過去10年間で、オペレーショナル・テクノロジー（OT ）システムは、IP接続化が進み、サイバー脅威に対する脆弱性が高まっています。従来のITリスク管理とオペレーショナル・リスク管理の境界線がますます曖昧になる中、CISOはOT のサイバーリスクを企業のセキュリティ戦略に組み込む必要があります。
主なポイント
• OT リスク管理には、ITセキュリティとは異なるアプローチが必要であり、データの機密性よりも安全性と可用性が優先されます。
• 旧式のデバイス、パッチ適用の期間が限られていること、そしてITとOT の融合により、従来のセキュリティツールでは対処できない特有の脆弱性が生じています。
• 資産の完全な可視化は、効果的なOT リスク管理プログラムの基盤となります。見えないものは守ることができません。
• 直ちにパッチを適用できない場合、継続的な監視が重要な補償制御として機能します。
• OT を企業のリスク管理戦略に組み込むことで、ダウンタイムを削減し、人々と環境を保護するとともに、規制の強化に先んじて組織を位置づけることができます。
オペレーショナル・テクノロジーOT何か？
まず,「運用技術 (OT)」とは何かを定義しましょう.OTとは,物理的世界におけるプロセスの運用資産を制御または監視するハードウェアおよび/またはソフトウェアを指します.これには,従来のICS (産業用制御システム) から,物理的プロセスに関与する IoT (モノのインターネット) デバイスまで,あらゆるものが含まれます.
OT vs. ICS vs. SCADA
「オペレーショナル・テクノロジー（OT）」という言葉を耳にすると、多くの人は工場や電力網を連想しますが、それは確かにその通りです。しかし今日では、ほぼすべての業界でオペレーショナル・テクノロジーが見られます。この概念は、物理的な世界にある何かを制御するあらゆるものを網羅しています。HVACシステム、エスカレーター、エレベーター、物理的なアクセス制御装置、ドローン、クレーン、自律型ロボットなどは、すべて「オペレーショナル・テクノロジー（OT）」とみなされます。
ICSとは、具体的には産業プロセスの監視および制御に使用されるシステムを指すのに対し、SCADA（Supervisory Control and Data Acquisition）は、遠隔地のセンサーや機器からリアルタイムデータを収集し、産業用機器を遠隔で監視・制御するICSの一種である。OT は、これら両者に加え、物理的なプロセスと相互作用するその他のハードウェアやソフトウェアをすべて包含する、より広範な概念である。これらの用語の関連性を理解することで、CISOはOT のリスク管理プログラムの範囲をより正確に設定し、対応の抜けを回避することができる。
OT 環境について考慮すべき重要なニュアンス
統合的なアプローチにはメリットがありますが、CISOは OT 環境におけるサイバーリスクの管理にあたっては、以下の重要な違いを認識しておく必要があります：
- OT では、レガシーデバイスや独自プロトコルが広く使用されているため、アセットの検出や動作プロファイリングが困難になります。 OT システム向けに特別に設計されたデータ収集手法を採用することが 、業務の妨げとなることなく、必要なアセット情報やネットワーク情報を取得するための最善の方法です。
また、多くのOT デバイスやコントローラーは、演算能力やリソースが限られているため、このユースケース向けに特別に設計された軽量なエンドポイントセキュリティソリューションを選択してください。
- OT の各プラットフォームやカスタマイズされたアプリケーションが混在する環境において、ソフトウェアの脆弱性を管理することは非常に大きな課題です。 OT やIoT デバイスの台数が膨大であるため（ITデバイスと比較して、ITデバイスが数百万台であるのに対し、これらはいずれも数十億台規模）、管理が困難であるだけでなく、ITシステムのようにパッチ適用を自動化することもできません。
侵害の可能性や影響度に基づいて、どの脆弱性に優先的に対処すべきかを判断できるソリューションこそが、OT における脆弱性管理の最も効果的な方法です。こうした環境に従来のIT脆弱性管理ソリューションをそのまま適用しても、うまく機能しません。
- OT システムでは、機密性よりも安全性と可用性を優先します。監視においては、厳格なポリシー順守よりも、異常の検知に重点を置くべきです。 OT 環境では、リアルタイム処理のニーズとデータヒストリアンサーバーが組み合わさっています。監視手法は、時系列データと定常状態の分析の両方をサポートできるよう調整する必要があります。
OT リスク管理とITリスク管理の違い
