2019年7月4日に株式会社ICS研究所 主催、制御システム対策セミナー「PA、FA、BAにおけるサイバー攻撃に強い制御対策」を開催しました。
セミナーの概要
当セミナーでは、ゲストスピーカーとして森ビル/eヒルズ株式会社 理事 渡部宗一様より「ビルのサイバーセキュリティガイドラインと制御システムセキュリティ対策について」お話しいただきました。
また、弊社 代表取締役社長の村上正志より「IEC62443とNIST SP800とISA-99におけるセキュリティベクトルについて」、「IEC62443のセキュリティ要件のシステム要件とOPC UAとセキュリティ監視システムについて」お話し致しました。
最後に弊社 開発部長の村上敬祐よりIEC62443のセキュリティ要件とセキュリティレベルの関係をセキュリティベクトルで解説し、eICS講座の一部をビデオ上映させていただきました。
また、弊社 代表取締役社長の村上正志より「IEC62443とNIST SP800とISA-99におけるセキュリティベクトルについて」、「IEC62443のセキュリティ要件のシステム要件とOPC UAとセキュリティ監視システムについて」お話し致しました。
最後に弊社 開発部長の村上敬祐よりIEC62443のセキュリティ要件とセキュリティレベルの関係をセキュリティベクトルで解説し、eICS講座の一部をビデオ上映させていただきました。
セッション1 森ビル株式会社／イーヒルズ株式会社の理事 渡部宗一様
最近のSHODANのページでは日本の制御ベンダの製品がインターネットから直接アクセスできる検索情報がリストとして整理されて、容易に視られる脅威をお話頂きました。（注：SHODANにアクセスすると、SHODANから制御製品を操作するソフトウェアが送り込まれますので、企業ネットワークからのアクセスは禁止が基本です。取扱いにご注意ください。）
次に「情報系システムのセキュリティ対策をそのまま採用できない。」というお話を頂きました。
課題は以下の通りです。
1. セキュリティパッチ適用ができない
2. ウイルス対策ソフトの導入が容易ではない
3. IPS・IDSを置くと管理者が必要
4. HMI端末のID／パスワードの設定
5. コントローラのID／パスワード設定・定期的変更が容易ではない
6. ログの取得
7. ウイルス感染時の対応
8. 複数のベンダがシステムを構築
ICS研究所からのお知らせ：これらの対策については、随時eICS講座を用意していきますので、そこで学んでください。
次に最近のBAシステムで見られるセキュリティ上の弱点についてお話されました。
この内容は、サイバー攻撃者側が欲しがる情報なので、ここでは公開をいたしません。詳細はeICS講座で学んでください。
次にこれらの弱点について、IEC62443-3-3にあるセキュリティ要件のシステム要件の中で該当する項目を上げてご紹介いただきました。
さらに、経済産業省が取りまとめた「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」作成に関わって解ったことをお話くださいました。
次に「情報系システムのセキュリティ対策をそのまま採用できない。」というお話を頂きました。
課題は以下の通りです。
1. セキュリティパッチ適用ができない
2. ウイルス対策ソフトの導入が容易ではない
3. IPS・IDSを置くと管理者が必要
4. HMI端末のID／パスワードの設定
5. コントローラのID／パスワード設定・定期的変更が容易ではない
6. ログの取得
7. ウイルス感染時の対応
8. 複数のベンダがシステムを構築
ICS研究所からのお知らせ：これらの対策については、随時eICS講座を用意していきますので、そこで学んでください。
次に最近のBAシステムで見られるセキュリティ上の弱点についてお話されました。
この内容は、サイバー攻撃者側が欲しがる情報なので、ここでは公開をいたしません。詳細はeICS講座で学んでください。
次にこれらの弱点について、IEC62443-3-3にあるセキュリティ要件のシステム要件の中で該当する項目を上げてご紹介いただきました。
さらに、経済産業省が取りまとめた「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」作成に関わって解ったことをお話くださいました。
セッション2 株式会社ICS研究所 村上正志
「IEC62443とNIST SP800とISA-99におけるセキュリティベクトルについて」についてお話させて頂きました。
FA系製造現場では、セル単位にネットワークをゾーン分けするシステムインテグレートの生産方式が拡がっています。これは、IEC62443の基本システム構造で、工場のネットワークは、セグメント／ゾーン設計構造に改造する中で、L3とL4はクラウド化が進んでCPPSを形成する動きになっております。また、L3とL4はクラウドの中でもドメインを分けて構成することで設計されます。（ドメインを分けることでドメイン間の通信でセキュリティ監視を可能にする。）現場のL2とL1はセル単位にゾーン設計されて、サイバー攻撃時の被害最小、短時間復帰を目的に、管理しやすいセルの中のL2であるソリューションが重要となっています。
FA系製造現場では、セル単位にネットワークをゾーン分けするシステムインテグレートの生産方式が拡がっています。これは、IEC62443の基本システム構造で、工場のネットワークは、セグメント／ゾーン設計構造に改造する中で、L3とL4はクラウド化が進んでCPPSを形成する動きになっております。また、L3とL4はクラウドの中でもドメインを分けて構成することで設計されます。（ドメインを分けることでドメイン間の通信でセキュリティ監視を可能にする。）現場のL2とL1はセル単位にゾーン設計されて、サイバー攻撃時の被害最小、短時間復帰を目的に、管理しやすいセルの中のL2であるソリューションが重要となっています。
セッション3 株式会社ICS研究所 村上正志
「IEC62443のセキュリティ要件のシステム要件とOPC UAとセキュリティ監視システムについて」という講演題目でお話させていただきました。
内容は、
1. OPC FoundationのOPC UA／PubSub TSNの必要性
