ICSジャーナル（誰でも閲覧できます）

課題別、テーマ別のeICS講座案内

オンデマンドビデオ講座eICSってどんなサービス？

制御システムセキュリティ／制御セキュリティ／安全セキュリティを学ぼうとするとその適用範囲にまず驚かれます。とてつもなく広範囲でしかも各テーマがとても深い内容だからです。それは一日かけても納得いく理解までに行きつきません。しかし、eICSの各講座を受けて復習したり、研究したり、応用実践していく時に何度も繰り返し受講することで、理解は深まっていきます。

機能安全、機械安全、環境安全、健康安全、グループ安全の全てを理解してシステムインテグレートした経験を持っている方は、理解から実践まで時間を要することをご存知だと思います。全てを経験してみると「なるほどね。」の領域に達して、後は、気づきの連続です。

eICSは、契約期間中であれば全講座を何度でも観ることができます。また、契約期間中に追加された講座も特別な手続きなしで観ることができます。
講師陣はICS研究所の村上正志の他に、セキュリティベンダの専門家が自社ソリューションについて解説しています。
当記事の資料をダウンロードできます　実践的オンデマンドビデオ講座eICS PDF形式 / 1.7MB

ここからは、課題別、テーマ別でeICSの講座をご紹介していきましょう。

1）企業の将来の可能性を創り出すセキュアなCPPS

IoT／CPSの時代を迎え、工場のCPSとなるCPPS（Cyber Physical Production System）を使ってどのような課題解決を導き出せるのかを解説したIndustry4.1J／IoT／CPS講座群があります。
関連するeICS講座　Industry4.1J／IoT・CPS講座など
課題別、テーマ別のeICS講座案内 - 1）企業の将来の可能性を創り出すセキュアなCPPS 1

2）産業別ガイドライン／法規制／国際標準規格／認証制度

次にアメリカ、EU、中国、そして日本の法規制や、産業別ガイドラインの解説、国際標準規格や認証制度についての解説などの講座があります。
関連するeICS講座　最新情報／トピックス、基礎、国際標準規格、ガイドライン解説など
課題別、テーマ別のeICS講座案内 - 2）産業別ガイドライン／法規制／国際標準規格／認証制度 1

3）広範囲の制御システムセキュリティ対策

重要インフラ施設や、航空機、船舶、自動車、車両、半導体、医薬品、医療品、家電、食品などの製造システムから、通信や放送施設まで、制御システムは様々あり、それぞれの製品製造方法から生産方式が作られてきました。それにより、制御システムの構造は一品一様に仕様を持ち、システムインテグレートされてきました。その事業戦略から求められる事業継続計画（BCP）、マネージメント（BCM）を考慮した制御システムセキュリティ対策でなければならないことから、課題は広範囲に渡ります。つまり、一つの手法で全てを対処できるものではないということです。
関連するeICS講座　産業別ガイドライン、サイバーリスクアセスメント、経営など
課題別、テーマ別のeICS講座案内 - 3）広範囲の制御システムセキュリティ対策 1

4）工場の制御システムセキュリティ対策の全貌

工場の制御システムセキュリティ対策を実際に施していくと解るのですが、制御システム構造やシステムインテグレートは異なっていても、やるべき課題は六つに整理することができます。それは、
・防衛強化
・早期発見
・被害最小
・早期回復
・セキュア改善
・人材育成
です。
それらを実施していくために「サイバー攻撃に強い制御システム設計と制御製品採用」と「目的に適応したインシデント検知機能と緊急時対応」や「デバイスの健全性管理と実践的メンテナンス対応」などが求められます。
関連するeICS講座　サイバーリスクアセスメント、基礎など
課題別、テーマ別のeICS講座案内 - 4）工場の制御システムセキュリティ対策の全貌 1

