第12回VEC主催 制御システムセキュリティ対策カンファレンス（2019年5月22日、23日開催）のパネルディスカッションにて出てきた課題を箇条書きしてみました。
① EU及び米国、そして中国国内で2017年にサイバーセキュリティ法制化が進んだ。2018年以降は、サイバーセキュリティ対策の義務化が強まり、認証取得企業が増えている。日本国内は、早期にCSMS認証が制度化されたが、CSMS認証取得そのものにインセンティブが無いため、取得企業が増えていない。これで良いのか？
解説：
日本政府の発注プロジェクトの受諾条件にISMS認証取得を入れているので、他国に比べてISMS認証取得企業が多い。今は、民間の受諾業務でもISMS認証取得をしていないと仕事がもらえないところまで普及しています。ところがCSMS認証は、ISMS認証のようなインセンティブが無いので、そこまで普及していません。しかし、CSMS認証を取得するプロセスにおいて、企業の経営者から社員のサイバーセキュリティ対策についての認識が一気に高まることが期待できます。企業ポリシーにサイバーセキュリティポリシー示す際も内容を明確にできたり、さらに生産／製造システムのシステム規範や取り扱い規範、メンテナンス規範などを作成することで、現場のマニュアルや点検項目などに、制御システムセキュリティ対策項目を明記していくことが出来ます。また、生産／製造システムがあるエリアの物理セキュリティシステムの導入理由も明確になり、テロ対策と併せて導入することで予算確保も容易になります。
日本政府の発注プロジェクトの受諾条件にISMS認証取得を入れているので、他国に比べてISMS認証取得企業が多い。今は、民間の受諾業務でもISMS認証取得をしていないと仕事がもらえないところまで普及しています。ところがCSMS認証は、ISMS認証のようなインセンティブが無いので、そこまで普及していません。しかし、CSMS認証を取得するプロセスにおいて、企業の経営者から社員のサイバーセキュリティ対策についての認識が一気に高まることが期待できます。企業ポリシーにサイバーセキュリティポリシー示す際も内容を明確にできたり、さらに生産／製造システムのシステム規範や取り扱い規範、メンテナンス規範などを作成することで、現場のマニュアルや点検項目などに、制御システムセキュリティ対策項目を明記していくことが出来ます。また、生産／製造システムがあるエリアの物理セキュリティシステムの導入理由も明確になり、テロ対策と併せて導入することで予算確保も容易になります。
② CSMS認証を取得したことにより、IEC62443-2-1で要求されているマネージメント力がついた。定期的に監査があることでPDCAサイクルの維持ができている。このことは、アセットオーナーとして非常に意義があると感じている。
解説：
企業にとってPDCAの実施レベル及び実効レベルを落とさないで継続することは容易ではありません。どうしてもおざなりになっていくし、形式的なロジックになって、実質効果が下がってしまいます。そんな状況に構わず昨今のサイバー攻撃手法は高度化しており、その対策として脆弱性識別管理を継続的なシステムで実施しなければ効果は出ないため、PDCAとその実施効果のレベル維持は重要となります。そこで効果的なのは、CSMS認証を取得して、定期的に第三者機関の監査を受けることで、PDCAのサイクルが回るし、実質効果レベルも落ちないというメリットがあります。そういう意味でもCSMS認証取得は、企業にとってISO9000と同様に重要な制度だと考えられます。
企業にとってPDCAの実施レベル及び実効レベルを落とさないで継続することは容易ではありません。どうしてもおざなりになっていくし、形式的なロジックになって、実質効果が下がってしまいます。そんな状況に構わず昨今のサイバー攻撃手法は高度化しており、その対策として脆弱性識別管理を継続的なシステムで実施しなければ効果は出ないため、PDCAとその実施効果のレベル維持は重要となります。そこで効果的なのは、CSMS認証を取得して、定期的に第三者機関の監査を受けることで、PDCAのサイクルが回るし、実質効果レベルも落ちないというメリットがあります。そういう意味でもCSMS認証取得は、企業にとってISO9000と同様に重要な制度だと考えられます。
③ WannaCry亜種版やStuxnet／Shamoonなどの亜種版やコントローラインジェクションなどサイバー攻撃手法が巧妙化し、実際に工場の現場で対処する事件が起きているが、企業の外には知らされていないことから危機認識が薄い。
