サイバーセキュリティ・リスクの計算は、紙の上では簡単に見えるかもしれない。典型的な IT リスクの計算式では、リスクは可能性と影響の関数として示されます。しかし、CISO や SOC のアナリストなら誰でも言うように、これらの値を正確に見積もるために必要なデータを収集することは、決して簡単なことではありません。まず、完全で正確な資産目録を持っている組織はほとんどないため、未知のリスクがある可能性が高い。さらに、脆弱性と脅威という可能性の2つの要素が増加の一途をたどっているため、集中すべきところに集中し、適切な対策を実施しているかどうかを判断するのは難しい。
次に、物理的プロセスを制御するために運用技術OT）やモノのインターネットIoT）資産に大きく依存している重要インフラストラクチャのような高可用性産業環境に関連するサイバーセキュリティ・リスクを評価してみよう。IT リスクの公式を捨てることから始めよう。主にデータの完全性に関連する、影響度が低く、発生頻度の高い事象については問題ありませんが、OT サイバーセキュリティは、影響度が高く、発生頻度の低い事象に重点を置いています。その代わりに、これらの複雑な環境の重要な側面を考慮したリスクに対する多要素アプローチが必要です。
本記事では、ITとOT リスクマネジメントの主な違いを探り、Nozomi Networks プラットフォームが、リソースをどこに割り当て、その影響を伝えるべきかを理解できるように、お客様の環境における資産リスクの計算方法をカスタマイズする方法を説明します。
ITリスクアセスメントとOT リスクアセスメントの比較
IT環境とOT 環境におけるリスクの評価方法の違いは、環境自体の違いを反映しています。ここでは、特に目立つ6つを紹介する。
1.サイバーリスクとオペレーショナルリスク
おそらく最大の違いは、OT においては、サイバー脅威とは無関係な運用上の異常がはるかに頻繁に発生するため、プロセスリスクを含むサイバーリスクと運用リスクの両方を考慮しなければならないという点です。ITの側面では、企業のメールサーバーがダウンしても、ビジネスへの影響は最小限です。一部の従業員は、その休憩時間をむしろ喜ぶことさえあるでしょう。しかし、運用環境において重要なサーバーがダウンした場合、甚大なリスクが生じる可能性があります。 コロニアル・パイプラインの事例が好例です。DarkSideハッカー集団が同社のITネットワークからデータを人質に身代金を要求した際、この攻撃によって請求・会計システムがダウンし、確かに多額の損失を伴う混乱が生じることは確実でした。しかし、同社がパイプラインの稼働を停止した理由は、安全監視ツールへのアクセスが失われ、パイプライン自体が侵害されているかどうかを確認できなくなったためです。これは、同社が決して許容できない極めて重大なリスクでした。
OT ネットワークのすべてのコンポーネントは、非常に分散した環境におけるより大きなプロセスの一部である。すべてがつながっており、結果的につながっています。
2.結果ベース
『OT 』では、リスク評価は、身体の安全、環境への被害、業務の継続性といった結果に焦点を当てています。これらはすべて、莫大な経済的影響をもたらす可能性があります。郵便処理施設、食肉包装工場、貨物船、倉庫のいずれでリスクを評価する場合でも、『OT 』を活用すれば、常に最悪の事態を想定した計画を立てることができます。何千人もの人々に影響を及ぼすような、どのような壊滅的な事態が起こり得るでしょうか？
3.相互関連リスク
OT ネットワーク内のすべてのコンポーネントは、高度に分散化された環境におけるより大きなプロセスの一部です。 すべてが相互につながっており、相互に影響し合っています。データセンターであれば、おそらく他のサーバーを再起動しても何の影響も生じないでしょう。しかし、OT では、あるマシンに問題が発生した場合、それが何に依存しており、何がそれに依存しているかを即座に把握する必要があります。そして、緊急停止を行った場合、どのような影響が生じるのでしょうか？石油精製所において、誰かがその緊急停止ボタンを押してしまった場合、一瞬にして数百万ドルの損失が発生し、その施設を復旧させるには数ヶ月を要することになります。
4.脆弱性のみ対多次元
ITの場合、デバイスのリスクは脆弱性だけに基づいており、パッチを当てることで、実質的にリスクを排除することができる。OT場合、リスクは多層的であり、パッチは次のメンテナン スウィンドウまで延期されることが多い。パッチはOT リスク管理の特効薬ではないため、他の要因も考慮する必要がある。
5.スコア対トレンド
特に工場や経営陣のレベルでは、OT のステークホルダーは数値によるリスクスコアをあまり重視していません。お客様からはよく、「数値は必要ない。上司に見せるのは、リスクが時間とともに減少していることを示す下降線のあるグラフだけでいい。それが、当社のサイバーセキュリティ対策が機能している証拠だからだ」という声をいただきます。OT リスクにはリヒタースケールのようなものは存在せず、5.1という数値が地域ごと、あるいは工場ごとに同じ意味を持つわけではありません。