5）世界に通じ、すぐできるリスクアセスメント

手始めにどういった対策作業から進めていけば良いでしょうか。まずサイバーリスクアセスメントから始める方法があります。これは、国によっては監査対象や事故発生後の事故調査で実施していたか確認される項目の一つになります。
つまり、リスクアセスメントとリスク低減が適切であったかどうかが問われます。そして、残留リスクの対処方法が適切であったかどうかも問われる可能性があります。また、リスクアセスメントの妥当性を説明できるかどうか、どのように妥当性を確認したかなども調査対象になる可能性があります。IEC62443-3-2のリスクアセスメントやIEC62443-3-3のシステム要件、NIST sp800-82やNISTのCybersecurity Frameworkを使った管理方法など、国際標準規格やガイドラインで定められた実用的なものがあります。
※注：NISTのSP800シリーズの一部がISOに採用される動きもあります。
関連するeICS講座　制御セキュリティとシステム設計「制御システム構成別サイバーリスク分析 IEC62443セキュリティレベルベース」など
課題別、テーマ別のeICS講座案内 - 5）世界に通じ、すぐできるリスクアセスメント 1

6）サイバー攻撃に強い製造システム

サイバー攻撃に強い製造システムを構築するための現実的な課題として、情報セキュリティ対策製品を制御システムにも活用していく必要があります。しかし、ネットワークにセキュリティ製品を設置すれば良いというものではありません。どの範囲にどの分類のインシデント検知機能をどこに持たせて、インシデント検知情報をどのように扱うかをシステムインテグレートすることが重要です。
関連するeICS講座　サイバーリスクアセスメントの手引き「制御システムのサイバーリスク低減」など
課題別、テーマ別のeICS講座案内 - 6）サイバー攻撃に強い製造システム 1

7）サイバー攻撃に強い製造システムネットワーク

製造システムのネットワークは、ISA-95で定義されており、セグメント設計はそれに従った方が管理しやすいです。そこにISA-99のサイバーセキュリティ対策を施していくのですが、被害を最小限に抑えて、できるだけ事業継続を実現するには、ゾーン設計が必要になります。さらに、MESのServerが多い時は、MES層のゾーン設計も考慮することやポータルServerのゾーンを作ることで、現場で使用するタブレットやデバイスなど無線を使った環境を創り出すことができます。また、センサーネットワークや無線通信、有線通信などの境界をDMZでゾーニングすることで、より安全な製造現場を実現できます。
関連するeICS講座　制御エンジニアリング設計、制御製品開発、国際標準規格「OPC UA」関連など
課題別、テーマ別のeICS講座案内 - 7）サイバー攻撃に強い製造システムネットワーク 1

8）制御セキュリティ／安全セキュリティ

制御コントローラのレジスタにアクセスしたり、空いているメモリ空間に異常なプログラムを書き込んだりするマルウェアが登場しました。よって、「制御製品そのものにサイバーセキュリティ対策機能や性能を持たせる制御セキュリティ対策」と、「機能安全、機械安全、グループ安全の機能を守る為のサイバーインシデント検知機能を安全シーケンスに組み入れる安全セキュリティ」があります。
関連するeICS講座　制御セキュリティとシステム設計／制御製品開発技術など
課題別、テーマ別のeICS講座案内 - 8）制御セキュリティ／安全セキュリティ 1

9）脆弱性識別情報管理された製品開発

制御製品やデバイス、ソフトウェア製品の脆弱性を作らないようにする方法は既に明らかになっており、国際的な脆弱性識別情報管理のデータベース（NVD／CVE／CWEなど）もあります。セキュアコーディングチェック、静的解析、動的解析などを実施できる開発環境を持つことが求められております。
関連するeICS講座　制御製品開発技術「製品仕様で対策できること」など
課題別、テーマ別のeICS講座案内 - 9）脆弱性識別情報管理された製品開発 1

10）脆弱性識別情報管理

制御製品の脆弱性識別情報は、国際的CERT機関間連携やホワイトハッカーとの連携でICS-CERTに集められています。よって、設備オーナーは現場の部品管理で対象となる制御製品の脆弱性識別情報を基に、製造や施設のセキュリティレベルを下げずにメンテナンスすることが可能となります。
そのため制御ベンダ、装置ベンダ、機械ベンダは制御製品の脆弱性識別情報を顧客に適時知らせる組織と環境を持つことになります。
関連するeICS講座　制御ベンダ、制御装置ベンダ、機械ベンダなど
課題別、テーマ別のeICS講座案内 - 10）脆弱性識別情報管理 1