解説：
生産／製造現場にIoTやリモートサポートシステムを導入したことで、外部組織のシステムと繋がる機会も増えています。その外部システムにWannaCryやShamoonなどが侵入もしくは存在し、そこから自社の生産／製造システムのServerやPCに感染して初めて、経営者も自社のサイバーセキュリティ対策の盲点を知ることがあります。外部から持ち込むPCやソフトウェアやデバイスはセキュリティチェックをすることを社内ルールとしていたにもかかわらず、セキュリティメーカーやベンダの専門サポート要員が持ち込んだPCやソフトウェアからマルウェアが侵入することがあります。そして、製造ラインのServerに感染して、PLCインジェクションを起こした事故情報を聞いても、「自社は大丈夫」と根拠なく楽観する企業も少なくありません。
実際にあった事例ですが、企業のポリシーにサイバーセキュリティ対策実施をうたって、社内ルール規範をつくりました。工場内のネットワークにFWやL2／L3スイッチやルータを配置して、サイバーセキュリティ対策を実施しました。その対策をもって、「自社は大丈夫」だと思い込んでいる経営者が多いです。実際に現場のFWやL2／L3スイッチやルータの設定を診てみると、保護が機能する設定になっていないとか、他部門の要求でレガシーな通信プロトコルを使用できるように設定内容を変えたことで、セキュリティレベルを下げていたり、機能しなくなっていたりするケースがありました。セキュリティレベルが維持されていないことに気が付かず、監査も実施していないという企業が多いのです。
生産／製造現場にIoTやリモートサポートシステムを導入したことで、外部組織のシステムと繋がる機会も増えています。その外部システムにWannaCryやShamoonなどが侵入もしくは存在し、そこから自社の生産／製造システムのServerやPCに感染して初めて、経営者も自社のサイバーセキュリティ対策の盲点を知ることがあります。外部から持ち込むPCやソフトウェアやデバイスはセキュリティチェックをすることを社内ルールとしていたにもかかわらず、セキュリティメーカーやベンダの専門サポート要員が持ち込んだPCやソフトウェアからマルウェアが侵入することがあります。そして、製造ラインのServerに感染して、PLCインジェクションを起こした事故情報を聞いても、「自社は大丈夫」と根拠なく楽観する企業も少なくありません。
実際にあった事例ですが、企業のポリシーにサイバーセキュリティ対策実施をうたって、社内ルール規範をつくりました。工場内のネットワークにFWやL2／L3スイッチやルータを配置して、サイバーセキュリティ対策を実施しました。その対策をもって、「自社は大丈夫」だと思い込んでいる経営者が多いです。実際に現場のFWやL2／L3スイッチやルータの設定を診てみると、保護が機能する設定になっていないとか、他部門の要求でレガシーな通信プロトコルを使用できるように設定内容を変えたことで、セキュリティレベルを下げていたり、機能しなくなっていたりするケースがありました。セキュリティレベルが維持されていないことに気が付かず、監査も実施していないという企業が多いのです。
④ スマートマニュファクチャリングでデジタルトランスフォーメーション／デジタルツインを導入していくにも、安全操業を保護する制御システムセキュリティ／制御セキュリティ／安全セキュリティ対策が当たり前に実現できていなければ、危険な生産／製造システムになってしまう。
解説：
技術者や管理者の中には、「私はAIを担当していますからセキュリティ対策は不要になりました。」とか、「デジタルトランスフォーメーション担当になりましたので、制御システムセキュリティは別の担当者になりました。」と言う方がいます。こんなことを言う技術者や管理者は、制御システムセキュリティ／制御セキュリティ／安全セキュリティの位置づけを誤解しています。
AIを担当してもデジタルトランスフォーメーションを担当してもスマートマニュファクチャリングを担当しても、その基本技術には、機能安全や機械安全やグループ安全と同じくセキュリティ技術は存在しており、制御システムセキュリティ／制御セキュリティ／安全セキュリティ対策技術の上に、AIやデジタルトランスフォーメーションやスマートマニュファクチャリングを実現しなければなりません。そのため、AIシステム構造設計やデジタルトランスフォーメーションシステムの構造設計、スマートマニュファクチャリングシステムの構造設計に、制御セキュリティ／安全セキュリティからくる制約事項が出てきます。また、新しいサイバー攻撃手法の登場で、それらの構造設計の基盤規範も見直ししなければならないことも出てきます。制御システムセキュリティ／制御セキュリティ／安全セキュリティ対策技術や管理手法は、適時更新していく必要があります。
