製造業セキュリティ電子ブック

産業用ネットワークを安全に保つための戦略とテクノロジーを紹介しています。ハッカーよりも一歩先を進んでください。

製造業におけるセキュリティ

IT チームと OT チーム間のギャップを解消

製造業者にとって、すべての新しい接続ポイントは機会となりますが、

同時にリスクにもなります。

製造業における IT および OT セキュリティの現状

製造現場では、接続性が高まるにつれて複雑性も高まり、それに伴い運用技術（OT）と IT に関するセキュリティ上の懸念も高まっています。

ネットワーク上に新しい資産が配置されれば、新たな配慮と監視が必要となるセキュリティリスクも増えることになります。

多くの製造施設では、資産の増加にともない、セキュリティコンテキストを常に確認することや、ネットワークの状態を把握することが困難になっています。通常のネットワークアクティビティを把握する能力さえも不足しているのです。そのため、異常な状態が発生しても比較するベースラインがなく、脅威を特定することが困難になっています。

なぜネットワークを確認できないのでしょうか。それは、産業用制御システム（ICS）環境が、複数の Industrial Internet of Things（IIoT）プロトコルで動作する多様な機器で構成されているからです。そのため一元的に監視することが非常に難しくなっているのです。環境内の機器は種類や年式もさまざまなため、これまで IT 部門が直面したことのない課題が浮上しています。

同時に、製造業界はサイバー犯罪者にとってますます魅力的な標的になっています。これも環境内の機器に原因があります。各資産はサイバー犯罪者にとっての侵入経路となり得るからです。犯罪者はそれらの機器から侵入しランサムウェアを感染させることで、製造業者から金銭を搾取しています。

さらに、多くの製造業者では老朽化した資産と機器を使って操業しています。今日の脅威よりもはるか以前に導入された機器は、高度なサイバー攻撃から防御するようには設計されていません。つまり、サイバー攻撃からの防御は IT および OT の両部門に託されているのです。

セキュリティ侵害を防ぐためには、OT 部門がサイバーセキュリティを主導する必要があります。

しかし、専門知識を有しているのは IT 部門です。

現在のサイバーセキュリティに対して OT 部門が抱える課題

製造業の業務は変化しつつあります。コネクテッド環境の拡大により生産性と利益が以前にも増して向上しています。

OT チームは工場を稼働させることに関しての専門家ですが、彼らにもまた変化が必要です。事実、OT チームはネットワーキングとコネクテッド環境のスキルを身に着けつつあります。しかし多くの OT チームは、高度なランサムウェアなどの進化する脅威に対応する上で、細部を調べ隠れた危険を管理するために必要なサイバーセキュリティについての十分な研修や教育を受けていません。

このため工場は困難に直面しています。セキュリティを維持し、コネクテッド環境を管理するために、設備に常駐していない IT スタッフに OT チームが依存している状況なのです。反対に多くの IT チームは、工場の操業と製造技術の複雑性を熟知していません。

工場内では複数のシステムが別々に動作し、物理環境や仮想環境の壁も存在するため、OT チームは IT セキュリティポリシーに関して限られた可視性しか持ちません。OT チームが制御システムを変更すると、誤って IT セキュリティポリシーに違反してしまう可能性があり、攻撃や計画外のダウンタイムを招いてしまうかもしれません。

OT チームには何が必要か

継続的な操業を実現するためには、OT チームがより自立した存在になる必要があります。そして、それにはセキュリティ分野も含まれます。ネットワークに対する可視性がなければ、OT チームがアクティビティを把握し、異常事態を認識することができません。また、セキュリティポリシーを管理、適用する能力がなければ IT チームに過剰に依存してしまいます。それによって対応の遅れや混乱、生産性への影響をもたらしかねません。

もちろん、セキュリティ管理は今後も IT チームの役割です。大多数の企業にとって、IT チームは専門知識を有するサイバーセキュリティセンターです。ただし製造業では、OT チームの支援がなければ効果的に業務を遂行できません。

シスコマニュファクチャリングセキュリティソリューションを導入することで、IT チームはセキュリティ管理能力を維持できます。

また、OT チームにも必要なものを提供できます。

Cisco Industrial Network Director（IND）、Cisco Identity Services Engine（ISE）および Cisco Stealthwatch を組み合わせることで、IT と OT の両チームのニーズに合わせて構築された包括的なセキュリティソリューションを構築できます。

これらのソリューションは、IT チームと OT チーム間のギャップを埋める上で不可欠な次の 2 点を実現します。

ネットワーク上の資産に対する可視性を提供し、OT チームがネットワークアクティビティを一元的に監視できるようにします。正常および異常なアクティビティの両方に対して、より優れたベースラインを確立できます。
IT チームがセキュリティポリシーを事前に定義し、OT チームからのフィードバックとビジネスインテント（目的）に基づいて動的に割り当てられるようにします。

Cisco Industrial Network Director は、OT チームのために構築されたネットワーク管理ソリューションです。

Cisco IND は簡単に統合できるシステムで、OT チームによるネットワーク監視を容易にします。OT チームがネットワークトポロジ全体を確認し、正常な状態と異常な状態を把握できるようします。

