OTセキュリティ
サービス
進む制御システムのデジタル化
現在、生産性向上、コスト削減などを目的に、各業界で制御システムのオープン化が推進されています。
製造業の工場では、各種機械の制御装置をネットワークに接続し、生産データを有効活用することで、生産状況の見える化、不良生産の予兆検知、生産計画最適化等を実施、生産性の向上、コスト削減に取り組まれています。
また電力業界では、発電所などプラント内の設備は、電力システム改革、発電所停止などにより、コスト削減が喫緊の課題となっています。設備運転の効率化、系統運用の安定化を目的に、デジタル化が進んでいます。
GSXのOTセキュリティ
デジタル化が進むことにより、制御システムもハッカーの攻撃対象となり、制御システムの領域におけるセキュリティの重要性が増しています。
GSXは、お客様のデジタル化を成功させ、生産活動を止めないために、OTセキュリティの強化を支援します。
GSXがカバーできる範囲
弊社は、制御システムセキュリティ基準であるIEC62443やNISTをベースにした独自のOTセキュリティフレームワークを保有しています。弊社は、そのフレームワークを基にコンサルティングから教育、訓練、セキュリティ製品の導入等を提供しています。
これらを通して、お客様の安心安全な生産・製造を実現し、ひいてはお客様のユーザ様に対しても、安心安全な製品を提供可能にすることをご支援します。
| 要件を実現 すべき対象 |
区分 | 規格番号 (IEC) |
標題 | 備考 |
|---|---|---|---|---|
| 全体 | 用語定義と原則 | 62443-1-1 | Terminology, concepts and models | |
| 62443-1-2 | Master glossary of terms and abbreviations | |||
| 62443-1-3 | System security compliance metrics | |||
| 62443-1-4 | IACS security lifecycle and use-case | |||
| 制御システム 運用者 |
セキュリティ 管理のポリシー と手順 |
62443-2-1 | Requirements for IACS security management system | CSMS |
| 62443-2-2 | Implementation guidance for an IACS security management system | |||
| 62443-2-3 | Patch management in the IACS environment | |||
| 62443-2-4 | Requirements for IACS solution suppliers | |||
| システム インテグレータ |
システム構成 | 62443-3-1 | Security technologies for IACS | |
| 62443-3-2 | Security levels for zones and conduits | SSA | ||
| 62443-3-3 | System security requirements and security levels | EDSA/SDLA | ||
| 製品ベンダ | コンポーネント | 62443-4-1 | Product development requirements | EDSA |
| 62443-4-2 | Technical security requirements for IACS components |
| コンサルティング・ 教育 |
訓練 |
|
|
| コンサルティング・ 教育 |
OTセキュリティの進め方
GSXが推奨するOTセキュリティの進め方であり、ご用意しているメニューになります。
下記サービスを通して、お客様の安心安全な生産・製造を実現し、ひいてはお客様のユーザ様に対しても、安心安全な製品を提供可能にすることをご支援します。
５つの管理機能に対する当社のOTセキュリティメニュー
簡易現状調査
弊社のコンサルタントが、お客様のBCPを確認し、中核事業に関連する箇所のみ、チェックリストを用いて、組織面・運用面・物理面の対策状況を把握します。
また、OTセキュリティの専用機を用いて、対象となるネットワーク上にある資産・通信・脆弱性を可視化します。
工場内のすべてを調査するのではなく、事業を継続するため、生産を止めないための必要最低限の箇所を調査し、影響の大きいリスク、対応すべき優先順位、対策方法を、客観的に報告・提言します。
海外工場も同様に対応可能です。
現状調査 オプション：工場内無線LAN診断
無線LANには様々な脆弱性が知られており、アクセスポイントが適切に管理されていない場合、盗聴や侵入などの被害にあう可能性があります。
工場内の無線LANも同様です。
工場内における無線LANのセキュリティ課題を解決するため、GSXでは無線LAN診断を提供しています。
弊社のホワイトハッカーが、無線LANに内在する脆弱性を洗い出し、改善策を提示します。
詳しくはこちらから。
- アクセスポイントの探査
- 暗号化方式の調査
- 電波強度の調査
