[{"data":1,"prerenderedAt":50},["ShallowReactive",2],{"journal-detail-43":3},{"main":4,"content":12,"author":45},{"id":5,"level":6,"level_name":7,"title":8,"summary":9,"body":9,"author":10,"created_time":11,"edited_time":11},874,9,"eICS受講者のみ全文閲覧可","IEC62443を基準に目指すところ","","murakami","2019-08-09 04:01:00",[13,18,23,27,32,36,40],{"id":14,"heading":15,"summary":9,"body":16,"gallery":17},875,"1．生産・製造工場の制御システムセキュリティ・コンサルティング基準は？","生産・製造工場の制御システムセキュリティ対策のコンサルティングを実施する時、何を基準にすると良いかを考えるに、その対象となる工場がどの地域にあるかで決まります。EU加盟国内であればIEC62443になり、米国内では、NIST SP800及びISA-99になります。当然のことながら、その他の国にある工場でもオーナー企業が、EU加盟国登録であればIEC62443、米国登録であればNIST SP800及びISA-99とする場合が多い。それ以外は、その顧客の指定と所属する産業界のガイドラインを基準とすることになります。そこで、制御セキュリティ認証取得製品を採用する場合、ISA-99 Secure認証の最新バージョン（2018年10月現在）であるISA/IEC62443 EDSA認証V3.0が出されたことで、国際標準規格IEC62443に基づいた認証基準となりました。そうなると日本国内は、CSMS認証はIEC62443-2-1をベースにしており、SDLA認証はIEC62443-4-1、SSA認証はIEC62443-3-3、EDSA認証はIEC61443-4-2ということになります。\n\nつまり、日本国内の生産・製造工場の制御システムセキュリティ対策はIEC62443を基準に、セキュリティ改善の目標はIEC62443のプロテクトレベルで考えて良いということになります。","image1.jpg",{"id":19,"heading":20,"summary":9,"body":21,"gallery":22},876,"2．IEC62443","2017年にEUでサイバーセキュリティ庁が設置され、サイバーセキュリティ認証制度が制定され、EU内及びEU企業の海外工場ではIEC62443が基準となっています。\n\n新規作成しているのが、\n• IEC62443-2-5\nです。\n\n現在見直しに入っているのが、\n• IEC62443-2-1\n• IEC62443-2-2\n• IEC62443-2-3\n• IEC62443-3-1\nです。\n\n生産・製造工場やビルなどの施設／設備の制御システムセキュリティ規格として、アセットオーナー、システムインテグレータ、オートメーションアセットサプライヤー、制御ベンダなどの役割別にそれぞれのミッションを構造的に見ていくと、IEC62443のどの規格がどこに適合し、関連するかが見えてきます。\n\nIEC62443は、全体を通して七つのセキュリティ要件を柱にしています。これらは、IEC62443の七つのセキュリティ要件のそれぞれにセキュリティレベル1から4までの評価基準を定義しています。その実現のためにIEC62443-3-3ではシステム要件が定義され、IEC62443-4-2では、ソフトウェア開発要件、ネットワークデバイス要件、ホストデバイス要件、エンベデッドデバイス要件などが定義されています。","image2.jpg,image3.jpg,image4.jpg",{"id":24,"heading":25,"summary":9,"body":26,"gallery":9},877,"3．生産・製造工場やビルの制御システムは、どのような目標を持つと良いか？","IEC62443-2-2に工場や設備のプロテクトレベルを定義しています。それを構成するMaturity levelとSecurity Levelを次の四つのテーマについて構造化表現してみました。\n・Secure Operation and Maintenance:セキュアな運用とメンテナンス\n・Secure Design:セキュアな設計\n・Organize Security:セキュリティを装備\n・Secure Physical Access:セキュリティで保護された物理アクセス\n以上。\n\u003Cspan class=\"tx-orange\">【続きはeICS受講者のみログイン後、閲覧可。】\n・上記の構造化図を掲載。\n・プロテクトレベルの構成を考える際のポイントを解説。\u003C/span>",{"id":28,"heading":29,"summary":9,"body":30,"gallery":31},878,"4．Security Level","IEC62443において、七つのセキュリティ要件は、それぞれ異なる要素に分かれています。それぞれの要素を一定の基準に持ち上げ、それを維持するということを評価するため、ベクトルの考え方を採用しています。\n\nあるべき姿であるセキュリティレベルを目標SL-Tにして、実現できる能力をSL-Cとし、現場の実力値をSL-Aとし、それぞれのセキュリティベクトルを表しています。\n\nIEC62443のセキュリティレベル1を目標にすると、そのシステム要件を一つ一つ理解して、それに適合しているかどうかを評価していくことでリスクアセスメントができます。\n\nセキュリティレベル評価は、\n・セキュリティ要件\n・脆弱性識別検証テスト\n・コミュニケーションロバストネステスト\nを満たして、セキュリティレベルにあると判断します。\n適応能力が上がれば、実現レベルも上がります。\n\nでは、適応能力を上げるにはどのようなことをしなければならないかについてお話しましょう。","image5.jpg,image6.jpg,image7.jpg",{"id":33,"heading":34,"summary":9,"body":35,"gallery":9},879,"5．適応能力","\u003Cstrong class=\"tx-blue\">5－1　アセットオーナーに求められる能力\u003C/strong>\nアセットオーナーに求められる課題解決と能力を以下に示します。