宮田健の「セキュリティの道も一歩から」（45）

産業用制御システムでも「セキュリティ10大脅威」登場（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届け！今回は、IPAがこのほど発表した「産業用制御システムのセキュリティ -10大脅威と対策2019-」をご紹介します。

公開 2020年01月24日 09時03分

更新 2024年01月26日 15時55分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　毎年1月末になると、情報処理推進機構（IPA）が「情報セキュリティ10大脅威」を発表します。この資料はとても有用で、識者たちが個人、組織それぞれで気を付けたい脅威をまとめ、その対策を合わせて紹介するというもので、ITに詳しくない方に向けても分かりやすく、そして説明しやすい内容になっています。このランキングで、例えば新たにランクインした脅威が対策できているかどうか、そして常に上位に存在し続けている脅威に対しては、最新の攻撃手法に対応できる仕組みが自組織にあるかをチェックするための指標になります。予算が必要ならば、この資料も一緒に添付してあげると、説得力も増しますね。

　例えば情報セキュリティ10大脅威2019（約1年前です）では、下記のようなものがランキングに入っています。TechFactoryの読者の皆さまも、おそらく新規に入ってきた「サプライチェーンの弱点を悪用した攻撃の高まり」や、これまで常に言われ続けている「ビジネスメール詐欺による被害」「ランサムウェアによる被害」などは目にしたことがあるはずでしょう。

図1「情報セキュリティ10大脅威2019」

　そのIPAが2020年1月14日、ドイツ連邦政府情報セキュリティ庁（BSI）が発表している「産業用制御システムのセキュリティ -10大脅威と対策2019-」の英語版を翻訳し、IPAのサイトに公開しました。これはいわば、TechFactory読者に向けた「10大脅威」。情報セキュリティ側とはどのような違いがあるのでしょうか。まずはそれを追いかけてみましょう。

最初の攻撃、後続の攻撃--最優先で対処すべきは？

⇒[ドイツBSI] 産業用制御システム（ICS）のセキュリティ -10大脅威と対策 2019-：IPA 独立行政法人情報処理推進機構

図2 産業用制御システム（ICS）のセキュリティ -10大脅威と対策 2019-（IPAより引用）

　産業用制御システムのセキュリティ 10大脅威（2019年）を見ると、第1位は「リムーバルメディアや外部機器経由のマルウェア感染」で、昨年よりも1ランクアップしての、堂々の（？）1位です。続いて「インターネットやイントラネット経由のマルウェア感染」、「ヒューマンエラーと妨害行為」とあります。全体を見ても、IT領域における10大脅威と似ているものもあれば、全く異なる概念のものも存在しており、IT領域の人間が見ても興味深い内容になっているのではないでしょうか。

　この文書では、「最初の攻撃」と「後続の攻撃」を区別しており、最初の攻撃とは企業組織の中に侵入するために使用することに焦点を当てていること、後続の攻撃では攻撃者が組織内部に侵入後、さらなる脅威を広げ、内部にアクセスできるようにするなどを指しています。さらに、「後続の攻撃に対抗する対策の実装は、いわゆる多層防御の概念の観点において、最初の攻撃に対する基本的な防御を確立した後に行う必要がある」としており、産業制御システムにおける対策の方向性をガイドしています。本文書でも対策として紹介されている内容は「最初の防衛線を形成する」ものであり、「これらの実装には最高の優先度が割り当てられることが望ましい」とはっきりしているのが非常に興味深いです。

次ページへ産業制御システムで最も気を付けたい「リムーバブルメディア」対策