6.リスク許容度が高い 。
産業界のダウンタイムは避けなければならないため、安全性の問題以外では、産業界の利害関係者のリスクに対する許容度ははるかに高い。あるデバイスがTelnetに公開されているとする。しかし、パデュー・レベル2では、その上下にファイアウォールがあり、そのポートでは何も話すことができない。OT システムの性質上、よくあるシナリオだ。資産所有者は、デバイスがTelnetにさらされているために発せられたアラートをミュートする（あるいは、少なくともアラート・ルールの脆弱性リスクをダイヤルダウンする）ことを選択するかもしれません。一方、ITアナリストはアラートを見て、すぐにデバイスにパッチを当てたいと思うでしょう。
OT リスクの計算
どのようなリスクアセスメントも、まずビジネスインパクト分析を実施し、自社の至宝を特定し、その保護に優先順位をつけることから始まります。産業環境では、資産のリスクだけでなく、最も重要なプロセスとその保護方法も特定する必要があるため、より複雑になります。鉄鉱石を炉に運ぶ工場内のベルトコンベアは、本館から倉庫に郵便物を運ぶベルトコンベアよりもリスクが高い。同じ技術と同じプロトコルを使用していても、リスクレベルは大きく異なる。
いくつかのベンダーは、資産リスクを理解するのに役立つ計算されたリスクスコアを提供しています。POCでは印象的に見えるかもしれないが、日々のモニタリングやリスク低減にどれほど役立つだろうか？あなたの組織がどのようにリスクを計算しているのかが反映されていなければ、おそらく無視することになるでしょう。
Nozomi （Networks ）プラットフォームは、各資産に リスクスコアを割り当て、セキュリティ対策の優先順位付けを支援し、最も重大なリスクを優先的に対処し、潜在的な脅威を効果的に軽減するための適切な措置を講じることができるよう支援します。このプラットフォームは、脆弱性リスク、アラートリスク、通信リスク、デバイスリスク、資産の重要度、および補完的統制という5つの要素に基づいて資産リスクを算出します。算出されたスコアをそのまま利用することも、各変数の重みを完全にカスタマイズして、組織独自のリスク評価方法を正確に反映させることも可能です。
このような背景があっても、個々の資産のリスク・スコアはほとんど意味をなさない。適切なリスク管理のためには、リスク・スコアの経年変化を理解する必要がある。
セキュリティ対策がリスクに与える影響を時系列で見る
OT 資産のリスクを見る場合、ゾーン別、サイト別、ベンダー別、その他分類したい方法で、どの資産が最もリスクが高いかを一目で確認できる必要がある。そして、何がリスクを高めているのか、それに対して何ができるのかを理解するためにドリルダウンできる必要がある。また、個々のリスクスコアが、その資産が属するサイトやゾーンの上位のリスクスコア、ひいては会社全体のリスクスコアにどのように寄与しているかを確認することも重要です。このような背景があっても、個々の資産のリスクスコアにはほとんど価値がありません。適切なリスク管理のためには、経時的なリスクスコアの変化を理解する必要があります。
Nozomi （Networks ）のリスクダッシュボードでは、ゾーン、サイト、および選択したその他のカテゴリごとの現在のリスクスコアが表示されます。リスクが望ましくない方向に推移している場合は、詳細を確認して、その原因や適切な対策を導入すべき箇所を特定できます。たとえば、セキュリティ対策が不十分なプロトコルを厳格化したり、セグメンテーションを強化したりする必要があるかもしれません。 どのような対策を講じるにしても、リスクスコアは、貴社が設定したリスク仮定に基づいて、その対策がもたらした影響の度合いを反映します。例えば、全体的なリスクスコアが当初70だったものが52に低下した場合、投資を正当化するための明確なROIが得られたことになります。
サイバーセキュリティ資金を確保するためのOT リスクの定量化
OT サイバーリスクを計算しようとすると、多くの未知数や経験則に基づく推測が必要になるため、労力を費やす価値がないと結論づけられるかもしれない。しかし、そうではありません。標準的な（しかしカスタマイズ可能な）計算式を適用して、あらゆるレベルでの評価と優先順位付けを行うことで、サイバーリスクを経営幹部、取締役会メンバー、その他のリスク所有者が理解できるビジネスリスク用語に置き換えることができる。何をもって許容可能なリスクレベルとするかについて交渉する必要はあるかもしれないが、組織のサイバー成熟度を向上させるための十分な予算を求める訴えは、はるかに聞き入れられやすくなる。