技術者や管理者の中には、「私はAIを担当していますからセキュリティ対策は不要になりました。」とか、「デジタルトランスフォーメーション担当になりましたので、制御システムセキュリティは別の担当者になりました。」と言う方がいます。こんなことを言う技術者や管理者は、制御システムセキュリティ／制御セキュリティ／安全セキュリティの位置づけを誤解しています。
AIを担当してもデジタルトランスフォーメーションを担当してもスマートマニュファクチャリングを担当しても、その基本技術には、機能安全や機械安全やグループ安全と同じくセキュリティ技術は存在しており、制御システムセキュリティ／制御セキュリティ／安全セキュリティ対策技術の上に、AIやデジタルトランスフォーメーションやスマートマニュファクチャリングを実現しなければなりません。そのため、AIシステム構造設計やデジタルトランスフォーメーションシステムの構造設計、スマートマニュファクチャリングシステムの構造設計に、制御セキュリティ／安全セキュリティからくる制約事項が出てきます。また、新しいサイバー攻撃手法の登場で、それらの構造設計の基盤規範も見直ししなければならないことも出てきます。制御システムセキュリティ／制御セキュリティ／安全セキュリティ対策技術や管理手法は、適時更新していく必要があります。
⑤ 経営者を説得するのに困っています。「海外ではサイバー攻撃事例が多くあるが、日本国内では聞かないではないか？」と言われます。
それには、ICS研究所のICSジャーナルにあるサイバー攻撃事例集PDFを見て読んでもらってください。政府機関でもこれを参考にして認識共有しているようです。
ICSジャーナル「サイバー攻撃事例から見るサイバーセキュリティとは何か？」
https://www.ics-lab.com/e/JOURNAL/28
解説：
経営者の理解を得るためサイバー攻撃事例を探しても、国内事例が少なく海外事例がほとんどで、経営者は「海外で起きている事故を日本で聞かないのに、こんな予算は要らないだろう。」と勘違いされているケースが多いです。
また、メディアのニュースでは専門的な言葉は使われないことが多いため、報道内容から事象を推察するには読み解く必要があります。
「一部のクライアントからの送信が急激に増えてシステムが機能しなくなり、・・・・・（それは、DOS攻撃を受けたということではないか⁉）」、「システムの負荷が急増して・・・・・（それは、Warmの仕業ではないか⁉）」、「システムの起動ができなくなり、・・・・（それは、ShamoonかDisk Trackではないか⁉）」、「システムに不正コードが入って、・・・・（それは、Stuxnetの亜種版かBlack EnergyかIndustroyer系ではないか⁉）」、「データアクセス妨害にあって、・・・・（Ransomwareではないか⁉）」と言うように国内事例は起きています。国民がパニックを起こさないためにも、「サイバー攻撃」という言葉をできるだけ使わないようにしていることが反って経営者の感覚を鈍らせているのかもしれません。経営者は、あらゆるリスクヘッジのマネージメントを担当していて、その専門家である訳ですから、それぞれのリスクの構造を認識して経営戦略及び事業戦略を推進していく責任があります。その中でサイバーセキュリティ及び生産／製造セキュリティは事業の根幹の一部であることを認識しておく必要があります。
ICSジャーナル「サイバー攻撃事例から見るサイバーセキュリティとは何か？」
https://www.ics-lab.com/e/JOURNAL/28
解説：
経営者の理解を得るためサイバー攻撃事例を探しても、国内事例が少なく海外事例がほとんどで、経営者は「海外で起きている事故を日本で聞かないのに、こんな予算は要らないだろう。」と勘違いされているケースが多いです。
また、メディアのニュースでは専門的な言葉は使われないことが多いため、報道内容から事象を推察するには読み解く必要があります。
