この記事は、当社の ウェビナーシリーズのハイライトを振り返るブログシリーズの一部です。このウェビナーシリーズでは、業界の専門家たちが、NERC CIP-015に基づく内部ネットワークセキュリティ監視（INSM）プログラムを構築する公益事業会社からの知見や現場での教訓を共有しています。
第8話では、監査への準備、具体的には模擬監査の実施について取り上げました。今回は、 アーチャー・エナジー・ソリューションズのマネージング・パートナーであるスティーブ・パーカー氏とレナード・チェンバリン氏をお招きしました。スティーブ氏は大手電力会社でNERC CIPの導入に携わり、WECC地域では短期間ながらNERC CIP監査員を務めた経験があります。レナード氏は大手電力会社に勤務した後、連邦エネルギー規制委員会（FERC）で5年間勤務しました。
NERC CIP-015 模擬監査の設計：独立性が極めて重要
何よりも、模擬監査を設計または実施する者は、CIPプログラムを設計した者やその責任者であってはなりません。独立性は極めて重要であり、そうでなければ、実質的に自分自身を監査することになってしまいます。大規模な組織では通常、業務から十分に距離を置き、客観的に検証できる内部監査チームが設けられています。 しかし、そのチームに地域事業体、NERC、またはFERCの監査人を務めた経験のある者が一人もいない場合、監査人が持つべき視点が欠けてしまいます。これは、証拠に対する期待だけでなく、しばしば不備を明らかにするために設計された質問の仕方にも表れます。有資格の第三者機関を利用することで、実際の監査に近い状態を実現でき、その外部からの視点によって内部の政治的な駆け引きを乗り越えることができます。
監査人は、ネットワークのどの箇所を監視する必要があるかをどのように判断したかについて、非常に強い関心を示すでしょう。その判断が、CIP-015におけるその他のすべての事項を決定づけるからです。
NERC CIP監査人の思考に迫る
監査はストレスのたまるものであり、準備ができていない場合はなおさらです。証拠や活動、プロセスの確認を含む自己評価を行うだけでは、限界があります。模擬監査の実施は、保証業務の進化における次のステップですが、すべての模擬監査が同じというわけではありません。模擬監査を実施する独立した個人やグループの存在が最も重要な要素である一方で、自地域における監査の実施方法を理解することも重要です。
監査官も人間であり、優れた模擬監査官は本物の監査官と同じように考え、彼らがどのような視点から物事を見るかを理解しています。最近の監査に関わった人々と話をすることは、その地域で監査がどのように行われているかを理解する上で非常に有効な方法です。FERCは全地域で一貫した監査アプローチを求めていますが、実際には、同じ地域内でも監査の進め方には大きな違いがあります。
監査人には遵守すべき監査基準があり、その一つが「専門的能力」です。監査チームは、監査対象を評価するための専門知識を備えていることが求められます。しかし、新しい技術が登場するにつれ、必ずしもそうとは限らなくなっています。たとえ気まずいことでも、その点を指摘する覚悟が必要です。
資料の確認：準備万端、いよいよ本格的に取り掛かる
文書審査は、監査人が証拠を検証するために用いる6つの手法のうちの1つであり、自社の文書が精査に耐えうるものであることが求められます。これを調査として捉えることが、監査人よりも先に問題点を明らかにする鍵となりますが、監査の仕組み上、CIP-015の文書だけを対象とするだけでは不十分です。
NERC CIP-015の模擬監査において参考となる2つの規格：CIP-002「BESサイバーシステムの分類」およびCIP-005「電子セキュリティ境界（ESP）」。CIP-002は、デバイスおよびシステムの観点から対象範囲を定義するものであり、CIP-005は、その周囲に保護措置を設けるための指針となるものです。 CIP-015-1においては、ESPが最も重要ですが、EACMSおよびPACSの対象範囲が拡大されるCIP-015-2では、状況が変わるでしょう。
監査人の観点から言えば、CIP-002 および CIP-005 は、以下の点を理解するのに役立ちます：
- その範囲はどのくらいですか？
- これは何を見ているんだろう？
- 何を評価しているのでしょうか？
模擬監査人は、対象範囲内のすべてのネットワークを把握しており、INSMプログラムがそれらを確実に網羅していることを確認したいと考えています。
データフィードの配置に関するリスクベースの根拠：最初のドミノ
規格のR1パート1.1では、データフィードの取り込み先について規定されています。この点については状況が多岐にわたるため、扱いが難しい場合があります。要件の文言に焦点を当ててください。なぜなら、あなたが遵守を求められるのはその要件だからです。それ以外の内容はあくまで指針であり、法的拘束力はありません。
