OTセキュリティサービス

進む制御システムのデジタル化

現在、生産性向上、コスト削減などを目的に、各業界で制御システムのオープン化が推進されています。
製造業の工場では、各種機械の制御装置をネットワークに接続し、生産データを有効活用することで、生産状況の見える化、不良生産の予兆検知、生産計画最適化等を実施、生産性の向上、コスト削減に取り組まれています。
また電力業界では、発電所などプラント内の設備は、電力システム改革、発電所停止などにより、コスト削減が喫緊の課題となっています。設備運転の効率化、系統運用の安定化を目的に、デジタル化が進んでいます。

GSXのOTセキュリティ

デジタル化が進むことにより、制御システムもハッカーの攻撃対象となり、制御システムの領域におけるセキュリティの重要性が増しています。
GSXは、お客様のデジタル化を成功させ、生産活動を止めないために、OTセキュリティの強化を支援します。

1.安心安全な基盤の上で、デジタルトランスフォーメーションを実現するための取り組み 2.BCPの観点で、中核事業の生産を止めないための取り組み

GSXがカバーできる範囲

弊社は、制御システムセキュリティ基準であるIEC62443やNISTをベースにした独自のOTセキュリティフレームワークを保有しています。弊社は、そのフレームワークを基にコンサルティングから教育、訓練、セキュリティ製品の導入等を提供しています。
これらを通して、お客様の安心安全な生産・製造を実現し、ひいてはお客様のユーザ様に対しても、安心安全な製品を提供可能にすることをご支援します。


要件を実現すべき対象	区分	規格番号 (IEC)	標題	備考
全体	用語定義と原則	62443-1-1	Terminology, concepts and models
		62443-1-2	Master glossary of terms and abbreviations
		62443-1-3	System security compliance metrics
		62443-1-4	IACS security lifecycle and use-case
制御システム運用者	セキュリティ管理のポリシーと手順	62443-2-1	Requirements for IACS security management system	CSMS
		62443-2-2	Implementation guidance for an IACS security management system
		62443-2-3	Patch management in the IACS environment
		62443-2-4	Requirements for IACS solution suppliers
システムインテグレータ	システム構成	62443-3-1	Security technologies for IACS
		62443-3-2	Security levels for zones and conduits	SSA
		62443-3-3	System security requirements and security levels	EDSA/SDLA
製品ベンダ	コンポーネント	62443-4-1	Product development requirements	EDSA
製品ベンダ	コンポーネント	62443-4-2	Technical security requirements for IACS components

コンサルティング・教育	訓練
NW改修製品導入運用支援
コンサルティング・教育

OTセキュリティの進め方

GSXが推奨するOTセキュリティの進め方であり、ご用意しているメニューになります。
下記サービスを通して、お客様の安心安全な生産・製造を実現し、ひいてはお客様のユーザ様に対しても、安心安全な製品を提供可能にすることをご支援します。

５つの管理機能に対する当社のOTセキュリティメニュー

GSX OTセキュリティフレームワーク

簡易現状調査

弊社のコンサルタントが、お客様のBCPを確認し、中核事業に関連する箇所のみ、チェックリストを用いて、組織面・運用面・物理面の対策状況を把握します。
また、OTセキュリティの専用機を用いて、対象となるネットワーク上にある資産・通信・脆弱性を可視化します。
工場内のすべてを調査するのではなく、事業を継続するため、生産を止めないための必要最低限の箇所を調査し、影響の大きいリスク、対応すべき優先順位、対策方法を、客観的に報告・提言します。

海外工場も同様に対応可能です。

現状調査オプション：工場内無線LAN診断

無線LANには様々な脆弱性が知られており、アクセスポイントが適切に管理されていない場合、盗聴や侵入などの被害にあう可能性があります。
工場内の無線LANも同様です。
工場内における無線LANのセキュリティ課題を解決するため、GSXでは無線LAN診断を提供しています。
弊社のホワイトハッカーが、無線LANに内在する脆弱性を洗い出し、改善策を提示します。

アクセスポイントの探査
暗号化方式の調査
電波強度の調査

【評価項目】

1.　アクセスポイント探索（野良AP調査）エリア検査対象エリアに存在する無線LANのアクセスポイントを洗い出します。通常のアクセスポイントスキャンでは発見できないステルス化された無線LAN、個人で設置された管理外の無線LAN、暗号化されていない危険な無線LANなどの発見に役立ちます。
2.　電波強度調査工場内のロボットなど無線LANの活用にあたり、必要なエリアに必要な電波が十分に届いているか調査させていただき、業務上必要なエリアに電波が届くよう、APの配置を見直すことが可能です。

ガイドライン作成

弊社のコンサルタントが、OTセキュリティにおける基本事項をガイドラインとして作成します。現状調査を実施させていただいた場合は、その調査結果を踏まえたものを作成します。

