Kaspersky Security Analyst Summit

「IoTデバイスは信頼できるか」南海の楽園で語られたIoTセキュリティの「いま」と「対策」（2/2 ページ）

公開 2017年05月12日 09時46分

更新 2017年12月14日 15時01分

著者

小山安博

[TechFactory]

印刷する連載新着通知を受け取る

効果的な産業用制御システムのセキュリティを実現する3本柱

　SiemensのGlobal Cyber Security Consultant for Industrial Control SystemsであるMelissa Crawford氏とPrincipal Cyber Security ConsultantのVladimir Vylkov氏は、産業用制御システム（ICS）のセキュリティに関して講演。効果的なICSセキュリティの柱として「人」「プロセス」「技術」の3点を挙げる。

SiemensのVladimir Vylkov氏（左）とMelissa Crawford氏（右）

◎編集部おすすめ記事

IoTセキュリティ

&raquo IoTセキュリティ対策を検討する“その前に”――企業がまず考えるべきこと　

&raquo 狙われる国内製造業――事例から学ぶIoT時代の「工場セキュリティ」　

&raquo 「IoT」のためだけではない、セキュアなプラットフォーム　

&raquo IoTで用いられるさまざまなネットワーク　

&raquo IoTデバイスは「多動開省」、組み込みLinuxベンダーが考えるセキュリティ対策　

&raquo IoT時代のセキュリティ実装、製造側は何を指針とすべきか　

⇒⇒「新着ホワイトペーパー」をチェックする

「人」「プロセス」「技術」がICSセキュリティの3本柱

　「人」というのは、ICSに関するセキュリティ対応チームの存在であり、工場や施設の職員全員にセキュリティに関するトレーニングを実施することを示す。

　「プロセス」は効果的な作業工程とガイドラインの策定、「技術」は効果的なセキュリティコントロールのための認証や工場のセキュリティやコンプライアンスの状態の継続的な監視を指す。

　ICSのセキュリティはこの3本柱から成り立つとCrawford氏とVylkov氏は述べ、それを実現するためにトップダウンによるアプローチが有効だと提案する。具体的には取締役会やCEOがセキュリティ戦略を立案し、最高情報責任者（CIO）や最高情報セキュリティ責任者（CISO）がICSセキュリティの組織化し、グローバルでセキュリティプログラムを開発し、各国で実行と管理を行う、という流れになる。Vylkov氏は「お金はかかるが、ICSセキュリティは他のセキュリティとは異なる特殊なもので、優先度も異なる」と指摘する。

　セキュリティプログラム策定の原則として、資産の特定とリスクの評価、ガイドラインやポリシーの策定、トレーニング、ガバナンスなどといった点を網羅しつつ、段階的な実行が効果的であると述べる。その中の技術的な側面として、ホスト側はハードニングやホワイトリスト、ウイルス対策、パッチマネジメントなど、ネットワーク側はセキュリティ監視、NGFW、IDS/IPSなどの対策が考えられる。

　さらに、いわゆるPDCAサイクルのような保守や監視も必要だとする。リスク分析、ポリシー測定、技術的測定、妥当性検証と改善という流れで、変化し続ける脅威にセキュリティプログラムの継続的なチェックと最適化が必要だと話す。

　そこで両氏は産業機器分野における生産プロセスのセキュリティ対策をまとめたSiemensのHolistic Security Concept（HSC）を紹介した。HSCは重要なビジネス資産を特定することをコンセプトの核としており、IEC 62443とISO 27000をベースに定義されている。HSCのようなコンセプトの導入は産業用分野のセキュリティ対策として、対策レベルを1段階上に引き上げると両氏は強調している。