要するに、この要件は、リスクベースの根拠に基づき、ESPのネットワーク活動を監視するためのネットワークデータフィードを実装することである。「リスクベースの根拠」が具体的に何を意味するのかは明確ではない。 デジャヴを感じた方は、この分野に長く携わっており、バージョン5以前で私たちが直面した問題を覚えていることでしょう。その対応は人によって異なり、コンプライアンスリスクを最小限に抑える機会を探った人もいました。したがって、監査人は、ネットワークのどのポイントを監視する必要があるかをどのように判断したかに非常に強い関心を持つでしょう。その判断こそが、CIP-015における他のすべての要件を決定づけるものであり、残りの要件はドミノ倒しのように次々と整っていくのです。
厳しい質問を交えて、実際の監査をシミュレーションする
他の規格とは異なり、CIP-015-1は、極めて詳細で客観的に測定可能な要件を定めたものではありません。この規格は目標と目的を示す一方で、かなりの柔軟性を備えています。文書審査の過程において、模擬監査は、自身が下した決定について説明する練習をする機会となります：
- どのようなリスクの根拠に基づいて判断しましたか？
- なぜそれを使ったのですか？
- なぜそれが適切だとお考えですか？
- 「異常」とは何ですか？
- 異常はどのように検知しているのですか？
- 検知された異常については、どのように評価していますか？
- どのような情報を、どのくらいの期間保存していますか？
- 見落としている可能性がないと、どうしてわかるのですか
それは専門的な判断に委ねられるものであり、説得の余地が残されています。実際の監査人がやって来たときに、初めてその場しのぎで対応するような事態は避けたいものです。模擬監査を機に、各分野の専門家（SME）を厳しい立場に置き、監査人にその根拠の穴を突いてもらうようにしましょう。弁護士が証人を準備するように、SMEに多少の緊張感を持たせることで、実際の監査で直面する可能性のある厳しい質問への備えをさせることができるのです。
関連して言えば、ある用語がNERC用語集や規格で明確に定義されていない場合、規制対象事業者として、その用語が自社にとってどのような意味を持つかを文書化しておくことが求められます。そうしないと、監査人が独自の解釈を提示してくることになり、その定義が一致しない場合、非常に興味深い議論になるでしょう。本シリーズで繰り返し取り上げている例が「異常（anomaly）」です。 監査人に「異常」の定義を決めてもらうような事態は避けたいものです。自組織の専門家（SME）が、プログラム内で定義された内容と見解を一致させていることを確認することが重要です。
R1 第1.3部：異常の評価、プレイブックおよびエスカレーションのプロセス
INSMは、ネットワーク活動から膨大な量のネットワークデータを生成します。R1パート1の要件を満たすためには、異常を評価し、さらなる措置を講じるための文書化された手順を整備しておく必要があります。監査の際、異常評価の実例を示すよう求められる可能性があります。具体的には、どのような結果が出たのか、そしてどのようにしてさらなる措置を決定したのか、といった点です。実際には、公益事業者は膨大なデータセットの中から異常を評価することになります。そのため、評価が不正確になったり、バッチ処理の性質上、一括して処理されることで予期せぬ事態が発生したりする可能性があります。
ここで、監査において評価を行う担当者の専門知識が重要になります。システムやプロトコルの仕組みを十分に理解していない担当者が、フラグが立てられた異常を目にした際、そこに何か問題があることに気づかず、実際には高度な攻撃者の巧妙な手口を示す微妙な兆候であるにもかかわらず、悪意のないものとして見過ごしてしまう可能性があるからです。他の業務で忙しい担当者にその場しのぎで引き継ぐのではなく、正式なプロセスを設ける必要があります。
ここで、模擬監査の際に明らかにしておきたい監査上の指摘事項が見つかる可能性が高いでしょう。評価方法は整備されているかもしれませんが、どのような追加措置を講じるべきかを判断する上では、あまり有効ではないかもしれません。要件の表現が曖昧なため、その指摘事項は「潜在的な不適合（PNC）」とはみなされないか、少なくとも確定的なものとはならない可能性があります。 しかし、こうした気まずいやり取りを完全に避けたいのであれば、日頃から不整合を評価している担当者が、何をチェックすべきか、また監査の際にそのプロセスをどのように擁護すべきかを確実に理解しているようにしてください。
R2およびR3：データの保存、データの保護