\n\u003Cspan class=\"tx-orange\">【続きはeICS受講者のみログイン後、閲覧可。】\n・アセットオーナーに求められる課題解決と能力の5つを紹介し、解説。\n・各項目に対応した国際規格とeICS講座も紹介。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-1／-2-2／-2-3＞\u003C/strong>eICS講座：制御システムエンジニアリング技術を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-2／-3-2／-3-3＞\u003C/strong>eICS講座：制御セキュリティとシステム設計を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-2／-3-3＞\u003C/strong>eICS講座：制御セキュリティとシステム設計／制御システムエンジニアリング技術を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-4＞\u003C/strong>eICS講座：安全とセキュリティ／制御製品開発技術を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-1＞\u003C/strong>eICS講座：アセットオーナー技術を参照下さい。\u003C/span>\n\n\u003Cstrong class=\"tx-blue\">5－2　サプライヤ／ベンダに求められる能力\u003C/strong>\n日本の「サイバーセキュリティ経営ガイドライン」にも指示項目の中にサプライチェーンのセキュリティ及びパートナー企業との連携を求める項目があります。よって、サプライヤ／ベンダに求められる項目を理解し、達成していく必要があります。\n\n①サイバー攻撃に強い制御製品開発力（制御システムを構成するソフトウェア製品含む）\n情報セキュリティ対策技術だけでは太刀打ちできないところまで、サイバー攻撃側は制御製品を研究しています。\n詳しくは、ICSジャーナルの「サイバー攻撃事例から見るサイバーセキュリティとは何か？」のPDF資料をご参照ください。\n\u003Ca href=\"https://www.ics-lab.com/e/JOURNAL/28\" target=\"_blank\">https://www.ics-lab.com/e/JOURNAL/28\u003C/a>\n\nそれらへの対策には、サイバー攻撃に強い制御製品が不可欠です。その製品仕様はIEC62443-4-2の各要件を充たすことも必要です。しかし、それ以上に機能安全・機械安全・グループ安全を守る安全セキュリティ機能が必要です。それから、製品製造継続と製造製品品質を確保するため、制御機能を守る制御セキュリティ機能が装備されている制御製品でなければなりません。\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-4-2＞\u003C/strong>eICS講座：制御製品開発技術を参照下さい。\u003C/span>\n\u003Cspan class=\"tx-orange\">【続きはeICS受講者のみログイン後、閲覧可。】\n・残りの4つを紹介し、解説。\n・各項目に対応した国際規格とeICS講座も紹介。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜ISA/IEC62443認証＞\u003C/strong>eICS講座：国際標準規格、認証制度と概要を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-4-1＞\u003C/strong>eICS講座：制御ベンダ講座、制御装置ベンダにおける対策、機械ベンダにおける対策を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-4-1／-4-2＞\u003C/strong>eICS講座：制御ベンダ講座、制御装置ベンダにおける対策、機械ベンダにおける対策を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-1／-2-2＞\u003C/strong>eICS講座：制御セキュリティとシステム設計を参照下さい。\u003C/span>\n\n\u003Cstrong class=\"tx-blue\">5－3　システムインテグレータに求められる能力\u003C/strong>\n\u003Cspan class=\"tx-orange\">【続きはeICS受講者のみログイン後、閲覧可。】\n・システムインテグレータに求められる能力の2つを紹介し、解説。\n・各項目に対応した国際規格とeICS講座も紹介。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-1／-2-2＞\u003C/strong>eICS講座：制御セキュリティとシステム設計を参照下さい。\u003C/span>\n\u003Cspan class=\"text-bloqueout\">\u003Cstrong>＜IEC62443-2-2／-3-1／-3-2／-3-3＞\u003C/strong>eICS講座：制御システムエンジニア技術を参照下さい。\u003C/span>",{"id":37,"heading":38,"summary":9,"body":39,"gallery":9},880,"6．NIST SP800","米国内の工場は、NIST SP800とISA-99及び民間認証機関UL2900を指定されることになっています。\n\nNISTのPublicationsのサイトはこちらです。\n\u003Ca href=\"https://csrc.nist.gov/publications\" target=\"_blank\">https://csrc.nist.gov/publications\u003C/a>\n\nサイバーセキュリティのSP800については、こちらのサイトです。\n\u003Ca href=\"https://csrc.nist.gov/publications/sp800\" target=\"_blank\">https://csrc.nist.gov/publications/sp800\u003C/a>\n（IPAの日本語化は後追いでされるので、いち早く最新バージョンを確認する場合はNISTのWebサイトを参照してください。）