多くの産業組織は,ITとOT サイバーセキュリティを独自の問題として捉えているが,その融合がかつてないほど重要になっている.攻撃者がITとOT のテクノロジー間のセキュリティ・ギャップを突くことができるのは,まさにその防御を担当する人々が異なる優先順位と慣行を持っているからである.
IT/OT サイバーセキュリティの融合を成功させるには,これまでサイロ化されていた部門間の緊密な協力が必要である.実現は難しいが,統合セキュリティ戦略の下でITとOT を一体化させることで,セキュリティ・ギャップをなくし,組織全体のサイバー・リスクを低減することができる.
明確な境界線が既存のサイロ化したITを正当化 -OT プログラム
ITグループは従来,重要なビジネス・アプリケーションと関連するITサイバーセキュリティを担当し,プロセス制御とOT サイバーセキュリティはエンジニアリングとオペレーションの領域だった.テクノロジーと環境の制約における明確で理解しやすい違いが,サイロ化されたサイバーセキュリティ戦略を正当化するために利用されていた.
産業IT -OT 急速に変化する状況
高いコストと技術革新の制約に不満を抱いている産業企業は,OT システム内で IT ベースの技術の利用を増やしている.監視アプリケーションと履歴データは,クラウドに移行されつつある.レガシー・プロセス・コントローラとネットワークは,標準ベースの商用ハードウェアとソフトウェア製品に置き換えられつつある.
デジタルトランスフォーメーションへの取り組みが,産業ITのあり方を変えつつある.資産管理,サプライチェーン,生産オペレーショングループは,改善を推進するために,強力なクラウドベースのアナリティクスとAIパッケージを活用している. シャドーITの取り組みには,エッジデバイスへのアクセスや,ITおよびOT システムへの深い接続性を備えた新しいネットワーキング・ソリューションが必要です.
こうしたテクノロジーの発展や新たなビジネス・イニシアチブは,コンバージェンスの必要性を前面に押し出している.IT部門は,OT サポートを強化する必要性を認識しており,一方,テクノロジーのシフトは,OT IT部門に専門知識を求めることを余儀なくさせている.お分かりのように,IT/OT の新たな状況は,両グループ間のより深いコラボレーションと知識共有の必要性を高めている.
コンバージドIT /OT サイバーセキュリティ戦略とはどのようなものか？
IT とOT のサイバーセキュリティへの取り組みを統合することで,責任が明確になり,セキュリティ・ギャップがなくなる.また,組織全体で一貫したセキュリティレベルを確保し,全体的なサイバーリスクを低減する.
効果的なサイバーセキュリティプログラムを実現するには,IT(OT )を統合し,主要な目標を実施する権限を持つ組織のすべてのサイバーセキュリティの取り組みを一元的に監督する必要があります.これは,IT グループ,OT グループ,セキュリティ・オペレーション・センター(SOC)で働く人々による正式な組織変更または仮想チームを通じて実施することができる.また,サイバーセキュリティの専門家が継続的に不足しているという現実に対処するために,特定の能力を持つ第三者の統合も想定しておく必要がある.最高情報セキュリティ責任者(CISO),またはトップマネジメントの他の誰かが,全体的な調整と取締役会(BoD)への報告について責任を持つべきである.
コンバージドITへの移行を容易に /OT サイバーセキュリティ戦略
ITとOT サイバーセキュリティ戦略を融合させることには大きなメリットがあるが,それが簡単にできるとは思わないでほしい.組織は,既存の人材,プロセス,技術慣行の変化を予測し,それに備える必要がある.ここでは,企業が移行を容易にするために利用できる取り組みをいくつか紹介する：
- 日常的なセキュリティ衛生に対応するため,横断的な訓練を受けた現場チームを設置する.
- マルウェアの侵入や異常行動など,より複雑なサイバー問題に対処するため,ITおよびOT の専門家によるグローバル・サポート・ネットワークを構築する.
- 脆弱性管理からインシデント管理まで,主要なIT /OT サイバーセキュリティ・プロセスを更新する.
- 企業方針の遵守の徹底
- サイバーセキュリティ技術を統合し,協調的なサイバーセキュリティ管理を可能にする.
ITとOT ,必要とするツールは異なるかもしれないが,資産のインベントリ,エンドポイントとネットワークの保護,セキュリティモニタリングとレポート,セキュアなリモートアクセスといった重要な分野において,互換性があり,完全に統合されている必要がある.
技術的な課題だけでなく,2つのグループ間の不信感を克服するといった文化的な問題も,それだけで大きなハードルとなりうる.移行を容易にする方法としては,意見のすり合わせを目的としたワークショップや,架け橋となり信頼を再構築するためのグループ間の相互受粉などがある.
ITとOT システム・セキュリティの統合について,また,ITとOT サイバーセキュリティの統合戦略を策定する際に注意すべき点について詳しくは,以下のリソースをご活用ください.
