産業制御システムで最も気を付けたい「リムーバブルメディア」対策

　まずはトップの「リムーバルメディアや外部機器経由のマルウェア感染」を見てみましょう。いわゆるIT系では早い段階で悪者扱いされ、利用シーンがかなり制限されている「USBメモリ」ですが、工場をはじめとした現場ではインターネットとの接続ができず、データのやり取りやメンテナンスでそのUSBメモリを活用せざるを得ません。大きな問題としては、インターネット側で利用したデバイスをそのまま流用することで、マルウェアに感染したリムーバブルメディアを、境界を飛び越えて工場ネットワークなどで感染させてしまうこと。これは従業員も気付きにくいということが大きな課題です。

　これについては、リムーバブルメディアを厳密に管理すること。そしてメンテナンス時に利用されるPCなどにもきっちりとしたポリシーを適用することが解決策として提示されています。その方法に関しては、各種ソリューションがセキュリティベンダーなどからも提案されています。まずは本文書に提示されたチェックポイントを基に、自組織で必要な条件をクリアできているかが、ソリューション選択のポイントになるでしょう。

　個人的に気になったのは、第3位に挙げられた「ヒューマンエラーと妨害行為」です。これは社内スタッフ、外部スタッフにおける組織的な規則に関しての注意すべきポイントが提示されており、単なる技術的な管理策ではなく、ルールやポリシーとして守れるところを守ろう、という方針です。これはIT系10大脅威とはちょっと違った表現だったので、むしろIT側の人の方がなるほどと思う点かもしれません。その対策内容も「情報は知る必要のある者に対してのみ与え、知る必要のない者には与えないという原則 （need to know）の導入」や、「雇用されたばかりのスタッフと退職したスタッフ、および製品サプライヤー、ベンダー、サービスプロバイダーなどの外部請負業者向けの標準化されたプロセスの導入」など、なんとなくリスクであることは理解できていてもなかなか実践できないポイントが挙げられています。

産業制御系システムの指針が欲しいと思う方に最適な「第一歩目の資料」として

　これ以外にも、基本的な対策として各種標準類のガイドや、企業経営者の役割が明記されているなど、最初に読むべきドキュメントとしてとても有用であると感じました。最後にはセルフチェックリストもありますので、この文書をすぐに活用できるというのも大きなポイントでしょう。

　そしてこれらの対策と解説は、主に「最初の攻撃」について書かれています。後続の攻撃に関してもこのように述べられています。

不十分な組織のポリシー、知識不足またはヒューマンエラーは攻撃を助長し、後続の攻撃を促進する。さらに、攻撃の検出と、攻撃が成功した後のシステムの健全化と復旧を妨げる。 潜在的な被害は多くの形態を取ることがあり、かなり重大であると評価する必要がある。

　この部分に関しては、多くの場合IT側の技術と知見、いわゆる「多層防御アプローチ」が有効なはずです。その意味でも、まずは最初の攻撃をカバーできるかどうかを把握し、その後はITとOTが手を取り合って対策を進めるということが最も有効でしょう。そのためにも、ITの人たちにもこの「産業用制御システム（ICS）のセキュリティ10大脅威」を読んでいただき、相互に理解しあえる環境を作ることが第一歩なのかもしれません。（次回に続く）

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！