Cisco IND により、産業用イーサネットインフラ内のコネクテッドデバイスとネットワークインフラに対して完全な可視性と制御能力を得られます。Cisco IND は、一般的な産業用プロトコル（CIP、PROFINET など）を使用したデバイスを自動的に検出し、コネクテッドデバイスとネットワークインフラストラクチャの動的な統合ビューを提供します。

Cisco Platform Exchange Grid 経由で Cisco ISE と接続

OT チームが資産の接続を管理する際に、Cisco IND は Cisco ISE とのインターフェイスとして機能します。OT チームは、たとえばリモートベンダーに「デバイスへのアクセスを許可する」といったインテントを入力できます。Cisco ISE は以前の IT ポリシーの定義に基づいて、状況に応じたセキュリティポリシーを動的に適用します。以上のことは、シスコのオープンで拡張性の高いプラットフォーム Cisco Platform Exchange Grid（pxGrid）で実現できます。複数のセキュリティソリューションにおけるシームレスなデータ共有や連携を可能にします。

メリット

IT チームが定義したセキュリティポリシーを、必要に応じて OT チームが動的に割り当て可能：必要に応じて資産を簡単にグループ化、タグ付けできます。pxGrid を通じてインテントを入力するだけで、Cisco ISE から定義済みポリシーを利用できます
産業ネットワークのアクティビティを可視化：リアルタイム監視により、OT チームはネットワークや生産設備を完全に可視化できます
統合と検出の簡素化：プログラマブルロジックコントローラ、IO、HMI、ドライブなどの産業用エンドポイントの一元的な表示を可能にします。豊富な API により他のシステムとも接続可能になります
製造現場にエンタープライズセキュリティを適用：TrustSec マイクロセグメンテーション、コンテキストベースのホストグループ、セキュリティグループタグベースのファイアウォールルールといった、シスコのセキュリティ機能が産業用ネットワークでも活用できます

Cisco ISE は、製造現場におけるコネクテッドデバイスへのアクセスを制御する強力なツールです。

Cisco ISE は、製造現場におけるコネクテッドデバイスへのアクセスを制御する強力なツールです。Cisco ISE により、IT 部門はネットワークトポロジ全体のアクセスポリシーを設定、適用できます。Cisco ISE は Cisco IND と連携して OT チームを支援し、IT チームが決めた定義に基づいて、予め作成されたセキュリティポリシーを産業用資産に割り当てます。

Cisco ISE の能力は、それだけではありません。現場にいない専門家またはベンダーのアクセスを IT チームが制御できるようにします。セキュリティを犠牲にすることなく、部外者が必要な情報を得られるようになります。セグメンテーション、封じ込め、修復機能により、ネットワークの脅威に対して迅速で正確、かつ効果的な対応を実現します。

Cisco Stealthwatch は、スケーラブルな可視化を可能にする分析ソリューションです。

IT 部門が効果的なセキュリティポリシーを設定するには、ネットワークの正常な状態と異常な状態の両方を把握する必要があります。

ネットワークの高度な可視性と分析を提供する Cisco Stealthwatch により、IT チームは最善のセキュリティポリシー戦略を構築し、ネットワークアクティビティの現状を常に把握できます。

さらに、Cisco Stealthwatch は最新の脅威インテリジェンス、迅速な脅威の検出、高度な脅威調査を提供します。

異常なトラフィックが検出されると、IT チームは監査履歴と脅威調査を活用することで、迅速に問題の原因を究明することができます。統合型のセグメンテーション機能により、安全なネットワーク設計を可能にして、感染の拡散を防ぐことができます。

ユースケース

IT 部門によるセキュリティ管理を維持しながら、OT 部門をエンパワーメント

可能になること： OT 部門からのフィードバックとインテントに基づいて、動的に適用できるセキュリティポリシーを IT 部門が定義できるようになります。

重要である理由：操業を継続する上で OT 部門がセキュリティを主導する必要がありますが、そのために IT 部門の専門性を必要とします。

ネットワークのセグメンテーション

可能になること：トポロジ全体でアクセスを制限し、感染を防ぐ個別のネットワークゾーンを作成します。

重要である理由：サイバー犯罪者は侵入経路を探すのに躍起です。たとえば 2017 年 5 月に発生したランサムウェア「WannaCry」による攻撃は、一般的なネットワークに接続されていた 1 台のワークステーションが発端となりました。セグメンテーションは、広範囲の感染拡大を阻止するのに有効です。

産業用ネットワークトポロジ全体を把握

可能になること：OT チームがネットワーク全体を一元的に把握し、個々の資産の状況や詳細を常に把握できます。

重要である理由：ポリシーを適用するには、OT チームがセキュリティを詳しく把握できる必要があります。

リモートアクセスの有効化

可能になること：ベンダーや遠隔の専門家による問題解決や修正プログラムの適用などで、部外者の遠隔アクセスを可能にします。その際に IT チームに逐一頼ることも、セキュリティを犠牲にすることもありません。

重要である理由：部外者へのアクセス権を OT チームから付与できるようにすることで、俊敏性が向上し、継続的な操業を支援します。