- 1. アクセスポイント探索（野良AP調査）エリア検査対象エリアに存在する無線LANのアクセスポイントを洗い出します。通常のアクセスポイントスキャンでは発見できないステルス化された無線LAN、個人で設置された管理外の無線LAN、暗号化されていない危険な無線LANなどの発見に役立ちます。
- 2. 電波強度調査 工場内のロボットなど無線LANの活用にあたり、必要なエリアに必要な電波が十分に届いているか調査させていただき、業務上必要なエリアに電波が届くよう、APの配置を見直すことが可能です。
ガイドライン作成
弊社のコンサルタントが、OTセキュリティにおける基本事項をガイドラインとして作成します。現状調査を実施させていただいた場合は、その調査結果を踏まえたものを作成します。
ガイドラインは、IEC62443、経産省やNISTのガイドラインの中から、必要となる要素および弊社の知見から構成したGSX OTセキュリティフレームワークに基づいて、工場の現場で実現性のある内容にします。細かい手順ではなく、現場で意識すべきポイントに絞り、製品の製造工程において、セキュリティについても意識付けを行うことで、安心・安全なものづくりに繋げます。
あわせて、工場セキュリティガイドラインの抜粋として、工場内に掲示できる工場セキュリティ〇つのルール（案）を作成することも可能です。
OTセキュリティ製品導入・運用支援
Nozomi Networks社のGuardianを始めとしたOTセキュリティ製品の導入を行います。これらOTセキュリティ製品は、多くの産業用制御プロトコルに対応しているため、ネットワーク上に存在するOT資産やその通信を把握することが可能です。
常に最新の資産と通信を可視化することが可能になり、インシデントが発生した場合に、事業継続を最優先にした判断を迅速に行うことができます。
また、製品が検知したマルウェアの解析を支援する運用支援も提供しています。
「Nozomi Networks社 Guardian」
| 提供する主な機能 |
|---|
| 資産可視化 |
| 通信可視化 |
| 脆弱性可視化 |
| 異常検知 |
| OTプロセス異常検知 |
OTセキュリティ教育（工場従業員様向けMina Secure）
工場の従業員様向けに、OTセキュリティの理解を深める（現場への浸透を図る）ための教育コンテンツを提供します。出入する外部委託業者への教育とすることも可能です。
コンテンツの基礎部分には、よく言われている「制御システムへの脅威や脆弱性」やIPAの「産業用制御システムのセキュリティ 10大脅威 2019年」を取り扱いつつ、カスタマイズ部分には、お客様が持つOTセキュリティガイドラインに沿ったルールを盛り込み、教育コンテンツを作成します。
あわせて、工場従業員様への浸透を目的として、ガイドラインを基に、シンプルな「工場セキュリティ〇つのルール」などを作成することも可能です。
FSIRT構築支援（訓練）
弊社のコンサルタントが、調査・設計として、現状を把握させていただいた上で、FSIRTの設計（体制構築）、規定等整備を行います。
次に、対象となるOT環境を調査し、インシデント対応システムの設計・構築を行います。
構築後は、訓練を行います。訓練シナリオを作成し、パイロット工場に対して訓練を実施します。訓練は、工場セキュリティに関与する方々と共に、横断的な演習を行います。
なお、パイロット工場での訓練後、課題を抽出し、訓練シナリオの修正を行い、定期訓練を行いながら、机上訓練、模擬訓練と徐々にレベルを上げていくことも可能です。
- 現状調査
- インシデント対応ポリシーの策定
- FSIRT設計
- 規定等整備
- OT環境調査
- インシデント対応システム設計・構築
- 訓練実施
- 教育実施
- 評価と見直し（定期訓練）
緊急対応（インシデントレスポンス）
OTセキュリティの緊急対応サービスは、マルウェア感染、データ改ざん、機密情報漏えい等お客様の事業継続を止める可能性のあるセキュリティインシデント発生時の初動対応を行います。
お客様のデータの保全、原因分析などインシデントレスポンスを支援し、発生インシデントの早期把握と今後の対応計画の早期立案を可能にすることを目的としています。
また、追加調査や事後対策の必要性の検討材料もご提供します。
なお、本サービスでは調査・分析を行いますが、原則として最終的なインシデントの原因究明や解決を前提にしておりません。
サプライチェーンリスク管理構築支援 概要
サプライチェーンリスク管理は、製品やサービスのライフサイクルを中心に、リスクを特定・評価し、リスクを軽減することを目的とします。
- 製品/サービス毎にリスクを特定・評価する仕組みを構築します。
- 開発がある場合、開発におけるセキュリティ管理も考慮する必要があります。
サービスの流れ
以下の流れでご支援いたします。
1
2
3
4
の整理
リスク管理ルール策定
・貴社のサプライチェーンの種類を洗い出します。
・サプライチェーンの種類毎の要件を整理します。
・サプライチェーンリスク管理ルールを策定します。
・既存のIT/OTセキュリティ管理ルールに取り込みます。
・サプライチェーンリスク管理ガイドラインを策定（または改訂）します。
・運用のためのチェックシートも併せて作成します。
・サプライチェーンリスク管理ルールに則り、運用を開始します。
(例)
・サプライチェーンリスク管理のための従業員トレーニング
・脆弱性診断の実施 など
※STEP4の従業員トレーニング脆弱性診断は、STEP1~3の完了前に実施することが可能です。