TOUCH THE SECURITY Powered by Security Service G
「そもそもOTってなんだ？」「OTセキュリティとITセキュリティとの違いは何か？」などの疑問を持っている方も多いのではないでしょうか。本記事をご覧になっていただくことで、OTセキュリティの基礎知識が身に着けられます。 本記事では、OTセキュリティとはなにかを説明します。今後OTセキュリティを携わるや仕事能力の幅を持つという意味で参考いただければ幸いです。
目次
監修：松田 真一
パーソルクロステクノロジー株式会社
セキュリティ本部 SEC企画推進部 OTSEC準備室 OTSEC準備T
居酒屋、ドラッグストア、IT業界と携わりマルチスキルの経験をもっています。
2023年10月から現在の部署で活動中です。
OTとはどういう意味か
オペレーショナル・テクノロジー または運用・制御技術は、物理的な装置や工程を監視・制御するためのハードウェアとソフトウェア技術のことをいいます。
一般的な例を挙げると、バルブやポンプなど物理的な装置・工程の変化を検出したり引き起こしたりする技術となります。
OTセキュリティとは
OTセキュリティは、製造業、エネルギー、交通などの産業プロセスや機器を制御・監視する「OTシステム」のセキュリティを指し、サイバー攻撃や技術的な障害による生産ラインの停止や安全上の問題など、産業システムの運用におけるリスクを最小限に抑えることが目的です。
OTシステムを制御システムという
制御システムに関するサイバーセキュリティ用語の定義
| 定義 | 説明 |
|---|---|
| 制御システム | IACS（産業用自動化／制御システム）を構成するハードウェアとソフトウェア部品を指す。 |
OTシステムに関するサイバーセキュリティの動向
企業の報告によると、不正侵入が試されるケースが増え、悪質なコードによる攻撃も顕著に増加している。制御システムにCOTS（商用オフザシェルフ）ソフトウェアとハードウェアの使用が増加しています。
・IP（インターネットプロトコル）の共用
・リモートでのモニタリングやアクセスの増加
・攻撃を自動化するツールが一般的に入手可能
★攻撃の事例★
:「Cyber-attack on Hydro
」Hydro
OTシステムが狙われる理由
IACS（産業用自動化／制御システム）のセキュリティに関する俗説
| 俗説 |
|---|
| 1.インターネットに接続していない |
| 2.制御システムはファイアウォールに守られている |
| 3.ハッカーは制御システムを理解していない |
| 4.私たちの設備は標的にはされない |
| 5.私たちの安全システムが守ってくれる |
OTシステムをサイバー攻撃から防ぐためには理解が必要
ITシステムと違って、OTシステムは特性が違います。
情報セキュリティのCIAではなく、情報セキュリティのAIC！
セキュリティの3原則はご存知でしょうか。
情報セキュリティのCIAとは、情報を安全に利用するために求められる重要な3つの要素である、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の頭文字をとった言葉でありOTシステムでは、CIAの順番ではなくAICとなります。
可用性が先頭になるのは、理由があります。
工場では日々新しい物や既存の物を生産/製造しています。
その中には、人命に関わる薬もあります。ある日突然工場が止まり薬の供給ができなくなり治療がおくれ
命関わる事象があったらどうしますか？どうにもできないですよね。
| 工場でのリスク管理の考え方 |
|---|
| HSEと生産性が最優先（完全性と可用性） |
| リスク影響は人命、設備、製品の損失 |
| 耐障害性が不可欠 |
*Health（健康）・Safety（安全）・Environment（環境）の略。衛生・労働安全・環境を指します。
それゆえ、可用性が重要視されます。
ITシステムとOTシステムの違い
ITシステムとOTシステムの間にはいくつかの重要な違いがあります。
IT環境で有効な前提条件が現場では無効（またはその逆の）場合があるため、問題が発生しえます。
従来のITサイバーセキュリティでは安全性（safety）の問題が関わらないのが一般的だったのに対して、OTシステムのサイバーセキュリティでは安全性の問題への対応が必須です。
OTシステムとITシステムのセキュリティにはそれぞれ異なるニーズがあり、その異なるニーズを理解することで、これまで関わることのなかった両者の間に協力と連携が必要です。
技術面
| IT | OT |
|---|---|
| レスポンスは信頼できるもの | レスポンスは時間が重要 |
| 高いスループット | 控えめなスループット |
| ITプロトコル | ITと産業用プロトコル |
| IT | OT |
|---|---|
| スケジュールに沿った運用 | 連続した運用 |
| ときおりの故障は許容 | 故障は許容できない |
| 再起動を許容 | 再起動は許容されない場合がある |
OTシステムを守るための国際標準規格
IEC62443
引用元:「制御システムセキュリティガイドライン(全般）」JPCRTCC
IEC (ISA) 62443 シリーズは、制御システムのセキュリティに関する国際規格の集まりである。本規格は、4つに区分されていて、管理面から技術面までをカバーするものとなります。
また、制御システム運用者、制御システムのシステム・インテグレータ、制御システムの製品ベンダが実現すべきセキュリティ要件を規定しています。
IEC62443概要
| 要件を実現すべき対象 | 区分 | 規格番号 | 内容 |
|---|---|---|---|
| 全体 | 用語定義と原則 | 62443-1-1 | 用語、概念、モデル |
| 62443-1-2 | 用語と略語のマスター用語集 | ||
| 62443-1-3 | システムセキュリティ準拠メトリック | ||
| 62443-1-4 | IACSのセキュリティライフサイクルとユースケース | ||
| 制御システム運用者向け | セキュリティ管理のポリシーと手順 | 62443-2-1 | 産業用自動制御システムセキュリティプログラムの確立 |
| 62443-2-2 | セキュリティ保護の評価 | ||
| 62443-2-3 | IACS環境でのパッチ管理 | ||
| 62443-2-4 | IACSサービスプロバイダーのセキュリティプログラム要件 | ||
| 62443-2-5 | IACS資産所有者向け実装ガイダンス | ||
| システム・インテグレータ者向け | システム | 62443-3-1 | IACSのセキュリティ技術 |
| 62443-3-2 | システム設計におけるセキュリティリスク評価 | ||
| 62443-3-3 | システムセキュリティ要件とセキュリティレベル | ||
| 製品ベンダ向け | コンポーネント | 62443-4-1 | 製品開発ライフサイクル要件の保護 |
| 62443-4-2 | IACSコンポーネントの技術的セキュリティ要件 |
国内で発行されているガイドライン
| ガイドライン |
|---|
| ★産業向けサイバーセキュリティガイドライン |
| ★自工会/部工会・サイバーセキュリティガイドライン |
まとめ
- 工場へのサイバー攻撃はないわけではないのでセキュリティ対策を実施しないと危険です。
- OTセキュリティは、製造業、エネルギー、交通などの産業プロセスや機器を制御・監視を指す。
- OTシステムでの情報セキュリティ3原則はAICです。
- OTシステムを守るための国際標準規格があるのでセキュリティ対策を考えましょう。