「一部のクライアントからの送信が急激に増えてシステムが機能しなくなり、・・・・・（それは、DOS攻撃を受けたということではないか⁉）」、「システムの負荷が急増して・・・・・（それは、Warmの仕業ではないか⁉）」、「システムの起動ができなくなり、・・・・（それは、ShamoonかDisk Trackではないか⁉）」、「システムに不正コードが入って、・・・・（それは、Stuxnetの亜種版かBlack EnergyかIndustroyer系ではないか⁉）」、「データアクセス妨害にあって、・・・・（Ransomwareではないか⁉）」と言うように国内事例は起きています。国民がパニックを起こさないためにも、「サイバー攻撃」という言葉をできるだけ使わないようにしていることが反って経営者の感覚を鈍らせているのかもしれません。経営者は、あらゆるリスクヘッジのマネージメントを担当していて、その専門家である訳ですから、それぞれのリスクの構造を認識して経営戦略及び事業戦略を推進していく責任があります。その中でサイバーセキュリティ及び生産／製造セキュリティは事業の根幹の一部であることを認識しておく必要があります。
⑥ 業務系ネットワーク経由のサイバー攻撃対策はある程度進んでいます。しかし、装置や機械やロボットのメンテナンスツールやチューニングツールなどで使用するPCや、メーカーから供給されるソフトウェアアップデートソフトやリモートサポートシステムなどから来るサイバー攻撃に対するリスクまで考慮されていない現場が多いです。
解説：
保守用／メンテナンス用PCは、使用する部門が部門費用で購入する場合、情報システム部門のセキュリティ管理機器リストに含まれていない企業が多い。
脆弱性を持つOSを無くすために、脆弱性のないアプリケーションであるために、マルウェアが侵入しない管理を実施するため、下記の事項に1つでも該当するものがあれば改善活動を行う必要があります。
【続きはeICS受講者のみログイン後、閲覧可。】
・改善活動を行うべき事象を解説。
そこであきらめるのではなく、正面からこの問題に取り組んでいくことが求められます。
対策のための新しい投資をする際は、以下のことを検討して計画書を作成してみてください。
【続きはeICS受講者のみログイン後、閲覧可。】
・計画書作成時に検討する項目を解説。
保守用／メンテナンス用PCは、使用する部門が部門費用で購入する場合、情報システム部門のセキュリティ管理機器リストに含まれていない企業が多い。
脆弱性を持つOSを無くすために、脆弱性のないアプリケーションであるために、マルウェアが侵入しない管理を実施するため、下記の事項に1つでも該当するものがあれば改善活動を行う必要があります。
【続きはeICS受講者のみログイン後、閲覧可。】
・改善活動を行うべき事象を解説。
そこであきらめるのではなく、正面からこの問題に取り組んでいくことが求められます。
対策のための新しい投資をする際は、以下のことを検討して計画書を作成してみてください。
【続きはeICS受講者のみログイン後、閲覧可。】
・計画書作成時に検討する項目を解説。
⑦ IT，IoT製品で、タブレットやモバイルを利用したソリューション製品があります。ワイヤレスやモバイルコードを制御システムに使用する場合、ISA-99／Secure認証ではワイヤレスネットワークをプロセス制御にそのまま使用することは対象外（安全確保のために論外）としております。
IEC62443-3-3／-4-2では、セキュリティ要件FRのシステム要件、コーポレート要件、ソフトウェアアプリケーション要件、エンベデッドデバイス要件、ホストデバイス要件、ネットワークデバイス要件が明確に出ております。それに適合したシステム設計及び製品設計をする必要があります。
解説：
ワイヤレス通信やモバイルを利活用したIoTですが、インターネットを使用しない方法があります。
IEC62443では、ワイヤレス通信やモバイルコードの採用に際し、適合基準を示しています。
解説：
ワイヤレス通信やモバイルを利活用したIoTですが、インターネットを使用しない方法があります。
IEC62443では、ワイヤレス通信やモバイルコードの採用に際し、適合基準を示しています。
⑧ リモートサポートでインターネットを使用しているものについては、信用できないネットワーク経由での通信として、IEC62443-3-3では対策が必要とされています。セキュリティレベルによっては認められません。
解説：
インターネットを使用しないリモートサポート通信方法があります。
インターネットを使用しないリモートサポート通信方法があります。
⑨ 自分たちの制御システムセキュリティ対策がどこまでできているかを自己評価する時のチェックシートとして、IEC62443-3-3を利用する方法があります。