2. Companion Specificationのシステムインテグレート課題
3. IEC62443のセキュリティ対策にOPC UA／PubSubがどのように貢献するか
4. セキュリティ監視システムが必要になるのはセキュリティレベル4に特定した制御装置であること
などをお話させていただきました。
内容は、
1. OPC FoundationのOPC UA／PubSub TSNの必要性
2. Companion Specificationのシステムインテグレート課題
3. IEC62443のセキュリティ対策にOPC UA／PubSubがどのように貢献するか
4. セキュリティ監視システムが必要になるのはセキュリティレベル4に特定した制御装置であること
などをお話させていただきました。
セッション4 株式会社ICS研究所 村上敬祐
IEC62443のセキュリティ要件とセキュリティレベルの要素を踏まえたセキュリティベクトルの解説とコンサルティングの流れについてお話させていただいた後に、eICS講座のご紹介をさせていただきました。
セミナーのまとめ
OTのサイバー攻撃対策は、情報セキュリティ対策の延長線上にあるものではなく、情報セキュリティ対策の手法がそのまま生産／製造システムには適用できないことをご理解いただけたと思います。
また、情報セキュリティ対策と制御システムセキュリティ対策は手法や技術が異なるとすでにご理解されている方にとっては、IEC62443のセキュリティ要件がいかに深い思慮の上で作られているのかをご理解いただけたと思います。
更に、OPC UA／PubSub及びCompanion Specificationがスマートマニュファクチャリング実現に貢献し、制御システムセキュリティ対策に不可欠な存在であるかもご理解いただけたと思います。
その次に必要なこととしては、
1. 個々の現場で生産する製品が異なり生産方式も違うということや、制御ループの構造が多様化しているためにゾーン設計のやり方が現場ごとに違うということ
2. 使用している制御製品には、インシデント検知機能やログ機能が必要であり、初期対応のための現場の仕組み構築に役立つ制御装置や機械の機能仕様や性能仕様を明確に示す必要があること
3. 制御システムセキュリティ対策の構造も含まれたスマート化の流れの中で、HSEを遵守した製造継続可能なシステムであること
になります。これをリスクアセスメントする時は残留リスクの目標値として定義していきます。
制御システムセキュリティの基本的条件を充分理解できないまま、対策を実施するのは危険であることもご理解いただければ幸いです。
また、情報セキュリティ対策と制御システムセキュリティ対策は手法や技術が異なるとすでにご理解されている方にとっては、IEC62443のセキュリティ要件がいかに深い思慮の上で作られているのかをご理解いただけたと思います。
更に、OPC UA／PubSub及びCompanion Specificationがスマートマニュファクチャリング実現に貢献し、制御システムセキュリティ対策に不可欠な存在であるかもご理解いただけたと思います。
その次に必要なこととしては、
1. 個々の現場で生産する製品が異なり生産方式も違うということや、制御ループの構造が多様化しているためにゾーン設計のやり方が現場ごとに違うということ
2. 使用している制御製品には、インシデント検知機能やログ機能が必要であり、初期対応のための現場の仕組み構築に役立つ制御装置や機械の機能仕様や性能仕様を明確に示す必要があること
3. 制御システムセキュリティ対策の構造も含まれたスマート化の流れの中で、HSEを遵守した製造継続可能なシステムであること
になります。これをリスクアセスメントする時は残留リスクの目標値として定義していきます。
制御システムセキュリティの基本的条件を充分理解できないまま、対策を実施するのは危険であることもご理解いただければ幸いです。
セミナー参加者アンケートの結果（一部抜粋）
設問3「本セミナーで取り上げた内容で、貴方の仕事や事業に関連が深いと思ったもの【複数回答可】」で回答数が多かったのは以下の4つ
「IEC62443」【71％の方が回答】
「NIST SP800」
「OPC UA」
「セキュリティ監視システム」【それぞれ40%の方が回答】
設問4「今後より深く理解したいものや更なる案内が欲しいもの【複数回答可】」で回答数が多かったのは以下の4つ
「IEC62443」【57％の方が回答】
「製造現場での5G技術活用」【33％の方が回答】
「NIST SP800」「セキュリティ監視システム」【それぞれ26％の方が回答】
これらの回答結果から、IEC62443への関心が最も高く、理解を深めていきたいと考えている参加者が多かったと言えます。IEC62443を基準とする流れと、OPC UAもすでに欧米で広がってきているため、国内市場での対応も計画的に進めていく時期が来ております。
よって、ICS研究所のeICS講座やeICSジャーナルをどんどん活用していって頂きたいと思います。
次世代通信技術5Gの工業用対応・製造現場対応にも乗り遅れることの無いよう、eICS講座も逐次追加予定ですので宜しくお願い致します。
「IEC62443」【71％の方が回答】
「NIST SP800」
「OPC UA」
「セキュリティ監視システム」【それぞれ40%の方が回答】
設問4「今後より深く理解したいものや更なる案内が欲しいもの【複数回答可】」で回答数が多かったのは以下の4つ
「IEC62443」【57％の方が回答】
「製造現場での5G技術活用」【33％の方が回答】
「NIST SP800」「セキュリティ監視システム」【それぞれ26％の方が回答】
これらの回答結果から、IEC62443への関心が最も高く、理解を深めていきたいと考えている参加者が多かったと言えます。IEC62443を基準とする流れと、OPC UAもすでに欧米で広がってきているため、国内市場での対応も計画的に進めていく時期が来ております。
よって、ICS研究所のeICS講座やeICSジャーナルをどんどん活用していって頂きたいと思います。
次世代通信技術5Gの工業用対応・製造現場対応にも乗り遅れることの無いよう、eICS講座も逐次追加予定ですので宜しくお願い致します。