OT における効果的なリスク管理には、従来のITセキュリティとは根本的に異なる考え方が求められます。IT環境では、セキュリティプログラムはCIAトライアド（機密性、完全性、可用性）を軸に構築されています。データの機密性を保護することが最優先事項です。また、通常、システムにはパッチを適用したり、運用への影響を最小限に抑えながらオフラインにしたりすることが可能です。一方、OT 環境では、可用性と安全性が最優先されます。つまり、システムをオフラインにするようなセキュリティ対応は、攻撃そのものと同じくらい深刻な損害をもたらす可能性があるのです。OT における資産の寿命は、多くの場合15年から30年に及び、一般的なITの更新サイクルをはるかに超えています。つまり、多くのデバイスは、現代のサイバーセキュリティを念頭に置いて設計されていないのです。このギャップにより、コンテキストに応じた、OT 特有のリスク管理は、単なるベストプラクティスではなく、ビジネス上の必須要件となっています。
OT をエンタープライズ・リスク・マネジメントに統合する3つのビジネス・メリット
OT システムの可視性、検知、制御機能の向上により、CISOとそのチームは、企業全体にわたってサイバーリスクを包括的に管理し、予期せぬダウンタイムのリスクを低減し、人々と環境の安全を確保し、世界的に強化されるサイバーセキュリティ規制への備えを整えることが可能になります。
1. 「OT 」システムの予期せぬダウンタイムを削減する
サイバー攻撃は従来,IT システム内のデータを標的にしてきましたが,IT と OT の融合が進むにつれ,そのリスクは高まっています.悪意のある行為者は現在,製造会社,エネルギー会社,その他の重要なインフラプロバイダーの物理的なプロセスを混乱させる手段を手にしています.
適切なセキュリティ対策と監視が実施されていない場合,これらのシステムに対する攻撃は,サービスの中断や製品の欠陥による収益への壊滅的な影響をもたらす可能性があります.
成熟したOT リスク管理プログラムは、脆弱性が悪用される前にそれらを特定し対処するための体系的なプロセスを構築し、収益だけでなく顧客の信頼や事業上の評判にも影響を及ぼす、多額のコストを伴う予期せぬサービス停止が発生する可能性を低減します。
2. 人と環境の安全を確保する
エネルギーや輸送などの業界では,OT システムへのサイバー攻撃によって,人命や環境が危険にさらされる可能性があります.たとえば,石油掘削装置,化学精製プロセス,列車の運行などを制御する装置が故障したり,安全でない状態に陥ったりすると,負傷者や環境への被害が発生する可能性があります.
安全性を高めるため、稼働中の機器の変化を監視することで、セキュリティチームは危険な故障や不正操作を早期に検知し、安全上または環境上の危険が生じる前に介入することが可能になります。
だからこそ、OT のリスク管理フレームワークでは、安全性の確保が一貫して優先順位の最上位に位置づけられています。その影響が主に金銭的または評判的なものにとどまることが多いITリスクとは異なり、OT のリスクには、身体的かつ取り返しのつかない被害をもたらす可能性があります。こうした環境におけるセキュリティ対策は、この現実を根本から考慮に入れて構築されなければなりません。
3. 規制強化に対応したサイバーセキュリティ政策の将来性
エネルギー,重要製造,輸送など,規制監督の強化に直面する業界では,OT環境に強力で拡張可能なサイバーセキュリティ対策を講じることが,NERC CIP,NIS2指令,SOCI法,サイバーセキュリティに関する新しいSEC規則などの 基準への準拠を維持するために不可欠となります.
ほとんどの規制では,IoT と OT を明確に扱うにはまだギャップがありますが,規制当局や監査人が変化するデジタル環境に追いつくにつれ,その状況はすぐに変わるでしょう.今から懸案の規制に先手を打っておくことで,後々のスムーズな導入が可能になります.
OT のリスクに対する積極的な管理は、サイバー保険の加入を検討する際にも組織の立場を強化します。保険会社は産業環境に対する審査をますます厳格化しており、継続的な監視、文書化されたリスク評価、体系的なリスク軽減プログラムを実証できる組織ほど、有利な保険契約条件を獲得しやすい立場にあります。
OT を企業リスク管理に統合する3つの技術的メリット
デバイスやネットワークの異常を早期に迅速に把握することで,セキュリティチームは,IT と OT インフラストラクチャ間のリンクされた経路を通じて悪意のあるソフトウェアの拡散を阻止するための措置を講じることができます.OT 資産とネットワークを既存のセキュリティ監視に統合することで,重大な影響が発生する前にサイバーインシデントを防止または検出するために必要な資産管理,脅威インテリジェンス,および行動分析を提供します.
