OTセキュリティソリューションOTセキュリティ対策ガイド
OTセキュリティはじめの一歩
OT環境のセキュリティ対策を効果的に進めるためには、まず現状を正しく把握することが不可欠です。どんなリスクがあるのか、どのような対策が必要なのかを判断するには、OT環境の情報を収集し、全体像を把握することが第一歩となります。
本記事では、情報収集の重要性や具体的な手法、よくある課題とその解決策について解説します。適切な情報をもとに、実効性のあるセキュリティ対策を進めるための第一歩を踏み出しましょう。
1.はじめに
OT環境のセキュリティを確保し、維持していくためには、セキュリティ対策を実装するだけでなく、その対策を継続的に運用して、セキュアな状態を保つことが必要です。例えば、サイバー攻撃を検知する製品を導入した場合、検知されたアラートを監視して対応しなければ意味がありません。また、OT環境の構成に変更があった場合は、変更後の構成に合わせてセキュリティ対策も変更する必要があります。
実装しただけで運用を行わないと、対策の効果が発揮されなかったり、効果が薄くなってしまったりしてしまい、最終的にはセキュアな状態かどうかさえもわからなくなってしまいます。逆に、継続的な監視や運用から得られた情報を分析し、改善に活用することができれば、セキュリティを向上させていくことも可能です。
そうはいっても、運用を含めたすべての対策を一気に実装することは非常にハードルが高いです。この記事では、セキュリティ対策の継続的な運用によるOTセキュリティの確保に向けて、最初のステップとして着手すべきことと、おすすめの対応方法について解説します。
2.OT環境の情報収集の必要性と課題
そもそも、OTセキュリティ対策を立案・実装するためには、情報を収集し、OT環境全体の状態を把握する必要があります。これによって、自社のOT環境にはどんなリスクがあり、どんな対策を実施できるのかが判断できるようになります。
把握すべきOT環境の情報としては、例えば下記のようなものが挙げられます。
- OT環境のネットワーク構成（OT環境内部の構成、外部のネットワークとの接続状況）
- OT環境に存在する機器の情報
- 各機器のOSやファームウェア、利用されているソフトウェアの情報
一方で、これらの情報を収集することには課題があり、下記のような理由で情報が収集できていない場合や、収集されているが不足している場合があります。
課題
- 業務の優先度が低く、情報が収集されていない、または収集された情報が更新されていない
- システム単位の資料等に情報がまとまっているが、それらが統合されておらず、全体像が分からない
- システムを実装した際にはセキュリティの観点がなく、必要な情報がない
- ベンダー任せになっており、自社では情報を持っていない
3.OT環境の情報収集の方法
それでは、OT環境の情報を収集するにはどのような方法があるでしょうか。ここでは3つの方法についてそれぞれ解説します。
【1】仕様書情報から収集する
システムベンダーが納品した仕様書から情報を確認する方法です。システムに対する追加作業を行う必要はありませんが、仕様書ごとにフォーマットや記載されている情報が異なる可能性が高い点に留意が必要です。また、システム導入後の変更が反映されていない場合が多く最新の情報である保証がない、ベンダーの範囲外の情報がなくOT環境の全体像を把握することが難しいといったデメリットも考えられます。
【2】手作業（目視確認）
実際にOTシステムを操作して情報を収集する方法です。最新の情報を把握することが可能ですが、機器を操作して情報を収集するためのスキルが必要であること、把握すべき情報が多岐にわたるため時間がかかることなどの課題があります。また、DXの推進や作業効率化によるOT環境の変化が起きやすい現状において、手作業で情報を最新に維持し続けるには継続的な工数の確保が求められます。
【3】資産可視化ツールでの自動化
OT環境の資産情報を可視化する製品を導入し、自動的に資産情報を収集する方法です。次節で詳しく説明します。
4.資産可視化ツールで情報収集を自動化するメリットと注意点
OT環境の情報収集は、資産可視化ツールの活用によって効率的かつ正確な収集が可能となります。ここでは、資産可視化ツール活用のメリットと実際に活用する際の注意点を解説します。
活用のメリット
OT環境の資産可視化ツールは製品によって複数の情報収集手段を持ちますが、ここでは共通する3つのメリットを挙げています。
| ツールで取得可能な範囲で 最新・正確な情報が得られる |
ツールが常時情報収集するためOT環境に変更・追加があった場合でも、正確かつ最新の情報に自動で更新してくれます。 |
|---|---|
| 情報管理の工数が大幅に削減できる | 通常、ツールは収集した情報を一覧管理する機能を持っており、セキュリティの観点だけでなくOT環境の資産管理にも役立てることができます。また、収集した情報をグラフィカルに表示する機能を持ち、ネットワーク構成図などを自動作成する機能を持つツールもあります。手動でシステム間の情報を統合する必要もありません。 |
| サイバー攻撃を検知することができる | 多くの資産可視化ツールは、情報を収集・管理するだけでなく、不審な通信を監視し、検知する機能を持っています。攻撃を検知した場合は、収集した情報と合わせてスピーディな対応を行うことが可能です。 |
導入に向けての注意点
一方で、資産可視化ツールをOT環境に導入する際には注意が必要な点もあります。
| 適切な情報収集の方法を 選択する必要がある |
情報収集の方法として、①ネットワークの通信から情報を得る②ツールから各機器に通信を行って情報を得る③機器（PCやサーバ）にインストールした情報収集用のソフトウェアから情報を得るといったものがあります。このうち、②③はOT環境に影響が出る可能性があるため、適切な収集の方法を選択することが重要です。 |
|---|---|
| 資産可視化ツールを適切な箇所に 設置することが必要 |
情報はネットワーク経由で収集するため、OT環境のネットワークのどこにツールを設置するかによって、収集可能な情報が変わる場合があります。したがって、ネットワーク上の適切な箇所にツールを設置することが重要です。 |
| OT環境における実践的な知識が必要 | ツールのスムーズな導入には、上記のような点に加えて、製造現場に影響しない導入方法や、OT環境特有の通信・産業プロトコルなどの知識が必要です。セキュリティの知識だけではなく、OTに対する実践的な知識を持ったベンダーに設計・導入を任せることが重要です。 |
5.まとめ
OTセキュリティの最初のステップとして、OT環境の情報収集について解説しました。少ない作業工数で常に最新の情報を維持するために、今後は資産可視化ツールの導入がスタンダードになっていくと見込まれます。
OT環境の情報収集に続けて、どのようなセキュリティ対策を行う必要があるでしょうか？次回は、対策立案の参考になる国内外のガイドラインを紹介します。
当社では、資産可視化ツールNozomi Guardianを用いたサービス展開やグループ内への導入・実運用の実績があり、適切な情報収集方法や設置箇所などのノウハウの提供も含めて資産可視化ツールの導入を行うことが可能です。デモの実演や、当社所有の機器をお客様環境に設置してレポートをお出ししたりするトライアルの実施（有償）も可能ですので、お気軽にお問い合わせください。