11）サイバー攻撃に強い制御製品

今までの冗長化システムは、故障対策として構築されてきました。ところがサイバー攻撃に対してはその冗長化機能を発揮することができません。これに対処するためには、制御コントローラのアーキテクチャーからの見直しが必要となります。さらに、制御コントローラには、サイバー攻撃によるインシデント検知機能や性能も求められます。また、Server製品についてもマルウェアが侵入しても活動できない仕組みが求められます。
関連するeICS講座　制御製品開発技術「製品仕様で対策できること その3」など
課題別、テーマ別のeICS講座案内 - 11）サイバー攻撃に強い制御製品 1

12）サイバー攻撃に強い保全管理

仮に脆弱性識別情報が分かって、パッチ処理をするにしても、ベンダの製品開発者が呼び出されているのが実状です。しかもその作業は煩雑で、出荷時の状態に戻して、顧客の仕様に合ったインテグレート作業、バリデーション作業のやり直しをして、試運転に入る段取りをしなければなりません。通常の故障では、ハードウェアの交換作業レベルで対処できるところも多く、保全予備品でパッチ処理をして動作確認をすることで、短い時間で回復できる方法があります。この手法の中には、インシデントが発生した後の回復作業に使えるものもあり、準備を整えておくポイントがいくつかあります。
関連するeICS講座　「アセットオーナー技術」、「発注先管理、発注・受け入れ・現場立ち上げ」など
課題別、テーマ別のeICS講座案内 - 12）サイバー攻撃に強い保全管理 1

13）サイバー攻撃に強いCSMS

工場や施設の管理状況などを観るに、ポリシーや呼びかけスローガンに終わっているところが多いです。つまり、サイバーセキュリティマネージメントシステムになっていない。マネジメントシステムとは何かを正しく理解していないということです。人材育成が成功するかどうかはこのマネジメントシステムを当たり前にしている企業になれるかどうかで決まります。
社員一人一人に浸透させていくには、ICS研究所の村上正志が提唱した「セキュリティ5S」が効果的です。
関連するeICS講座　経営、セキュリティ5S、アセットオーナー技術など
課題別、テーマ別のeICS講座案内 - 13）サイバー攻撃に強いCSMS 1

14）損害賠償請求訴訟対策

海外では当たり前に起きているサイバー攻撃による損害賠償請求訴訟ですが、日本国内でも訴訟案件が既に出ています。この訴訟対策として企業を守るために、今までとは異なる認識に立つ必要があります。今までサプライベンダの製品仕様に合わせていた発注仕様書の内容を本来あるべきセキュリティレベルの仕様（基準：機能や性能など）と維持管理に必要な要求内容にしていく必要があります。受け入れ検査や立会試験などの試験方案や試験ツールもサイバーセキュリティ項目実施に向けて改善していく必要があります。もちろん、内閣サイバーセキュリティセンターNISCや経済産業省がガイドラインで示しているリスクアセスメントや設備管理にサプライチェーンセキュリティで求められる脆弱性識別情報管理も含めた管理責任が経営者にも問われることになります。

また、今後、認証制度を活用した対策も大いに増えてくると思われます。その中で認証機関の審査に問題があると、認証機関の瑕疵責任が裁判で問われることになるのですが、それは責任の一部に過ぎません。この問題の一番の大きな責任は製品を供給したベンダに課せられ、損害賠償請求をされることもあります。

その対策として、保険契約の中のサイバーセキュリティ項目をどのように扱うかもあります。また、どのような条件であれば安全操業ができるか、そしてその完全性（Integrity）をどのように証明するかが保険契約の課題となって参ります。つまり、リスクアセスメントとリスクマネージメントの質レベルを審査・評価することが重要になる時代が来ています。
課題別、テーマ別のeICS講座案内 - 14）損害賠償請求訴訟対策 1

15）オンデマンドビデオ講座eICSの活用と効果（繰り返し観ることで理解を深める）

制御システムセキュリティから制御セキュリティ、安全セキュリティと対策をしていく上で、図にあるように様々な対象者別の規範やマニュアルや人材育成教材やトレーニングマニュアルや検査ツール環境整備や監査項目を作成する必要があります。

