OTセキュリティの脅威に向けた対策

近年、サイバーセキュリティ上の脅威が増加しているOTセキュリティ対策の考え方を解説します。

要点

• OTセキュリティの概要、OTセキュリティの脅威、OTセキュリティの脆弱性対策、OTセキュリティの技術標準、OTセキュリティの脆弱性対策の実施ステップについての概要を説明します。

1. OTセキュリティ概要

Operational Technology（以下、OT）セキュリティですが明確な定義は日本ではありません。OTセキュリティはトレンドマイクロ社の定義によれば、具体的には、工場や発電所の監視制御、製鉄所の精錬、ダムの排水量調節、港のコンテナ荷役、病院の医療装置等で利用される制御システムやデバイスを保護することを意味していると定義しています。

OTシステムは以下の制御系システムが対象となります。

• SCADA(Supervisory Control and Data Acquisition) 
  上水道や下水道、電力、ガスなどのインフラを監視・制御するシステム 
  
  
• DCS（Distributed Control System）
  化学プラントや製油所など、連続的なプロセスを制御するシステム 
  
  
• PLC（Programmable Logic Controller）
  工場の自動化ラインなど、離散的なイベントを制御する装置

※トレンドマイクロ「OTセキュリティとは」
　www.trendmicro.com/ja_jp/what-is/ot-security.html（2025年2月25日アクセス）

OTシステムに対するサイバー攻撃は、近年増加し、従来のITシステムとは異なる特性を持つOTシステムは、その特殊性から独特の攻撃手法や被害パターンが発生しています。OTのサイバーセキュリティインシデント事例の代表事例は米国のコロニアル・パイプラインがランサムウェア攻撃を受けた事例が代表事例となります。

• 米国コロニアル・パイプライン攻撃とは
  2021年に米国最大の石油パイプライン会社であるコロニアル・パイプラインがランサムウェア攻撃を受け、パイプラインが一時的に停止した事案です。

この事例から、OTシステムに対するサイバー攻撃は単なる経済的な損失だけではなく、国家の安　全保障や国民生活に大きな影響を与える事案となります。OTシステムへの攻撃は、直接的な被害だけでなく、サプライチェーン全体に影響を与え影響範囲が広くなる可能性があります。

2. OTセキュリティの脅威

IPA（独立行政法人情報処理推進機構）の制御システムのセキュリティリスク分析ガイド補足資料：「制御システム関連のサイバーインシデント事例」シリーズによれば、OTセキュリティの脅威は以下の5つに集約されるとしています。

※IPA「制御システムのセキュリティリスク分析ガイド補足資料：「制御システム関連のサイバーインシデント事例」シリーズ」
　制御システムのセキュリティリスク分析ガイド補足資料：「制御システム関連のサイバーインシデント事例」シリーズ
　www.ipa.go.jp/security/controlsystem/incident.html（2025年2月25日アクセス）

① ランサムウェア攻撃の増加
OTシステムを停止させることで、製造ラインの停止や製品の品質低下、さらには身代金を要求するランサムウェア攻撃が頻発している。

② ゼロデイ攻撃の利用
未知の脆弱性を突くゼロデイ攻撃が増加し、従来のセキュリティ対策では対応が困難な状況となっている。

③ サプライチェーン攻撃
サプライヤーのシステムを侵害し、そこから顧客のOTシステムに侵入するサプライチェーン攻撃も増加傾向にある。

④ 内部関係者の脅威
組織内の従業員による意図的、または過失による情報漏えいやシステムへの不正アクセスも大きな脅威である。

⑤ 物理的なアクセスによる攻撃
OTシステムは物理的な世界と密接に結び付き、物理的なアクセスによる攻撃も生じている。

主な被害内容としては、機密情報や個人情報の漏えいによるデータの盗難、サイバー攻撃によるシステムダウンや生産ラインの中断、攻撃者による機器の不正操作等があり、その脆弱性がある背景は一般的に、以下の5点となります。

① 古いシステムの継続使用
OTシステムはシステムのライフサイクルが長く、十数年前の古いシステムが継続運用されているケースが多く、セキュリティパッチが適用されていないなど、脆弱性が残っているケースも多い。　　　

② セキュリティ対策の遅れ
OTセキュリティはオフィス系とは分離した独立したネットワーク環境での使用から、近年はDX進展によるシステム環境の変化から外部接続も増え、セキュリティの脅威も増大している。

③ ベンダーサポートの終了
OTシステムのライフサイクルが長く使用している機器やソフトウェアのベンダーサポートが終了していることもあり、セキュリティアップデートが提供されなくなり、脆弱性が放置されている。　　　　　　　　

④ 複雑なネットワーク環境
OTシステムは、さまざまな機器やプロトコルが複雑に組み合わさっており、セキュリティ対策が困難な場合がある。

⑤ 物理的なアクセス制御の不足
OTシステムは物理的な世界（各機器同士）と密接に接しているため、アクセス制御が不十分だと攻撃者が容易に、システムに直接侵入することが可能である。

3. OTとITセキュリティの違い

従来のOTはサイバー脅威にさらされないことを前提に設計されているがレガシーOSなど修正プログラム適用が不可能な端末があるなど、急なネットワーク接続による脆弱性発現リスクは高い。

また、ITと対比してOTシステムは工場、製品、ラインによって全く異なるシステムで構成され、画一的な対策がとりにくい傾向があります。下表にある通り、OTセキュリティでは、情報のCIA保護だけでなく、健康・安全・環境面への配慮も必要な点が相違点となります。

