システムごとの特性に合わせた対策が必要

では、産業制御システムの安全を担保するため、企業はどんなアプローチをとるべきか。ポイントは、「一般的とされるアプローチに固執し過ぎず、環境ごとに方法を検討すべき」ということだ。
一般的に制御システムでは「A（Availability：可用性）→I（Integrity：完全性）→C（Confidentiality：機密性）」の順序で優先事項を考え、運用するイメージが強い。これは、「設備を止めないこと（可用性）が第一」というアプローチである。情報システムでイメージされる「機密性」優先の「C→I→A」とは異なる、製品・サービスの安定供給や歩留まり向上が至上命題である現場ならではの傾向といわれている。
だが、実際はケースバイケースであり、制御システムでも必ずしも「A（可用性）」が優先されるわけではない。
例えば、製造業における制御システムでインシデントが起これば、品質管理上の観点で「完全性」が優先されたり、知的財産に関わる製造工程があれば「機密性」が重視されることもある。つまり「リスクがあれば止める」アプローチが適しているという判断ができるだろう。
また、制御システムには直接的に環境や人命に影響をおよぼすケースもあり、「H（Health：健康）」「S（Safety：安全）」「E（Environment：環境）」という条件を考慮する必要があるのも大きな特徴である。

このように、制御システムの安全を守る上では、システムの特性をよく理解した上で、自社が最も守るべきものは何なのかを広い視野で見極めることが求められている。
実際のポリシー策定やオペレーションの基準を設定する上では、IEC（国際電気標準会議）が規格化した「IEC 62443」シリーズをはじめ、各業界団体が定める標準や基準、ガイドラインなどが参考になるだろう。これらに沿った取り組みと、物理的なセキュリティ対策、ネットワークの各レイヤーにおける防御策を多層的に実施することが、現在の産業制御システムでは不可欠になっているのである。

アセスメントを起点に的確な対策を支援

NECは、この現状に即したセキュリティソリューションを提供している。
制御システムを守るための対策は進めているが、なかなか成果が出ない――。そんな企業は少なくないだろう。原因としてありがちなのが、いきなりソリューションの選定・導入からはじめてしまうパターンだ。
例えば、脆弱性管理ソリューションを導入しても、それを活用するには「自社のどの拠点に、どんなシステムが、どのくらいあるのか」「どんなスキルを持つ社員が、どれだけいるのか」といった情報が必要になる。ツールで何を守るのか、誰が運用するのかが明確化されていなければ、成果を上げることは難しいからだ。
そこでNECは、はじめに入念な顧客環境の調査を実施。その上で、必要な対策製品やSIサービス、画像認識・生体認証といった物理的なセキュリティの仕組みなどを、適切な順序で提供するサービスを用意している。
具体的な流れは次のようなものだ。まず、事前のアセスメントによって、顧客環境のアセットやシステム構成などを洗い出す。その結果に基づき、対策のロードマップを策定。IEC 62443などのガイドラインをベースに対策ポリシーを定め、それに従って対策製品の導入、ネットワークの構築や対応体制の整備、セキュリティ教育、資産管理までを順次進めていく。一連の流れによって、制御システムの安定稼働を守るフレームワークを確立することができるというわけだ。
製造業のビジネスや社会インフラを支える制御システムは今、かつてないほど多様なリスクに取り囲まれている。最新の脅威動向と、弱点を含めた自社システムの現状を正しく認識し、リスクを最小化する仕組みを検討していただきたい。