そうなると、一度研修を受けたからと言って、一度ビデオ講座を見たからと言って、できるものではありません。さらに、自分たちの現場に合った仕上がりにしなければなりません。

サイバー攻撃が無くなることはないと思います。それに対して、新たな攻撃手法が出てくることも想定されており、新たな対策方法も研究されています。それを継続的に手に入れていくには、社内の誰かがeICSを継続的に受講して、企業責任として執るべき対策をアップデートしていく必要があります。

システム技術者や製品開発管理責任者及び情報セキュリティ／制御セキュリティの組織の者であれば、継続的にeICSを契約して情報を得ておく必要があると思います。

よって、個人の能力アップのために、企業内組織の管理責任者、サイバーセキュリティ担当部門のリーダー、制御システム設計技術者、制御システムセキュリティ対策コンサルエンジニアなどの方々には、特に継続的なeICS受講をお勧めします。
課題別、テーマ別のeICS講座案内 - 15）オンデマンドビデオ講座eICSの活用と効果（繰り返し観ることで理解を深める） 1
当記事の資料をダウンロードできます　実践的オンデマンドビデオ講座eICS PDF形式 / 1.7MB

eICS講座一覧は、下記URLの「eICSってどんなサービス？」の頁の下にあるPDFダウンロードから確認することができます。
https://www.ics-lab.com/e/SERVICE

掲載日

このジャーナルに関するお問い合わせ

お問い合わせお問い合わせ

著者

株式会社ICS研究所　村上 正志

1979～90年まで、日本ベーレーのシステムエンジニアとして電力会社の火力発電プラント監視制御装置などのシステム設計及び高速故障診断装置やDirect Digital Controllerの製品開発に携わる。
＊関わった火力発電所は、北海道電力（苫東厚真、伊達）、東北電力（新仙台、仙台、東新潟）、東京電力（広野、姉ヶ崎、五井、袖ヶ浦、東扇島）、北陸電力（富山新港）、中部電力（渥美、西名古屋、知多、知多第二）、関西電力（尼崎、御坊、海南、高砂）、中国電力（新小野田、下関、岩国）、四国電力（阿南）、九州電力（港、新小倉、川内）、Jパワー（磯子、松島、高砂）、日本海LNG　など

1990年、画像処理VMEボードメーカーに移籍し、大蔵省印刷局の検査装置や大型印刷機械などのシステム技術コンサルティングに従事。

1995年、デジタルに移籍し、SCADA製品の事業戦略企画推進担当やSE部長を務める。（2004年よりシュナイダーエレクトリックグループ傘下に属す）また、1999年にはコーポレートコーディネーション／VEC（Virtual Engineering Company & Virtual End-User Community）を立ち上げ、事務局長として、「見える化」、「安全対策」、「技術伝承」、「制御システムセキュリティ対策」など製造現場の課題を中心に会員向けセミナーなどを主宰する。協賛会員と正会員のコラボレーション・ビジネスを提案し、ソリューション普及啓発活動を展開。
2011年には、経済産業省商務情報政策局主催「制御システムセキュリティ検討タスクフォース」を進言、同委員会委員及び普及啓発ワーキング座長を務める。
2015年、内閣官房 内閣サイバーセキュリティセンターや東京オリンピックパラリンピック大会組織委員会などと交流。

2015年、株式会社ICS研究所を創設。VEC事務局長の任期を継続。世界で初めて制御システムセキュリティ対策e-learning教育ビデオ講座コンテンツを開発。

2017年4月～ 公益財団法人日本適合性認定協会JABの制御システムセキュリティ技術専門家

2017年7月～ 経済産業省の産業サイバーセキュリティセンターCoEの制御システムセキュリティ講座講師担当

現在活動している関連団体及び機関
・日本OPC協議会 顧問
・制御システムセキュリティ関連団体合同委員会委員

関連情報

〒160-0004 東京都新宿区四谷1-15
　アーバンビルサカス8 A棟2階