セキュリティ要件FR1～7までの各システム要件SRの項目をセキュリティレベルで仕分けして、診ていく方法です。一般製造であれば、セキュリティレベル1を目標にSL-Tとします。自分たちの工場の実力を評価するのに、できているかどうかで判定します。できている項目を合わせてSL-Aとします。そして、自分たちのセキュリティ対策能力SL-Cを上げていくことで、SL-TにSL-Aを近づける対策技術と管理方法を習得して実現していく計画書（システムセキュリティ対策規範、コスト、改善時間、人材育成、スケジュールなど）を作成し、セキュリティ改善を行います。計画書作成段階で経営会議での承認を得ていき、進行状況を報告していきます。
解説：
【続きはeICS受講者のみログイン後、閲覧可。】
・「IEC62443-3-3のセキュリティベクトルについて」と、それに関するセキュリティ改善について解説。
解説：
【続きはeICS受講者のみログイン後、閲覧可。】
・「IEC62443-3-3のセキュリティベクトルについて」と、それに関するセキュリティ改善について解説。
⑩ IEC62443-3-3のセキュリティ要件FR6のシステム要件SR6.2のセキュリティレベル2以上は、制御システムの重要度によって、セキュリティ監視システムを装備することになる。ゾーン単位のセキュリティレベルの違いで、装備するセキュリティ監視システムの内容をどこまでやるべきかは、明らかになっていない。この課題は、VECの“つるまいプロジェクト”の成果報告に期待するところが大きいです。
解説：
制御システムのサイバーセキュリティ監視システムに求められる能力は、セキュリティレベルにより異なります。
一般製造を対象にしたセキュリティレベル1では、制御システムのサイバーセキュリティ監視システムは装備しなくても、業務系ネットワークと製造系ネットワークの間のDMZやワイヤレス通信ネットワークと有線通信ネットワークのゾーン設計における多層防御ができていることや脆弱性識別管理、被害最小、回復時間短縮などの総合的な対応で維持できると思われます。しかし、電力、水処理、防衛、石油、化学、鉄鋼、空港、交通などの重要インフラにおいては、セキュリティレベル2からレベル4を適用するのが妥当だと思われます。もちろん、設備のすべてがセキュリティレベルの高いものである必要はありませんが、それぞれのセグメントやゾーンの区分で重要と考えられる順番にセキュリティレベルが定義されるものです。
【続きはeICS受講者のみログイン後、閲覧可。】
・サイバーセキュリティ監視システムや制御コントローラなどに求められる機能を解説。
制御システムのサイバーセキュリティ監視システムに求められる能力は、セキュリティレベルにより異なります。
一般製造を対象にしたセキュリティレベル1では、制御システムのサイバーセキュリティ監視システムは装備しなくても、業務系ネットワークと製造系ネットワークの間のDMZやワイヤレス通信ネットワークと有線通信ネットワークのゾーン設計における多層防御ができていることや脆弱性識別管理、被害最小、回復時間短縮などの総合的な対応で維持できると思われます。しかし、電力、水処理、防衛、石油、化学、鉄鋼、空港、交通などの重要インフラにおいては、セキュリティレベル2からレベル4を適用するのが妥当だと思われます。もちろん、設備のすべてがセキュリティレベルの高いものである必要はありませんが、それぞれのセグメントやゾーンの区分で重要と考えられる順番にセキュリティレベルが定義されるものです。
【続きはeICS受講者のみログイン後、閲覧可。】
・サイバーセキュリティ監視システムや制御コントローラなどに求められる機能を解説。
⑪ ログデータが取れますという製品が多いですが、「ログデータをどう解析するか使い方が明確になっていないので、そのログ機能仕様で良いのか判らない。」というユーザーやシステムインテグレータが多いです。
実際にログデータを診る場合、まず最初のインシデント検知データを診ます。そのインシデントに関連する送信元と送信先の通信の正常時と異常時のデータ内容を確認します。そして、送信元がその後どのような通信をしているのかを診てから、他のインシデント検知との関係を診ます。そのような解析作業をしていくのに適したログデータ機能仕様になっているかどうかも大切です。またそれだけではなく、そのインシデント検知や通信データの時刻がすべて同期していなければ、その解析作業の信用度は担保されません。そこで、OPC UA TSNと各フィールドバス及びEthernet通信仕様のTSN対応仕様（IEEE：802が担当）が連動しているソリューションが急がれている訳です。
解説：
