IoTセキュリティの現実的な仕組みと課題（3）

想像してみよう、もしもIIoTの世界でセキュリティ対策をしなかったら？（3/4 ページ）

公開 2018年10月25日 09時00分

[TechFactory]

印刷する連載新着通知を受け取る

（セキュリティ監査のための）ログ収集：

　ここが一番重要だが、完備されている環境は少ないと思われる。各端末におけるシステム上の振る舞いのログと、ネットワークでのやりとりのログが両方必要となるが、“（セキュリティ監査のための）”としているのには意図がある。「セキュリティのための投資」には、まだ首を縦に振らないかもしれないが、別の目的であれば予算化が可能なのではないかと思うからである。

　“運転に関わる操作全て”を記録することで、何か問題が発生した際に、原因となった操作や動作、データなどを時系列で振り返ることができれば、即座に次の手を打つことができる。

　人間が操作した結果、何らかの問題が発生した場合、直接的な原因なのか、たまたまなのか、因果関係を調べるためには一連の操作や動作、それらで使用されたデータやパラメータを検証する必要がある。

　制御システムの記録可能なやりとりや操作、動作、関連するデータなどを時系列で記録できれば、加工データが工程を初期化する際の手続きと、別の工程においてHMIで特定のデータや操作に伴う指示で、対象となるPLCのメモリブロックの割り当てを間違っていたが、たまたま動作していた……ということが見えてくるかもしれない。

　この手の仕組みは、多くのベンダーが提供を始めている。例えば、スイスのNozomi Networksの「SCADAguardian」、オランダのSecurityMatters、イスラエルのSCADAfence、ロシアのKasperskyの「KICS」などだ。いずれもSCADAと他の制御機器との通信を監視しログを取るのだが、Kasperskyの製品はWindowsで動作する端末のログも取得して一元管理できる。

アクセス制御＆認証制御：

　これは、2つの意味があることを常に意識する必要がある。物理的な、そして電子的なアクセス制御や認証で、前者はバッジや鍵などで入ることのできる工場やプラントの区域を制御することだ。例えば、工場の正門でも通用門でも入館手続きなしに入ることはできないように運用していると思う。そうでない工場があることは言うまでもないが、それは「まだ」必要だと思っていないからだ。

　同様に、電子的なアクセス制御とは、人（つまりアカウント）だけではなく、“端末をネットワークにつなぐ”ということも含まれる。これは、外部から持ち込まれるPCなどを経由しての感染が多いこととも関連して対処する必要がある。ということは、“検疫の仕組み”が必要ということである。

パッチと脆弱（ぜいじゃく）性管理：

　これは、ITの世界では当たり前かもしれない。しかし、パッチを当てたがためにアプリケーションが起動しなくなるということは往々にして起こり得るので、事前に同じ環境でパッチの適用に伴う動作異常などについて検査する手順を定めておく必要があるだろう。

ペネトレーションテスト：

　そして、ログを取ることと同様に重要なのは、保護対象のシステム、ラインや工場全体がどのような弱点を持っていて、どのような対策が必要なのかを知ることである。

　これは脆弱性を知るだけでなく、想定される攻撃の手順をあらかじめ把握し、もしもサイバー攻撃を受けた場合にどのようなことが起こり、どういった対処をしなければならないか、また、限られた予算でどのような防御対策を取るか、検討するために必要な情報であり、これを得るためには「アセスメント」あるいは「ペネトレーションテスト」を利用する必要がある。

　よく言う孫子の「彼を知り己を知れば百戦殆うからず」を実現するためには、まず己を知らねばならないということである。

従業員とベンダーのトレーニング：

　ITに詳しい従業員やベンダーと、それ以外とを分けて扱う必要がある。専門知識のないメンバーに対して、どのように効果的にモチベーションを持って知識を得るように仕向けるかは、サイバーセキュリティの話題でなくとも常に問題だろう。そのためにゲーミフィケーションに基づいて没入体験を伴って効果的にモチベーションを高めるトレーニングが増えてきている。

　日本ネットワークセキュリティ協会（JNSA）では、カードゲームなどでサイバーセキュリティを学ぶことのできるプログラムを提供している。Kasperskyは短時間でサイバー攻撃を体験する「KIPS」を、PwCは攻撃側と防御側とに別れて行う高度なサイバー演習を展開している。また、より高度で大規模なプログラムとして、NICT（情報通信研究機構）もナショナルサイバートレーニングセンターを運営し提供している。

次ページへクラウドで困ること

印刷する

IoTセキュリティの現実的な仕組みと課題

デジタル（サイバー）世界と現実世界を橋渡しする「IoT（Internet of Things）」の仕組み。その可能性や利便性についての話題は尽きないが、IoTのセキュリティリスクに関してもしっかりと情報収集し、対策を講じるべきである。本連載では、工場や重要インフラで利用されつつある「インダストリアルIoT（IIoT）」の世界に着目し、IoTセキュリティの現実的な仕組みと課題について解説する。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

松岡正人

想像してみよう、もしもIIoTの世界でセキュリティ対策をしなかったら？（3/4 ページ）

（セキュリティ監査のための）ログ収集：

アクセス制御＆認証制御：

パッチと脆弱（ぜいじゃく）性管理：

ペネトレーションテスト：

従業員とベンダーのトレーニング：

IoTセキュリティの現実的な仕組みと課題

この記事の著者

新着ホワイトペーパー PR

関連記事

想像してみよう、もしもIIoTの世界でセキュリティ対策をしなかったら？（3/4 ページ）

（セキュリティ監査のための）ログ収集：

アクセス制御＆認証制御：

パッチと脆弱（ぜいじゃく）性管理：

ペネトレーションテスト：

従業員とベンダーのトレーニング：

IoTセキュリティの現実的な仕組みと課題

この記事の著者

新着ホワイトペーパー PR

関連記事

IoTセキュリティ対策を検討する“その前に”――企業がまず考えるべきこと

「PLCも攻撃対象だ」カスペルスキー氏が製造業に警鐘を鳴らす

「ロシア版インダストリー4.0」こと「4.0RU」とは何か

デジタルとリアルがつながるIoTの世界では、サイバー攻撃でヒトの命も狙える!?

「脅威」や「リスク」を想定することが、IIoTセキュリティの第一歩