1.統合資産管理 (Unified Asset Management)
産業現場では、通常、OT （MMS）とITシステムは別々のデータセットを管理しています。OT システムは生産に関する詳細な資産情報を追跡する一方、保守管理などのITシステムは、より高レベルの業務データを追跡します。この分離は、チーム間の効果的なコミュニケーションやリスク管理に関する意思決定の妨げとなる可能性があります。
OT 資産データと補足的な IT 詳細情報を組み合わせることで,セキュリティチームと運用チームは,重要な生産資産の統一されたビューを得ることができます.これにより,より賢明なセキュリティ上の意思決定に必要なコンテキストが提供され,より良いコラボレーションが促進されます.その結果,リスク管理が改善され,稼働時間が増加します.
資産の完全な可視化は、あらゆるOT リスク管理プログラムの基盤となります。棚卸しを行っていない資産については、リスクの評価、優先順位付け、軽減を行うことはできません。これには、PLCやSCADAシステムだけでなく、IoT センサー、ビル管理システム、およびネットワークに接続されているその他のサイバーフィジカルコンポーネントも含まれます。
2. 脅威や異常の早期検知
OT 監視を SIEM や分析ツールに組み込むことで,脅威インテリジェンスの相互利用が可能になります.セキュリティチームは,IT から OT,またはその逆方向への侵害の拡大をより迅速に検知したり,攻撃パターンを認識したりすることができます.
また、継続的な監視により、早期の介入が可能になるほか、セキュリティインシデントが発生する直前にOT ネットワークやアセットで何が起きていたかを把握できるため、より迅速な対応と復旧が可能になります。
パッチ適用は、ダウンタイムを招くことなく常に即座に行えるとは限らないため、継続的かつ受動的な動作監視は、 OT のリスク管理における重要なギャップを埋めるものです。稼働中のプロセスを中断させることなくリアルタイムで異常を検知することで、セキュリティチームは、プレッシャーのかかる状況下で発生中のインシデントに対応するのではなく、予定されたメンテナンス時間帯に是正措置を計画することが可能になります。
3. プロセスと技術の効率化
組織は,IT 環境と OT 環境の両方からデータを既存の SIEM,分析,および監視プラットフォームに投入することで,セキュリティツールへの ROI を最大化することができます.これにより,すでに保有しているテクノロジーからより多くの価値を引き出すことができます.プロセス側のプログラムを統合することで,IT チームと OT チーム間の重複作業も排除できます.
ITセキュリティチームとOT 運用スタッフとの部門横断的な連携は、リスク低減の効果を飛躍的に高めるものです。これらのチームが共通のデータと統一されたワークフローに基づいて業務を行うことで、脅威への対応が迅速化され、コミュニケーションの齟齬が解消され、セキュリティへの投資が企業全体でより広範な価値をもたらすようになります。
効果的なOT リスク管理プログラムの主要な原則
OT の強力なリスク管理プログラムは、産業環境特有の制約や優先事項を考慮した一連の基本原則に基づいて構築されています。
- パッチを常に即座に適用できるとは限らないと想定してください。ITとは異なり、OT のパッチ適用には、多くの場合、計画的なダウンタイムが必要となります。リスク管理戦略には、その間のOT のリスクを管理するための、ネットワークのセグメンテーションや監視体制の強化といった代替的な統制措置を含める必要があります。
- 発生の可能性だけでなく、影響の大きさに基づいて優先順位を決定してください。すべての脆弱性が同等の重要度を持つわけではありません。OT 環境では、侵害が発生した場合の物理的または安全面への潜在的な影響が、その発生確率よりも重要となる場合が多いため、影響に基づくリスク評価が不可欠となります。
- 単なる予防だけでなく、回復力を高めることを重視すべきです。セキュリティ侵害や障害は依然として発生する可能性があります。 OT リスク管理プログラムには、産業環境向けに特別に設計されたインシデント対応計画および復旧手順を含める必要があります。
- ITチームとOT チームが、共通のリスク可視性を基盤として連携を図ります。サイロ化されたセキュリティプログラムでは、ITとOT の境界に危険な隙間が生じてしまいます。リスク報告の統一と共同ガバナンスモデルにより、検知速度と是正措置の連携の両方が向上します。
- 規制対応は、独立した取り組みではなく、適切なセキュリティ対策の副産物として捉えるべきです。包括的なOT リスク管理プログラムを構築する組織は、ISA/IEC 62443、NIST SP 800-82、NERC CIPなど、適用されるほとんどのフレームワークの要件を自然と満たすことになります。
OT のリスク管理における次のステップ
運用環境全体におけるセキュリティ体制の強化を目指す CISO は,IT と OT の両方のインフラストラクチャを網羅する統合的なアプローチで継続的なセキュリティ監視を行うことで,組織のリスク管理戦略を大幅に改善できます.OT 資産の可視性と組織全体の状況認識が向上することで,より高い安全性を確保し,混乱による無駄なコストの発生を回避し,変化するグローバルな規制環境に備えることができます.