\n\n経営レベルでは、米国立標準技術研究所NIST（National Institute of Standards and Technology）のSP800シリーズが参考になります。政府機関や防衛施設などについてはSP800-171、生産・製造工場についてはSP800-82、調達についてはSP800-53、セキュリティ維持管理については、Cybersecurity Framework=Reconciling Cybersecurity Requirement＋SP800-39（Managing Cybersecurity Risk）＋SP800-37（Provisioning Secure System）があります。また、対策技術及び管理手法については、IEC62443とISA-99を参照するところがあります。生産・製造工場の具体的対策ということになるとIEC62443が適切な選択だと思われます。NIST SP800やISA-99については、別の機会に詳細をお話しさせていただきます。",{"id":41,"heading":42,"summary":9,"body":43,"gallery":44},881,"7．ISA-99 Secure認証","ISAの下部組織のANSIの下部にISCIがあります。ISA-99 Secure認証のスキームオーナーはISCIが担当しております。\n米国と日本間では、相互認証制度があります。その対象範囲の制度にISA-99 Secure認証も入っております。それにより、日本でもISA-99 Secure認証を受けることができます。\n\n2018年10月にEDSA認証はIEC62443-4-2、SSA認証はIEC62443-3-3、SDLA認証はIEC62443-4-1と合致させたバージョンが出ました。これは何を意味するかというとEDSA認証やSSA認証のセキュリティ要件とセキュリティレベルSLが同じになったことを意味しており、使用する検証ツールも同じものを採用することになります。但し、ISAでは、ワイヤレス通信はISA-100で扱っております。\n•組込み機器用セキュリティ開発成果物 (SDA-E);\n•組込み機器のセキュリティ機能評価 (FSA-E)\n•組込みデバイスのRT (Robustness Testing：堅牢性テスト)\n\nEDSAV3.0ではRT（Robustness Testing）が、VIT（Vulnerability Identification Testing ：脆弱性識別テスト）とCRT（Communication Robustness Testing：通信堅牢性テスト）の二つになっています。\n\nERT（Embedded Device Robustness Testing）には、脆弱性識別テスト (VIT) と通信堅牢性テスト (CRT) という二つの主要な要素があります。 VITは、既知の脆弱性の存在確認のためにデバイスをスキャンします。CRT は、正常なネットワークプロトコルトラフィックと、通常のトラフィック速度 (flood conditions)の両方に対応しながら、デバイスが必要な機能を適切に維持する機能を検討しています。\n\nSRT（System Robustness Testing）には、脆弱性識別テスト (VIT) と通信堅牢性テスト (CRT) という二つの主要な要素があります。 VITは、既知の脆弱性の存在確認のためにSystemをスキャンします。CRT は、正常なネットワークプロトコルトラフィックと、通常のトラフィック速度 (flood conditions)の両方に対応しながら、Systemが必要な機能を適切に維持する機能を検討しています。","image8.jpg,image9.jpg,image10.jpg,image11.jpg",[46],{"id":10,"company":47,"name":48,"profile":49},"株式会社ICS研究所","村上 正志","1979～90年まで、日本ベーレーのシステムエンジニアとして電力会社の火力発電プラント監視制御装置などのシステム設計及び高速故障診断装置やDirect Digital Controllerの製品開発に携わる。\n＊関わった火力発電所は、北海道電力（苫東厚真、伊達）、東北電力（新仙台、仙台、東新潟）、東京電力（広野、姉ヶ崎、五井、袖ヶ浦、東扇島）、北陸電力（富山新港）、中部電力（渥美、西名古屋、知多、知多第二）、関西電力（尼崎、御坊、海南、高砂）、中国電力（新小野田、下関、岩国）、四国電力（阿南）、九州電力（港、新小倉、川内）、Jパワー（磯子、松島、高砂）、日本海LNG　など\n\n1990年、画像処理VMEボードメーカーに移籍し、大蔵省印刷局の検査装置や大型印刷機械などのシステム技術コンサルティングに従事。\n\n1995年、デジタルに移籍し、SCADA製品の事業戦略企画推進担当やSE部長を務める。（2004年よりシュナイダーエレクトリックグループ傘下に属す）また、1999年にはコーポレートコーディネーション／VEC（Virtual Engineering Company & Virtual End-User Community）を立ち上げ、事務局長として、「見える化」、「安全対策」、「技術伝承」、「制御システムセキュリティ対策」など製造現場の課題を中心に会員向けセミナーなどを主宰する。協賛会員と正会員のコラボレーション・ビジネスを提案し、ソリューション普及啓発活動を展開。\n2011年には、経済産業省商務情報政策局主催「制御システムセキュリティ検討タスクフォース」を進言、同委員会委員及び普及啓発ワーキング座長を務める。\n2015年、内閣官房 内閣サイバーセキュリティセンターや東京オリンピックパラリンピック大会組織委員会などと交流。\n\n2015年、株式会社ICS研究所を創設。VEC事務局長の任期を継続。世界で初めて制御システムセキュリティ対策e-learning教育ビデオ講座コンテンツを開発。\n\n2017年4月～ 公益財団法人日本適合性認定協会JABの制御システムセキュリティ技術専門家\n\n2017年7月～ 経済産業省の産業サイバーセキュリティセンターCoEの制御システムセキュリティ講座講師担当\n\n現在活動している関連団体及び機関\n・日本OPC協議会 顧問\n・制御システムセキュリティ関連団体合同委員会委員",1789111533830]