ニュースルーム
OTセキュリティはソリューションより先に「現場条件」を確認せよ
寄稿
OTセキュリティはソリューションより先に「現場条件」を確認せよ
OTセキュリティ導入の成否は、製品選定よりも現場環境の理解にかかっている
ランサムウェアやサプライチェーン攻撃は産業制御環境にまで広がっており、OTセキュリティの必要性に対する認識は急速に高まっている。IEC 62443やNIST Cybersecurity Framework 2.0のようなセキュリティフレームワークもますます高度化している。
製造、エネルギー、発電などの産業現場では近年、OTセキュリティ導入を検討する中で、「どこから始めるべきか」という悩みが目立っている。手順だけを見ると、資産の識別、ネットワーク分離、監視体制の構築、その後の異常対応まで比較的明確に見える。
しかし現場の反応は異なる。マニュアルどおりに進めても想定外の問題が発生したり、技術的には簡単に見える作業がスケジュール遅延や運用停止につながることが少なくない。
OTセキュリティが難しい理由は、技術が不足しているからではない。OT環境そのものが、もともと『セキュリティ』ではなく『運用継続性』を中心に設計されている空間だからである。ITで通用する導入の前提が、OT現場ではそのまま通用しない。
つまり、技術ではなく環境を先に見る必要がある。OTセキュリティ導入を難しくする代表的な5つの現場条件は次のとおりである。
1. エージェント型セキュリティソリューションを導入できない老朽設備
現場のPLC、HMI、SCADAなどの産業用制御機器の多くは、10年から20年以上にわたって稼働している。古いOSを搭載していたり、すでに保守サポートが終了している機器も存在する。
こうした設備にエージェント型セキュリティソリューションを導入するのは現実的に難しい。導入自体が性能に影響を与えたり、ベンダー保守保証を無効にしたりする可能性があるためである。
2. 生産設備を停止できない環境
24時間365日稼働する工場では、セキュリティ機器の設置やネットワーク設定の変更に使える時間が極めて限られている。
年1〜2回の定期点検期間でさえ、生産設備の保守、校正、外部ベンダー作業などで埋まっていることが多い。
3. ネットワーク構成図と実環境の不一致
ネットワーク構成図もOTセキュリティにおける代表的な変数である。書類上ではスイッチやポート構成が明確に見えても、現場では機器が交換されていたり、文書にない装置が追加されていたりすることがある。
構成図を基にセキュリティ機器の配置を設計したものの、現地で確認すると対象スイッチがSPANポートを構成できないダミーハブに置き換わっていたり、全ポート使用中でミラーリング構成が不可能だったりするケースもあった。その結果、設計の全面的な見直しとスケジュール遅延が発生した。
また、設定のわずかな違いが検知品質を左右することもある。SPANポートを構成しただけでは十分ではない。スイッチが片方向ミラーリングに設定されていれば、取得できるデータが半分程度になることもある。OTセキュリティでは、設定の有無ではなく、設定の方向性と実際の収集品質まで検証することが重要である。
4. 組織ごとの優先順位の違い
一般にセキュリティチームは脅威検知を重視し、運用チームは生産停止の防止を最優先に考える。この違いはソリューション導入後も残りやすい。
導入から6か月後に未確認アラートが数百件も蓄積していた事例もあった。ITセキュリティチームはアラートの工程上の意味を解釈するのが難しく、OT運用チームはセキュリティ画面の見方に関する教育を十分に受けていなかった。
その結果、誰もそのアラートを自分の業務として認識しなかった。誰がアラートを確認し、どの基準で解釈し、どの手順で対応するのかが定まっていなければ、セキュリティソリューションは十分に機能しない。
5. ベンダー契約上の制約
設備保守契約には『事前承認のない設定変更は保証対象外』といった条項が含まれている場合が多い。
ある現場では、トラフィックミラーリングのためにスイッチポートを1つ開放するだけの単純な作業でも、ベンダー承認に長い時間を要した。技術的には短時間で終わる作業が、契約構造によってプロジェクト全体の日程を左右することもある。
OTセキュリティ導入を難しくする5つの現場条件（出典：COONTEC）
「セキュリティ導入は危険」という認識が生まれる理由と対策
導入時の大きなリスクは、IT型のセキュリティ方式をそのままOTに適用するときに生じる。多くのOTプロトコルはミリ秒単位の応答速度と一定の通信パターンを前提として設計されており、ITではわずかな遅延でもOT現場では工程異常として解釈されることがある。
たとえば、遮断機能を強化するためにセキュリティ機器をネットワーク経路の途中にインライン接続した結果、PLCとHMIの通信タイミングがずれ、生産ラインが停止したケースもある。
こうした経験の蓄積により、『セキュリティを入れるとかえって設備が止まる』という認識が生まれる。しかし、これはOTセキュリティそのものの限界ではなく、ITを前提に設計された能動的・インライン方式をOTにそのまま適用したときのリスクである。
OTセキュリティでは、運用ネットワークに介入せずトラフィックを複製して分析するパッシブモニタリングを基本とすべきである。ただし、パッシブ方式だけですべてが解決するわけではなく、正常通信パターンを学習して異常行為を見分けるベースライン学習も必要になる。
導入初期に誤検知やアラートが過剰に発生すると、運用チームの信頼が低下し、本当の脅威を見逃す恐れがある。少なくとも2〜4週間のベースライン学習と、その後のアラート優先度調整はOTセキュリティ運用の必須プロセスである。
ソリューションより先に現場条件を確認する
OTセキュリティは、ソリューション選定の前に現場条件を確認することから始まる。老朽設備の比率、作業可能な点検時間、ネットワーク構成図の最新性、ITとOTの連携窓口、ベンダー契約による設定変更の制約を先に確認しなければならない。
設計段階では文書よりも現地調査を優先し、導入後はベースライン学習とアラート運用体制をセットで整えることが重要である。
OTセキュリティの目的は、単にセキュリティ機器を設置することではない。運用を止めることなく、見えていなかった資産や通信を可視化し、現場が理解できる形で異常を検知・対応できる体制を作ることにある。
結局のところ、OTセキュリティは製品だけでは完成しない。現地調査、ネットワーク構造の確認、運用組織との協業、ベースライン学習、アラートチューニングまでを含めて設計する必要がある。
COONTECは2019年から、グローバル産業サイバーセキュリティプラットフォームClarotyの韓国公式パートナーとして、産業現場に適したOTおよびICSセキュリティのコンサルティング、構築、運用支援を提供している。DPIに基づき、資産識別、通信パターン分析、既知・未知の脅威や異常行為の検知など、生産性を損なわないセキュリティ高度化を支援している。
