「産業システムのセキュリティ対策、課題は山積み」――カスペルスキーが警鐘（3/3 ページ）

公開 2018年10月22日 09時01分

著者

高橋睦美

[TechFactory]

印刷する連載新着通知を受け取る

保護レベルは向上しつつあるものの課題は山積

　ICS CERTで脆弱性リサーチや、さまざまなペネトレーションテストに携わってきた脆弱性リサーチヘッドのVladimir Dashchenko氏は、ICSセキュリティの重要性が指摘されるようになって「政府や幾つかの組織が対策について語るようになり、保護のレベルは確かに向上してきた」と振り返った。だが課題もまだある。

ICS CERTの脆弱性リサーチヘッド Vladimir Dashchenko氏

　「人間は往々にして物事を忘れる。適切なパスワードを付けるのを忘れたり、不審なデバイスを接続しないよう注意するのを忘れたりする」とDashchenko氏は述べ、食事の前に手洗いをするように、基本的な対策、つまり「ハイジーン（衛生）」を実現することが、予期せぬ攻撃からファシリティを保護する役に立つだろうという。

　そしてまたDashchenko氏も、「この10年、『われわれのシステムはエアギャップで隔てられてきたため安全だ』とする声をたびたび耳にしてきたが、残念ながらそれは事実とはいえない」と述べた。

　「制御システムもアップデートやアップグレードしなければならないし、メンテナンスも必要だ。ICSベンダーは、自社のノートPCを持ち込んでメンテナンスを行うことが多く、その同じPCを持って別のファシリティに移動することも多い。こうしたメンテナンスを介して大規模に感染が拡大することもある」（Dashchenko氏）

　Dashchenko氏はこうした状況を踏まえ、「Kaspersky Industrial CyberSecurity」（KICS）のようなソリューションを提供する他、ファシリティのオーナーやマネジャー、オペレーターに至るまで、さまざまな階層向けのトレーニングコースを提供し支援すると説明。さらに、「パートナーと協力して、共通のセキュリティルールや手順を持つことで、サプライチェーン全体の保護をより向上できるだろう」とした。

　残念ながら、たった1つの脆弱性がソリューション全体に影響を及ぼす可能性があり、「それを修正するには多くの時間とコスト、リソースがかかる」。いわゆるセキュア開発ライフサイクルも重要で、セキュアOS「Kaspersky OS」のような製品もそうした目的から提供しているという。

　「セキュリティはこれまで最後に追加されるものだったが、それはベストなやり方ではない。何らかの新たなテクノロジーを開発する際には、基礎にセキュリティを置いて考えるべきだ」（Dashchenko氏）

　もう1つ、「個人的には、過去の経験を踏まえるとカスタムの暗号は使うべきではない。コミュニティーの目にさらされ、広く使われている暗号アルゴリズムは強度が確認されているが、独自の暗号方式には誤りが含まれることもあり、脆弱性につながる恐れがある」と、標準技術を使うことも推奨した。

（取材協力：Kaspersky Lab）