ガイドラインは、IEC62443、経産省やNISTのガイドラインの中から、必要となる要素および弊社の知見から構成したGSX OTセキュリティフレームワークに基づいて、工場の現場で実現性のある内容にします。細かい手順ではなく、現場で意識すべきポイントに絞り、製品の製造工程において、セキュリティについても意識付けを行うことで、安心・安全なものづくりに繋げます。

あわせて、工場セキュリティガイドラインの抜粋として、工場内に掲示できる工場セキュリティ〇つのルール（案）を作成することも可能です。

OTセキュリティ製品導入・運用支援

Nozomi Networks社のGuardianを始めとしたOTセキュリティ製品の導入を行います。これらOTセキュリティ製品は、多くの産業用制御プロトコルに対応しているため、ネットワーク上に存在するOT資産やその通信を把握することが可能です。
常に最新の資産と通信を可視化することが可能になり、インシデントが発生した場合に、事業継続を最優先にした判断を迅速に行うことができます。
また、製品が検知したマルウェアの解析を支援する運用支援も提供しています。

「Nozomi Networks社 Guardian」

提供する主な機能
資産可視化
通信可視化
脆弱性可視化
異常検知
OTプロセス異常検知

OTセキュリティ教育（工場従業員様向けMina Secure）

工場の従業員様向けに、OTセキュリティの理解を深める（現場への浸透を図る）ための教育コンテンツを提供します。出入する外部委託業者への教育とすることも可能です。
コンテンツの基礎部分には、よく言われている「制御システムへの脅威や脆弱性」やIPAの「産業用制御システムのセキュリティ 10大脅威 2019年」を取り扱いつつ、カスタマイズ部分には、お客様が持つOTセキュリティガイドラインに沿ったルールを盛り込み、教育コンテンツを作成します。
あわせて、工場従業員様への浸透を目的として、ガイドラインを基に、シンプルな「工場セキュリティ〇つのルール」などを作成することも可能です。

FSIRT構築支援（訓練）

弊社のコンサルタントが、調査・設計として、現状を把握させていただいた上で、FSIRTの設計（体制構築）、規定等整備を行います。次に、対象となるOT環境を調査し、インシデント対応システムの設計・構築を行います。
構築後は、訓練を行います。訓練シナリオを作成し、パイロット工場に対して訓練を実施します。訓練は、工場セキュリティに関与する方々と共に、横断的な演習を行います。
なお、パイロット工場での訓練後、課題を抽出し、訓練シナリオの修正を行い、定期訓練を行いながら、机上訓練、模擬訓練と徐々にレベルを上げていくことも可能です。

調査・設計

現状調査
インシデント対応ポリシーの策定
FSIRT設計
規定等整備

環境構築

OT環境調査
インシデント対応システム設計・構築

運用定義

訓練実施
教育実施
評価と見直し（定期訓練）

緊急対応（インシデントレスポンス）

OTセキュリティの緊急対応サービスは、マルウェア感染、データ改ざん、機密情報漏えい等お客様の事業継続を止める可能性のあるセキュリティインシデント発生時の初動対応を行います。
お客様のデータの保全、原因分析などインシデントレスポンスを支援し、発生インシデントの早期把握と今後の対応計画の早期立案を可能にすることを目的としています。
また、追加調査や事後対策の必要性の検討材料もご提供します。
なお、本サービスでは調査・分析を行いますが、原則として最終的なインシデントの原因究明や解決を前提にしておりません。

IATF対応について

2020年1月、IATF16949（自動車産業の国際的な品質マネジメントシステム規格）が改訂され、サイバーセキュリティに関する事項が加わりました。これにより、自動車部品メーカーは、国内自動車メーカーから、SCMの観点で、サイバーセキュリティ訓練および教育について、実務レベルでの対応を要求されています。

GSXは、これらのサイバーセキュリティに関する追加要求事項に対応可能なOTセキュリティメニューを展開しています。

●IATF -国際自動車産業特別委員会　「IATF 16949:2016 – 公式解釈集」より


No	項目	追加改訂（変更）事項	ご支援サービス
17	6.1.2.3 緊急事態対応計画	e) 緊急事態対応計画の有効性のテストを定期的に行うこと ※サイバーセキュリティは、自動車産業を含むすべての製造施設における製造持続性に対して増大しているリスクであるため。	FSIRT教育・訓練
18	7.1.3.1 工場，施設，及び設備の計画策定	c)製造を支援する装置及びシステムのサイバー防御の実施 ※製造もまたコンピュータを用いた制御及び設備を利用しており，サイバーアタックのリスクにさらされているため。	・Nozomi ・現状調査
自動車の製造過程において、ITシステムを利用しているものが対象に。