組織がOT のリスク管理においてどの段階にあるにせよ、今後の取り組みには、専門的な知見、専用に設計されたツール、そして継続的な改善に向けた長期的な取り組みが不可欠です。産業環境は一つとして同じものはなく、最も効果的なセキュリティプログラムとは、保護対象となる組織の特定の資産、プロセス、およびリスクプロファイルに合わせてカスタマイズされたものです。
Nozomi Networks OT の導入プロセスにおけるあらゆる段階において、組織を支援します。可視性の向上、 のリスク低減、そしてより強靭な産業セキュリティプログラムの構築について、当社チームまでOT お問い合わせください。
OT リスク管理に関するよくある質問
ITリスク管理は主に、デジタルシステム全体におけるデータの機密性、完全性、可用性の保護に重点を置いているのに対し、OT リスク管理は、物理的な産業プロセスの安全性、信頼性、および継続性を最優先します。OT 環境には、寿命が長いレガシー機器、パッチ適用期間の制限、独自プロトコル、さらにはサイバーインシデントが物理的な危害や環境被害を引き起こす可能性など、特有の課題が存在します。こうした違いがあるため、従来のITセキュリティ対策の単純な延長ではなく、OT に特化したツール、フレームワーク、および専門知識が必要となります。
OT における最も重大なリスクとしては、パッチが提供されていない古いファームウェアを実行しているレガシーデバイス、ITとOT の融合によって拡大した攻撃対象領域、セキュリティ対策が不十分なリモートアクセス接続、および従来のセキュリティツールでは解析できない独自プロトコルの使用などが挙げられます。また、産業環境を標的としたランサムウェアも大幅に増加しており、攻撃者は、操業や安全性が懸かっているため、OT に依存する組織ほど身代金を支払う可能性が高いと認識しています。資産の完全な可視性を確保することは、これらすべてのリスク領域における脆弱性を把握し、軽減するための第一歩となります。
OT のリスク管理プログラムの基礎は、包括的な資産の特定から始まり、続いて脆弱性および脅威の評価、影響度に基づくリスクの優先順位付け、そしてパッチ適用が直ちに行えない場合の補償的対策の実施へと進みます。 継続的なモニタリング、IT部門とOT チーム間の部門横断的なガバナンス、およびISA/IEC 62443やNIST SP 800-82といったフレームワークへの準拠により、成熟したプログラムが完成します。プログラムの構築や拡充を進めている組織は、OT に特化した評価、導入支援、およびマネージド検出サービスを提供する専門家と提携することで、そのプロセスを大幅に加速させることができます。
ITシステムとは異なり、OT のデバイスの多くは、物理的なプロセスを中断することなく更新のためにオフラインにすることはできず、その結果、安全性や生産性に悪影響を及ぼす可能性があります。また、多くのレガシーなOT デバイスでは、最新のパッチに対するベンダーサポートが提供されておらず、標準的なパッチ管理ツールでは対応できない独自開発のオペレーティングシステムを実行しているものもあります。これが、OT のリスク管理において、継続的かつ受動的な監視が極めて重要となる理由です。即座にパッチを適用できない場合、リアルタイムの異常検知が、定期的なメンテナンス期間の合間に環境を保護し続けるための主要な補完的制御手段となるからです。