今までは、現場から上がってくるデータのタイムスタンプは、管理層から見えない現場の仕組みで時刻合わせ（時刻同期）を行った結果をもらうやり方でした。ところが、制御システム全体に及ぶサイバーインシデント監視でのログデータ解析やAIを活用したデジタルトランスフォーメーションやデジタルツインでは、装置や機械やデバイス間のタイムスタンプデータの同期がとれなければ、信頼の置ける高度処理の効果は得られません。そこで、時刻同期の仕組みが必要となりますが、セグメント単位やゾーン単位で使用するネットワークやフィールドバスの仕様でできたりできなかったりします。
【続きはeICS受講者のみログイン後、閲覧可。】
・時刻同期に関する課題の解決のための関連団体による取り組みを解説。
解説：
今までは、現場から上がってくるデータのタイムスタンプは、管理層から見えない現場の仕組みで時刻合わせ（時刻同期）を行った結果をもらうやり方でした。ところが、制御システム全体に及ぶサイバーインシデント監視でのログデータ解析やAIを活用したデジタルトランスフォーメーションやデジタルツインでは、装置や機械やデバイス間のタイムスタンプデータの同期がとれなければ、信頼の置ける高度処理の効果は得られません。そこで、時刻同期の仕組みが必要となりますが、セグメント単位やゾーン単位で使用するネットワークやフィールドバスの仕様でできたりできなかったりします。
【続きはeICS受講者のみログイン後、閲覧可。】
・時刻同期に関する課題の解決のための関連団体による取り組みを解説。
⑫ 制御システムの構造やHSEの対処レベルや機能安全・機械安全の要求内容と制御システム上の実現アーキテクチャーによって、装置や機械やロボットや制御製品に要求されるサイバー攻撃からの保護対策の重度が高くなる。しかし、そこまでできる製品仕様の装置や機械やロボットや制御製品が出そろっていないです。今後のメーカーの動きに期待するところが大きいです。
解説：
これからの時代に適応できる制御装置や機械やロボットや制御製品は、サイバー攻撃に強い製品であることが求められます。仮にサイバー攻撃を受けても、インシデント検知機能があり、制御機能が維持できるかできないかの判定機能が求められます。さらに、安全に回避できる方法を顧客に明示し、短時間で回復できる製品取り扱いが可能なことが求められます。これらを具体的に実現する製品開発やシステムインテグレート技術を持った技術者が企業にとって重要となっています。自社にいなければ他社から来てもらってでも欲しい人材となります。
これからの時代に適応できる制御装置や機械やロボットや制御製品は、サイバー攻撃に強い製品であることが求められます。仮にサイバー攻撃を受けても、インシデント検知機能があり、制御機能が維持できるかできないかの判定機能が求められます。さらに、安全に回避できる方法を顧客に明示し、短時間で回復できる製品取り扱いが可能なことが求められます。これらを具体的に実現する製品開発やシステムインテグレート技術を持った技術者が企業にとって重要となっています。自社にいなければ他社から来てもらってでも欲しい人材となります。
⑬ 実際に、業務系ネットワークと制御系ネットワークの間に装備するDMZの仕様は、ITセキュリティ技術で使用するDMZの仕様とは異なります。詳細は、ICS研究所のeICS講座で解説しています。
解説：
eICS講座の制御製品開発技術「製品仕様で対策できること」の講座を参考にしてください。
eICS講座の制御製品開発技術「製品仕様で対策できること」の講座を参考にしてください。
⑭ レガシーシステムと新しいシステムの扱いは、どうしたら良いのか？ レガシーシステムと新しいシステムは、ゾーン分けします。DMZ＋スイッチもしくはFW＋スイッチを設置することになります。これもIEC62443-3-3のセキュリティ要件に書かれております。その対策方法は、ICS研究所のeICS講座で解説しています。
解説：
【続きはeICS受講者のみログイン後、閲覧可。】
・レガシー制御システムと新しい制御システムを組み合わせる際の構成に関するポイントを解説。
【続きはeICS受講者のみログイン後、閲覧可。】
・レガシー制御システムと新しい制御システムを組み合わせる際の構成に関するポイントを解説。
⑮ 「HTTPやFTPやD-COMには脆弱性が存在する」と、ICS-CERTでは扱っています。その他、カンファレンスでいくつか通信製品について話題に上がりましたが、ご採用の前にICS-CERTのWebサイトで脆弱性情報を確認してから、選択のご判断をお勧めします。
