OTセキュリティという言葉を見聞きする機会は増えましたが
- そもそもOT（Operational Technology）とは？
- ITセキュリティとの違いは？
- 対策を始めるには何から？
と聞かれると、うまく説明できない方も多いのではないでしょうか。
工場や設備のデジタル化が進む中、OT環境にもサイバーセキュリティ対策が求められるようになっています。一方で、OTにはITとは異なる特性があり、ITセキュリティの考え方をそのままOTにあてはめることはできません。
本コラムでは、初学者にもわかりやすく、計4回にわたってOTセキュリティの基本を説明します。OTセキュリティの考え方から、現状把握、対策検討、運用のポイントまで、現場で押さえておきたい基本を整理していきます。
目次
何を優先して守るべきか？ 対策の考え方の基本
前回はOTセキュリティ対策の第一歩として、現状把握の重要性について解説しました。今回は、その次のステップとして、把握した情報をもとに「何を優先して守るべきか」、そして「どう対策を考えるべきか」を整理します。
OTセキュリティ対策では、気になる点をひとつずつ個別に対処していくよりも、まず全体を見て、どこにどの程度の対策が必要かを考えることが大切です。なぜなら、工場の現場には多くの設備やシステムがあり、すべてを同じように（一律に）対策するのは現実的ではないからです。また、限られた予算や工数を有効に使うためにも、重要な場所から優先して対策を進める視点が欠かせません。
すべてに同じ対策を導入するのがいいわけではない
セキュリティ対策というと、できるだけ多くの場所に、できるだけ同じように対策を導入すべきと考えがちです。しかしOT環境では、すべての設備やシステムに一律で同じ対策を導入するのが必ずしも最適とは限りません。たとえば、生産ラインを直接動かす設備と、補助的に使っている設備では、止まったときの影響度合いが違います。また外部とつながっているシステムと、閉じた環境で使われているシステムでは、注意すべきリスクも変わります。そのため、まず考えるべきは、「止まると影響が大きい機器やシステムは何か」、「リスクが高い部分はどこか」を整理することです。
重要な場所にはしっかりと対策を導入し、それ以外は現実的な範囲で進める。この考え方が、OTセキュリティでは特に重要です。
優先順位を考えるときの視点
対策の優先順位を考えるときは、次の2つの視点で見ると整理しやすくなります。
- 業務への影響の大きさ
その設備やシステムが止まると、生産、品質、納期、安全にどれくらいの影響があるのかを考えます。特に、生産ラインの中核を担う設備や、止まると複数の工程に影響するシステムは、優先して押さえておくべき対象です。 - 外部との接点やリスクが高くなりやすい条件の有無
外部接続、USBメモリの利用、遠隔保守、保守用PCの接続、更新が難しい古いOSやアプリケーションソフトなどは注意しておきたいポイントです。
優先して対策を考えたい場所とは
では、実際にどのような場所から優先して対策を考えるべきなのか。迷ったときは、「止まると影響が大きい場所」と「リスクが高くなりやすい条件がある場所」が重なるところから見ていきます。
たとえば、次のようなものは優先して確認をすべき対象です。
- 生産ラインの中核を担うPLCや制御サーバ
- ベンダーが遠隔保守で接続する装置や接続ポイント
- USBメモリや保守用PCが日常的に接続される端末
- 1台止まると複数の設備や工程に影響する監視用サーバ
- 古いOSやサポートが終了したソフトウェアを使っている機器
こうした場所は、問題が起きたときの影響が大きかったり、攻撃やトラブルの入口になりやすかったりするため、優先して対策を考えたい候補になります。
対策は「何を導入するか」より先に「何を守るか」を考える
ここで大切なのは、いきなり製品やサービス導入の話から入らないことです。まず最初に「ネットワーク監視機器を入れよう」と考えたくなるかもしれません。しかしその前に整理したいのが、自社の現場で何を守りたいのかという視点です。OT環境で守るべきものは、設備の稼働だけではありません。品質に関わる設定やデータ、監視に使う情報など、現場によって大切な対象は異なります。
ここで重要なのは、同じ設備でも「何を守りたいか」で実施すべき対策が変わるということです。たとえば制御サーバでも、稼働が止まると困るのか、データが漏えいすると困るのか、どちらを考えるかで対策は変わります。つまり「何を守るか」を考えるときは、その対象だけでなく、何が起きると困るのかまで整理することが大切です。そうすることで、監視、アクセス制御、ネットワーク対策、端末対策、運用ルールの整備など、具体的な対策の手段が検討しやすくなります。
対策を考えるときに気をつけたいこと
対策を考えるときは、対策の導入に伴う現場への影響もあわせて考えることが大切です。OT環境では、対策そのものが現場の運用を妨げてしまい、対策が継続できなくなることがあります。たとえば、過剰な利用制限を入れたことで、保守作業のたびに現場の負担が増えたり、必要な作業がすぐにできなくなったりします。また、現場作業の流れに合わないルールは、手間がかかるだけだと従業員が受け止め、守られなくなってしまいます。
OTでは「対策を導入すること」だけでなく、「現場で無理なく続けられること」が重要です。そのためには、対策が現場に与える影響（実際の運用負担）までを考えておく必要があるのです。
また、技術的な対策だけで終わらせないことも重要です。たとえば、ネットワーク監視機器を導入しても、誰が異常を確認するのか、異常があった際に誰がどう対処するかが決まってなければ、十分に活かすことができません。アラートの発生を確認していなければ意味がありませんし、アラートに気づいても対処方法が決まっていなければ、現場は混乱するだけです。
OTセキュリティでは、対策製品やサービスを導入することがゴールではありません。その対策を「現場で回せるか、続けられるか、トラブル時に使えるか」まで含めて考えておくことが重要です。つまり対策は「入れて終わり」ではなく、「運用できてはじめて意味がある」と考えるべきです。
まとめ
OTセキュリティ対策において、優先順位を考えるときに大切なのは次の3点です。
- 優先度の高いところから進めること
現状把握の次に必要なのは、設備やシステムが止まったときの影響や、外部接続などリスクが高くなりやすい条件から、どこから優先して守るべきかを整理することです。その際には、すべてを同じ重要度で見るのではなく、影響の大きいところから着実に進めることが大切です。 - 何を守るのかを明確にすること
対策は製品選びから始めるのではなく、まず「何を守るのか」を考えることが出発点です。設備の稼働を守りたいのか、データの漏えいを防ぎたいのか、それによって対策は変わってきます。 - 現場で無理なく運用できる形にすること
対策の導入にあたって、現場での運用のしやすさもあわせて考える必要があります。技術的に正しい対策でも、現場で続けられなければ十分に機能しません。OTセキュリティでは、運用まで含めて実効性のある形にすることが大切です。
次回は
第4回では、OTセキュリティ対策を導入して終わりにしないための運用の考え方を解説します。継続的に状況を確認し、見直しながら実効性を高めていくためのポイントを整理していきます。
工場内には多様な設備やシステムが存在し、それぞれ停止時の影響度やリスクが異なるためです。限られた予算と工数を最適に活用するために、すべてを一律に対策するのではなく、重要度やリスクに応じて優先順位をつけて対策を行う必要があるからです。
「何を導入するか（どのようなツール・製品を入れるか）」という技術的な話から入るのではなく、まず「自社の現場で何を守りたいのか」を明確にすることです。
守る対象が同じでも、脅威の内容（稼働停止が困るのか、データ漏えいが困るのか等）によって、取るべき対策の内容やアプローチが変わってくるためです。守りたい対象の状態に合わせて適切な対策を選定するために必要となります。