NERC CIP-015-01 に定められた他の 2 つの要件は、R1 と比べると退屈なものだ。データを保存し、データを保護すること。BES サイバーシステム情報（BCSI）のデータ保護については、CIP-004-7およびCIP-011-3 に非常に優れた指針が示されているため、自社のプログラムを可能な限りその指針に沿って調整すること。 実施する内容を文書化し、実際に実施していることを示す証拠を用意してください。
特に注目すべきは、FERCがこのプロセスを迅速に進めることを明確に求めているにもかかわらず、要件の文言にはいずれも期間に関する言及がない点である。もし異常の解消に3か月かかった場合、監査人はそれを指摘するだろうか？ 間違いなく指摘するだろう。しかし、それを強制できるだろうか？ これらは別個の問題である。抜け穴は検出側にはない。検出は自動化されており、ほぼ瞬時に行われるからだ。 ルールがどれほど迅速に発動するかという問題ではありません。これらはパケットルールであり、初期の選別は通常、数秒以内に完了するからです。監査人が過度な所要期間に対して異議を唱える可能性があるのは、パート1.3の評価段階です。模擬監査中にそのような事例を見つけた場合、これはチームに問いを投げかける絶好の機会となります。
要するに、その目標で何を達成することが求められているのかを確認してください。何かを行うよう指示されているにもかかわらず、測定可能な要素が欠けている場合は、定性的および有効性の観点から、何が妥当かを検討してください。例えば、攻撃を検知し、その原因を調査することを目的としてネットワークの異常を監視する場合、その監視間隔は比較的短く設定する必要があります。
サンプリング：「信頼はするが、検証もする」
サンプリングは、他の規格でも広く用いられている手法です。CIP-015の場合、監査人は、例えば過去3年間に貴社の環境で発生したアラートのうち一定割合について情報を求め、それらに対してどのような対応を行ったかを確認することで、パート1.2（検知）およびパート1.3（評価）が適切に実施されているかを検証することがあります。
また、データフィードの妥当性確認のためにネットワーク図も確認されるほか、技術監査担当者が実際のネットワークトラフィックを調査したいと求める場合もあります。こうした取り組みは、規格の監査が進み、監査担当者が各組織がどのような実装を行っているか、何がうまく機能し、何が機能していないと評価されているかを把握するにつれて、変化していくでしょう。
ベストプラクティスと落とし穴
NERC CIP模擬監査を成功させるための指針は、この規格に限ったものではありませんが、多くの電力事業者にとっては、その負担を軽減するために依然として指導が必要です。下の表に記載されている推奨事項はすべて重要ですが、中でも特に注目すべき点がいくつかあります。
すでに述べたあらゆる理由から、NERC CIP監査人としての実務経験を持つ独立したファシリテーターを活用することは、極めて貴重です。それに次いで重要なのが、判断の根拠を文書化することです。これにより、主導権を握り、監査側に疑問を投げかけさせることが可能になります。逆に、監査側に主導権を握られるような事態を回避できるのです。
注意点としては、ガイダンスに過度に依存しないことです。ガイダンスは有用ですが、法的拘束力はなく、監査人はそれに従う義務はありません。これには、このウェビナーやブログシリーズも含まれます。これらを主な情報源とすべきではありません。 私たちは、実務経験豊富な業界のトップ専門家を招き、各トピックについて綿密な調査を行うことで、提供する情報の正確性を可能な限り高めていますが、このシリーズを唯一の情報源とせず、自ら専門家としての知識を深め、コミュニティに参加してください。
最後に、準備に関しては積極的に取り組む一方で、提出に関しては慎重に対応しましょう。必要と思われる量よりも多くの証拠を準備しておきつつ、その大部分は手元に残しておき、コンプライアンスを証明するのに必要な分だけを提供するようにしてください。最初から情報を多く開示しすぎると、余計な質問を招き、不必要な議論に巻き込まれることになります。監査人がさらに情報を必要とする場合は、自ら要求してくるでしょう。
NERC CIPの模擬監査および実地監査を完璧にこなすための最終的な考察
模擬監査は、自社のCIP-015プログラムが監査官の審査に耐えられるかどうかを確かめる最も確実な方法です。独立した模擬監査人を起用し、リスクベースの根拠を他のすべてを左右する「ドミノ」と見なし、リスクが低いうちに各分野の専門家（SME）に厳しい質問を浴びせてみましょう。
この投稿では、ウェビナーで取り上げられた内容のほんの一部にしか触れていません。ウェビナーシリーズにご登録いただき、第8回のアーカイブ動画をご覧いただければ、議論の全容をご確認いただけます。また、これらの内容がご自身の環境にどのように適用できるかについて話し合いたい場合は、お気軽にお問い合わせください。私たちは皆様をサポートいたします。
