制御系サイバーリスクアセスメントと実証実験と人材育成

IoTを導入する企業は多く、「高度IoT」や「スマート」「第4次産業革命」の言葉が多く使われている。ところが制御システムはサイバー攻撃のリスクを避けて業務系ネットワークにつながることもなく制御セキュリティの強化もなく、IoT導入をしようとしているところが多いです。
業務系ネットワークにつながっていないからと制御システムを独立ネットワークにしている現場があります。

制御システムのデマンド信号インターフェースがリレーやアナログ信号で他のコンピュータシステムとつながっている制御システムについて、そのコンピュータシステムがマルウェアに乗っ取られた場合、それにつながる制御システムはそのマルウェアの支配下に入ってしまいます。つまり、リレーやアナログ信号でインターフェースをしているから感染しない。だから良いというものではありません。

USBメモリを介してマルウェアが感染するリスクを無くすために現場ではUSBメモリを使わせないという現場があります。それでもサイバーインシデントが発生して、汚染範囲の特定やウイルスチェック、パッチ処理、復旧などの作業をする時には、USBメモリを使わない方法でできる方法をマニュアルに記載して、トレーニング作業で精度を上げていくことが求められます。つまり、現場の作業全体を考慮した対策が必要な訳です。

WannaCryが国内の工場に感染し、そこからリモートサポートシステム経由で世界中の工場に感染が広がったのが2017年の4月末であることは記憶にまだ新しいところです。インターネットを使ったり専用回線を使ったりしてもリモートサポートシステムの場合、1クライアントが感染するとServer経由で他のクライアントに感染が広がるのも本来あるべき制御セキュリティ対策ができていないからです。

LinuxにVM機能を置きXPでアプリケーションを動かしているシステムがまだ少なくないです。しかも冗長化システムとして使用しているところもあります。XPは脆弱性が多く、Microsoft社は対応しきれていないのが現状です。Linuxも脆弱性がいくつも発見されています。また、この組み合わせで構成している制御システムでは、何度もサイバーインシデントが起きて、制御機能停止に至っている現場もあります。その現場では何度も緊急体制を実施したことでコストが大きく膨れて事業継続に支障をきたすという判断で、最新のServerでの冗長化システムに更新しました。しかし、その後も、脆弱性テストを実施してパッチ処理を行って制御システムの制御セキュリティ性能を維持し、マルウェアが侵入した場合のインシデント対応でシステム復旧できるまでのトレーニングが必要です。それがサイバーリスクアセスメントの結果となります。

内閣サイバーセキュリティセンターNISCが2017年4月に公示した「重要インフラの情報セキュリティに係わる第4次行動計画」では、「安全基準等」の見直しと「リスクアセスメント」の重要性を打ち出しています。まだ、読んでいない方は是非読んでください。今までの情報セキュリティや制御セキュリティについての取組みの見直しが必要であることを認識できます。そして、これを機会に高度IoT事業を推進して行くに、事業戦略のSWOT分析をやってみませんか？

図1では、ドラッガーのSWOT分析に対策改善策を加えて表記する手法を使いました。これを見ていただけるとお解りのように制御セキュリティ対策無しに事業は成立しません。では、その制御セキュリティ対策はどのようなレベルで扱われなければならないのかを示すのが図2です。何故、安全リスクアセスメントと同じレベルで扱うべきか？というと、Sound Boxでも検知できないマルウェア（ステルス機能を持つマルウェア）やアンチウイルスソフトで検知できないマルウェア（暗号化されたマルウェアなど）が増えていることと、インストール機能があるOSであればOSを選ばないスクリプトタイプのマルウェアも増えています（Black Energy）。さらに、制御コントローラのレジスタを書き換える攻撃技術も公開されています (PLC Blaster Worm)。