4. OTセキュリティの脆弱性対策

脆弱性対策としては以下の対策を行うことが一般的とされています。

① 認証機能の改善
パスワード強度を高め、デフォルトパスワード設定の変更を行う。

② ネットワークセグメンテーションの見直し
ネットワークセグメンテーションやVPN設定の見直しを行う。また、ITとOTのセグメンテーションを明確に分離する。

③ 定期的な脆弱性診断
定期的に脆弱性診断を実施し、脆弱性を早期に発見し、対策を実施する。

④ パッチ管理
OSやアプリケーションの脆弱性を解消するためのパッチを定期的に適用する。

⑤ アクセス制御の強化
権限のないアクセスを制限し、機密情報を保護する。

⑥ デバイスの脆弱性対策
センサーやアクチュエータなどのデバイスの脆弱性を解消するためのパッチを適用する。

⑦ 従業員教育
サイバーセキュリティに関する知識を従業員に教育し、セキュリティ意識を高める。

なお、上記のOTセキュリティの脆弱性対策をより網羅的、かつ、有効に実施するには、OTセキュリティの技術標準を利用しつつ、情報セキュリティの各種標準（ISO27000シリーズやNIST　CSF）を活用することも重要となります。

5. OTセキュリティの代表的な技術標準　

OTセキュリティの技術標準は、OTシステムの安全性確保を目的とした国際的なガイドラインや標準があります。IEC 62443がそれに該当します。OTのサイバーセキュリティのための技術対策に焦点を当てた国際標準となります。

IEC 62443は、技術的な対策だけでなく、管理的および物理的な対策も含みます。IEC62443は6つのパートで構成され、パート1 概説と用語、パート2 ポリシーと要求事項、パート3 評価基準、パート4 セキュリティ要求事項、パート5 システムのセキュリティ要求事項、パート6 セキュリティ要求事項の管理で構成されています。

OTセキュリティ対策の組織的な管理水準全体を引き上げるには技術対策中心のIEC 62443だけではなく、セキュリティの組織的、人的な管理、サプライチェーン全体の対策を規定しているNIST CSFやISO27000シリーズとの併用で整備を行うことも必要となります。

6. OTセキュリティの脆弱性対策の実施ステップ　

OTセキュリティの脆弱性対策を実施するに当たり一般的には、1. 現状把握とリスク評価、2. セキュリティポリシーの策定と教育、3. セキュリティの技術的対策の実施（ネットワーク対策）、4. セキュリティの技術的対策（アクセス制御）、５. セキュリティの技術的対策（保守運用）、６. インシデント対応計画の策定の6つのステップを踏みます。OTの現状把握や範囲の特定が通常のITよりも管理対象とする機器や装置の種類も多く、対象範囲の把握や難易度が高い傾向にあります。

① 現状把握とリスク評価
現状把握で、OT環境の全容を把握し、ネットワーク構成、機器、ソフトウェア、接続状況などを詳細にマッピングし、既存のセキュリティ対策の状況を評価しギャップを特定する。次に、OTシステムに特有の脅威（ランサムウェア、マルウェア、不正アクセスなど）を特定し、その発生確率と影響度を評価する。また、サプライチェーンリスクや人的ミスによるリスクも評価する。

② セキュリティポリシーの策定と教育
OTシステムへのアクセス権限、パスワード管理、変更管理、インシデント対応など、具体的なセキュリティポリシーを策定する。また、OTシステムに直接関わる従業員に対しては、セキュリティに関する専門的な知識を身につけるための継続的教育を実施する。

③ セキュリティの技術的対策（ネットワーク対策）
まず、ネットワークセグメンテーションを実施し、OTネットワークをITネットワークから分離し、攻撃の影響を最小限に抑えるようにする。また、侵入検知・防止システム (IDS/IPS)を設置しネットワークトラフィックを監視し、異常な活動を検知・阻止する。

④ セキュリティの技術的対策（アクセス制御）
アクセス制御として、権限に基づいたアクセス制御を厳格に実施し、不正アクセスを防ぐことや多要素認証を導入することで、セキュリティを強化する。

⑤ セキュリティの技術的対策（保守運用）
パッチ管理を実施し、OSやアプリケーションの脆弱性を解消するため、定期的なパッチ適用を行う。OT機器はIT機器と比べて、現場の稼働を停止できない等の理由で、パッチ適用が難しい場合があり、慎重な適用の検討が必要である。また、最悪の事態を想定し、定期的にデータをバックアップし、バックアップしたデータは、安全な場所に保管し、復旧手順を確立する。

⑥ インシデント対応計画の策定
インシデント発生時の対応手順を明確化し、インシデントの種類や規模に応じた適切な対応策を実行できるようにする。また、定期的にインシデント対応計画のテストを実施し、改善点を発見し改善を進める。

現在、OTセキュリティ全体の脅威全般が増えているなかで、ITとOTの統合的なセキュリティ対策の実施、OTも対象にすべてのユーザやデバイスにゼロトラストアーキテクチャの導入、最新脅威の定期的な把握を行う仕組みを構築し、OTセキュリティの安全対策を進めることが必要となります。定期的にOTセキュリティ領域のリスクアセスメントを実施し、いくつかのセキュリティ侵害のリスクシナリオをもとにした脆弱性検証を行い、脆弱な部分が発見されれば随時、脆弱性対策を実施するなどの施策も有効と考えます。OTセキュリティの脆弱性を検証し評価するソリューションも用意しています。

【共同執筆者】

EY新日本有限責任監査法人　Technology Risk事業部　
シニアマネージャー　福田 重遠