【第4回】 対策を導入して終わりにしないための運用

OTセキュリティという言葉を見聞きする機会は増えましたが

と聞かれると、うまく説明できない方も多いのではないでしょうか。
工場や設備のデジタル化が進む中、OT環境にもサイバーセキュリティ対策が求められるようになっています。一方で、OTにはITとは異なる特性があり、ITセキュリティの考え方をそのままOTにあてはめることはできません。
本コラムでは、初学者にもわかりやすく、計4回にわたってOTセキュリティの基本を説明します。OTセキュリティの考え方から、現状把握、対策検討、運用のポイントまで、現場で押さえておきたい基本を整理していきます。

対策を導入して終わりにしないための運用

これまで、OTセキュリティとは何か、何を把握すべきか、どのように優先順位をつけて対策を進めるのか、それぞれ説明してきました。その最終回では、対策を導入した後の運用について考えます。
OTセキュリティは、もちろん対策を導入すること自体がゴールではありません。導入した対策を使い続け、現場の変化に合わせて見直すことで、はじめて実効性のある取り組みになります。せっかく対策を入れても、見られていない、使われていない、更新されていない状態では、十分な効果は期待できません。

なぜ「導入して終わり」ではいけないのか

セキュリティ対策というと、製品を導入したり、ルールを決めたりした時点で、ひと区切り着いたように感じます。しかし、導入後の対策がいつまでも有効とは限りません。たとえば、設備の更新、ネットワーク構成の変更、運用方法の見直し、外部接続の追加など、現場は少しずつ変化していきます。こうした変化に対策が追いつかなければ、従来は問題のなかった状況が、後にリスクになることもあります。
また、監視製品や可視化ツールを導入しても、アラートを確認しない、検知結果を活用しない、設定を見直さない、といった状態では十分な効果が得られません。
対策を入れるだけでなく、対策を使い続ける中で、状況に応じて対策を見直すことが必要です。

OTセキュリティ運用で押さえたいこと

対策導入後の運用では、何を押さえるべきなのでしょうか。大きく分けると次の3つです。

運用が難しくなる理由

OTセキュリティの運用が大切だとわかっていても、実施するのはそう簡単ではありません。その理由のひとつは「関係者が多く役割と責任の範囲がわかりづらい」ことです。IT部門、現場部門、生産技術、設備保全、外部ベンダーなど、それぞれが異なる立場をとります。誰が確認し、誰が判断し、誰が対応するのかが曖昧になりやすいのです。
もうひとつは「運用に必要な情報が十分に整理されていない」ことです。どの機器が重要なのか、どの接続に注意が必要なのか、そうした内容を把握していないと、異常に気づくのが難しくなります。運用は、ただ監視の仕組みを入れれば回るものではありません。見るべき対象や判断の基準が整理されて、はじめて機能するのです。
さらに「OT環境では変化がゆっくりで見えにくい」ことも、運用を難しくします。設備の変更、外部接続の追加などが少しずつ生じると、気づかないうちに実態と大きくかけ離れ、導入時には適切だった対策が、いつの間にか現場に合わなくなるのです。
そのうえで、現場では日々の安定稼働や生産対応が優先され、セキュリティ対策が後回しになりやすいという現実があります。だからこそ、無理なく続けられる形で、役割や責任などを決めておくことが重要なのです。

運用では「誰が見るのか」「どう動くか」を決めておく

運用を考えるときに大切なのは、対策の導入だけでなく「誰が見るのか」「どう動くか」を決めておくことです。監視の仕組みを入れても、確認者や対処方法が決まっていなければ運用は回りません。
たとえば、次のような点はあらかじめ整理しておきたいところです。

また、OTセキュリティの運用では、現場部門とIT部門の連携も欠かせません。どちらか一方だけでは、対処が難しい場面があるからです。
IT部門は、セキュリティ対策の考え方や、全社的なルール、異常時の判断基準などを整理しやすい立場にあります。現場部門は、どの設備が重要なのか、どの工程が止めにくいのか、日々の稼働状況などを把握しています。
そのため、IT部門だけで運用を考えると、現場に負担が大きいルールになったり、工程への影響を見落としたりすることがあります。逆に、現場部門だけで考えると、セキュリティ上の注意点や、全体として統一すべきルールが抜けやすくなります。たとえば、アラートが出たときでも、IT部門だけでは「その設備を止めてよいのか」わからないことがありますし、現場部門だけでは「この異常をどこまで重く見るべきか」判断が難しいことがあります。
だからこそ、OTセキュリティは、現場部門とIT部門が、その役割を連携していくことが大切なのです。

最初から完璧な運用を目指さない

OTセキュリティ対策の運用を進める際に、最初からルールや手順を細かく定め、完璧を目指すのは現実的に困難です。大切なのは、基本からまず始めることです。優先して見るべきポイントを決める、最低限必要な手順を決める、変更があったときに見直す習慣をつくる、そういったことからでも十分です。そのうえで、実際に運用してみて、負担が大きいところ、抜けがあるところ、現場に合っていないところを見直し、改善を続けていくのです。
OTセキュリティの運用では、一度決めて終わりではなく、少しずつ整えていく、継続的改善の考え方が重要です。

まとめ

OTセキュリティは、対策を導入して終わりではありません。導入した仕組みを使い続け、現場の変化にあわせることで、はじめて実効性が生まれます。異常に対処すること、その内容を記録して次に活かすこと、そして変化に応じて見直すことです。
ただし、立場の異なる関係者が多く役割がはっきりしないこと、必要な情報が整理されていないこと、現場の変化が少しずつ進んでいくことなど、運用を難しくする面があります。
だからこそ、「誰が見て」「誰が判断し」「どう動くのか」を決めておくことが重要です。その際には、セキュリティの観点を持つIT部門と、現場の実態をよく知る現場部門が連携しながら、運用を進めることが欠かせません。
最初から完璧を目指す必要はありません。まずは、優先して見るべきポイントや、最低限の手順を決めるところから始め、運用しながら少しずつ整えていくことが大切です。

おわりに

OTセキュリティとは何か、現状把握、対策の考え方、そして運用のポイントまで、計4回にわたって基本を整理してきました。
OTセキュリティは、特別な一部の専門家だけの取り組みではありません。工場や設備のデジタル化が進む中、現場、IT部門、設備保全、生産技術、経営層など、多くの関係者が取り組むべき課題です。まずは、自社の現場を知り、優先順位を考え、無理なく続けていくことが重要になります。
本コラムが、OTセキュリティ対策に取り組む第一歩として、皆さまの参考になれば幸いです。