしています。また、過酷な環境向けにC1D2認証を取得しています。
このチェックリストに基づいて独自の代替案の評価を行い、その後、MetaDefender 、Industrial 、Firewall が、ご自身の特定の環境においてこのチェックリストにどのように対応しているかを確認してください。
よくある質問
透過型とルーティング型の産業用ファイアウォールの導入には、どのような違いがありますか？
透過型インラインファイアウォールは、本質的にはIPアドレスを持たず、トラフィックの経路上に直接配置されるレイヤ2ブリッジであり、これにより既存のネットワークアドレス構成を維持することができます。一方、ルーティング型ファイアウォールはレイヤ3デバイスとして動作します。独自のIPアドレスを持ち、ネットワーク層に関与するため、機能は拡張できますが、導入にはより大規模なネットワークの再設計が必要となります。
産業用ファイアウォールは、IEC 62443 または NERC CIP の認証を取得している必要がありますか？
ほとんどの産業用ファイアウォールは、いずれのフレームワークにおいても、単体デバイスとして独立した認証を受けていません。これは、両フレームワークとも、個々の製品ではなく、組織のプログラムやシステムアーキテクチャを規定するものだからです。これらのフレームワークが求めるセグメンテーションや監査の要件に対応したファイアウォールを選び、認証を受けていないデバイスに関する主張については、直接確認を行う必要があります。
産業用ファイアウォールがセキュリティポリシーをどのように作成するかは、なぜ重要なのでしょうか？
ネットワーク図に基づいて手動でルールを記述する必要があるファイアウォールは、その図の正確さに依存するものであり、図は古くなりがちです。一方、リアルタイムのトラフィックを監視してポリシーのベースラインを作成できるファイアウォールは、導入から実際の適用までの時間を短縮し、実際に稼働している状況を反映することができます。
なぜ、同じベンダーのモデル間で認証内容が異なるのでしょうか？
IEC 61850-3 や IEEE 1613 などの認証は、ハードウェアモデルごとに取得・公表されるものであり、製品ファミリー全体で共通して適用されるものではありません。ベンダーの最上位モデルには、同じラインナップ内のより小型のモデルやポート数が少ないモデルにはない認証が取得されている場合があるため、検討中の特定のモデルについては、そのモデルのデータシートで確認する必要があります。
本格展開の前に、パイロット導入をどのくらいの期間実施すべきでしょうか？
通常の運用状況を十分に観察できる期間、あらかじめ合意された成功基準に基づき、単一のゾーンに限定してモニターモードで実行する。目的は、ポリシーを適用する前にそのベースラインに対する信頼性を確立することであり、決まった日数を満たすことではない。
ライセンスモデルは総所有コストに影響を与えますか？
はい。永久ライセンス型は、ハードウェア費用が一度きりで、サポート契約の更新は任意であるのに対し、サブスクリプションモデルではライセンス料が定期的な支払いに組み込まれています。どちらが本質的に安いかということはなく、適切な比較を行うには、デバイスの予想耐用年数や、組織が資本支出と経常支出をどのように予算化しているかによって異なります。