注：OPC UA仕様の製品名がカンファレンスで挙がりました。その中で、ICS-CERTで脆弱性識別情報報告があった項目に対策アップデートが施されていますが、まだ数項目解決したという検証確認がとれていないものもあります。
解説：
ベンダ側の見解で脆弱性への対処は解決したと考えても、ICS-CERTの評価審査員が未解決と判断したら、ICS-CERT機関の記録は未解決ということになります。
米国政府は、ICS-CERTの見解を採用しますので、ICS-CERTの評価審査員の納得が得られるように対応することが基本と考えます。
それから、IEC62443-3-3及び-4-2のIDとパスワード及び承認手続き機能のセキュリティ要件を満たしていない場合、セキュリティレベル1をクリアすることはできません。つまり、脆弱性が残された製品を採用している制御システムは、IEC62443のセキュリティレベル1をクリアできないということになります。（2019年5月の時点）
解説：
ベンダ側の見解で脆弱性への対処は解決したと考えても、ICS-CERTの評価審査員が未解決と判断したら、ICS-CERT機関の記録は未解決ということになります。
米国政府は、ICS-CERTの見解を採用しますので、ICS-CERTの評価審査員の納得が得られるように対応することが基本と考えます。
それから、IEC62443-3-3及び-4-2のIDとパスワード及び承認手続き機能のセキュリティ要件を満たしていない場合、セキュリティレベル1をクリアすることはできません。つまり、脆弱性が残された製品を採用している制御システムは、IEC62443のセキュリティレベル1をクリアできないということになります。（2019年5月の時点）
⑯ 実際に工場や設備のサイバーセキュリティ対策を実施するのに、ITセキュリティとOTセキュリティの両方を理解している人材が必要となります。更に、制御セキュリティ／安全セキュリティの対策技術と管理手法を理解して、具体的対策を見出すことができる人材が求められています。企業にとって、そういう人材は貴重です。外部に継続的に委託・依存すると機密情報管理が大変になります。
そこで、ICS研究所のコンサルティングでは、そういった人材を育てていく手法をお伝えしています。オンデマンドビデオ講座eICSはその人材育成のためにあります。
解説：
サイバー攻撃手法は日々高度化、巧妙化しています。StuxnetもShamoonも亜種版が登場し、Ransomwareも侵入するだけでなく、ファイルやソフトウェアやOSを消去するものまで登場しています。これらに対して、情報セキュリティの対策技術だけでは限界があります。
ICS研究所は、情報セキュリティ技術だけでなく、制御製品のハードウェアやアーキテクチャーやシステム設計などのインテグレート技術や脆弱性識別情報管理などマネージメントシステム手法も組み合わせた総合的な対策手法によって、サイバー攻撃に強い制御システムを実現させようと研究しております。その成果をeICS講座やeICSジャーナルなどに掲載して、皆様のお役に立てられるよう取り組んでおります。
オンデマンドビデオ講座eICSの受講は、社員教育の一環としてお考えいただきたいと思います。更に新技術を探求し、社内のスタッフの技術指導をする立場の方やシステムインテグレート・リーダークラスの方、R&Dのサイバーセキュリティ研究者、技術コンサルティングビジネスをされている方は継続的な受講をお勧めします。
解説：
サイバー攻撃手法は日々高度化、巧妙化しています。StuxnetもShamoonも亜種版が登場し、Ransomwareも侵入するだけでなく、ファイルやソフトウェアやOSを消去するものまで登場しています。これらに対して、情報セキュリティの対策技術だけでは限界があります。
ICS研究所は、情報セキュリティ技術だけでなく、制御製品のハードウェアやアーキテクチャーやシステム設計などのインテグレート技術や脆弱性識別情報管理などマネージメントシステム手法も組み合わせた総合的な対策手法によって、サイバー攻撃に強い制御システムを実現させようと研究しております。その成果をeICS講座やeICSジャーナルなどに掲載して、皆様のお役に立てられるよう取り組んでおります。
オンデマンドビデオ講座eICSの受講は、社員教育の一環としてお考えいただきたいと思います。更に新技術を探求し、社内のスタッフの技術指導をする立場の方やシステムインテグレート・リーダークラスの方、R&Dのサイバーセキュリティ研究者、技術コンサルティングビジネスをされている方は継続的な受講をお勧めします。
