重要社会インフラはITセキュリティだけでは守れない（Belden／トリップワイヤ・ジャパン）[Security Days Spring 2018] 2ページ目

工場や鉄道などのインダストリー領域でもイーサネットが広く利用されるようにされ、サイバー攻撃への対策が必要となってきました。またIoT時代を迎え、閉域網で運用されていた工場のネットワークも、インターネットに接続することが不可避になってきます。工場のシステムがウイルスに感染、システムがダウンしてしまうとインフラや工場が止まる可能性があります。またPLCというコントローラの制御が乗っ取られてしまうと、重大な事故につながってしまうことも考えられます。

コネクティビティを提供する会社としては、もはやサイバーセキュリティを無視することはできなくなってしまいました。いくら高品質なケーブルを使っていても、通信内容が改ざん、もしくはブロックされてしまうと、きちんとコネクティビティを提供できているとはいえないのです。そのためトリップワイヤを含むITセキュリティのソリューションを拡充することにしたのです。

――IT(Information Technology)とOT（Operation Technology）ではセキュリティの考え方も異なると思います。

ITのセキュリティを考えるとき、基本はオープンなインターネットにつながっているという前提条件があります。怪しい接続先、通信をACLやFWでブロックして防御する、いわゆるブラックリスト型の対応が求められます。一方OTネットワークでは、そもそも通信をするIPの数やプロトコルが限られているので、指定された通信のみを許可するというホワイトリスト型の設定が有効なことが多いのです。この違いはとても大きい。ほとんどのITエンジニアの方々はホワイトリストでのセキュリティという考え方になかなか慣れていらっしゃいません。また産業分野で使われている機器には特殊なものも多く、これらの特性をきちんと把握したうえでないと、セキュリティをきちんと担保することはできないのです。

ベルデンは旧来のベルデンソリューションとトリップワイヤを組み合わせたOT環境向けのセキュリティソリューションをご提案していきます。実際に北米では北米電力信頼性評議会（NERC：North American Electric Reliability Corporation）が策定する重要インフラ保護サイバーセキュリティ基準「NERC CIP」に関連し、電力会社を中心としたインダストリー領域での導入実績が増えてきました。社会インフラをIT、OT双方の知見を活かして守っていこうという気運が高まっているのです。

――トリップワイヤ製品の優位性は何ですか。

OT, IT問わずセキュリティで重要と考えているのが以下の3要素です。

（1）Inventory（インベントリー）：施設内のどこに、どんな機器が使われていて、どんな状態かを台帳化、見える化することです。
（2）Vulnerability（バルナラビリティ）：見える化の後は、脆弱性検知・管理を行います。
（3）Remediation（レメディエーション）：インシデントに迅速、適切に対応することです。

Tripwireのソリューションを使うことで、まずは工場の中にどのようなAssetがあり、どのような脆弱性を持っているのか、そしてもしも攻撃の予兆となるような改ざんが起きているのであればそれらを可視化することが可能になります。工場のIT機器は、PCやサーバーのように資産台帳化されておらず、メンテナンス費用で購入した製品が入っていたり、ブラックボックス化していることも多いのです。まずは現状を分析することのお手伝いから始めるべきだと考えています。その上でTripwire及びベルデン、時にはそれ以外のソリューションを用いて対策をしていただくのが次のステップになります。

――講演の内容、見どころについて教えてください。

講演の中では、重要なインフラを守るために、どのような着眼点を持つべきなのかについてお話します。個別のソリューションについて細々としたお話はなるべく控えます。OTシステムの脆弱性を見極めることが一番大切で、対策についてはその後専門家にご相談いただくのがいいかと思います。もちろんすでに問題点を熟知されている方には、製品についても詳しくご説明できますので、会場で見かけたらお声がけいただければと思います。

――3月9日(金)10時30分からのセッション「重要社会インフラのセキュリティソリューション」はどんな人に聞いて欲しいですか。

セキュリティの専門家の方々のお仕事は、ITだけではなく、間違いなくOTの領域にも広がってくると確信しています。OTのセキュリティをどのように俯瞰すべきなのか、そのヒントをお伝えしたいと思います。ITセキュリティの専門家だと思っている方には、ぜひ聞いていただきたいと思います。

――ありがとうございました。