OT 環境に関連する特有のリスクを理解し、適切なセキュリティ対策を実施することで、組織はサイバー攻撃と業務中断の両方の可能性と影響を大幅に減らすことができる。

リスク管理は脆弱性管理よりもはるかに複雑である。特にOT 環境では、パッチが存在するとしても次のメンテナンスウィンドウまでパッチを遅らせなければならないことが多いため、暴露、リスク、耐性の関係を理解することが重要である。 それにはまず、どの資産が脆弱であるかを把握し、既知の脅威がその資産を悪用する確率と、悪用された場合の影響およびそのリスクに対する組織の耐性を比較検討する必要がある。ほんのわずかな確率で発生するインパクトの大きい事象は、週に数回発生することが知られているインパクトの小さい事象よりも重要度が低いと判断されるかもしれない。この公式を使えば、発生する可能性の高いインパクトの大きいイベントに対して脆弱な資産のミティゲーションに優先順位をつけることは容易である。

ITリスクアセスメントとOT リスクアセスメントの比較

このリスクに対する一般的なアプローチは、すべてのサイバーリスクに当てはまるが、IT環境とOT 環境におけるリスクの評価方法の主な違いは以下の通りである。

1. サイバーリスクとオペレーショナルリスク

おそらく最大の違いは、OT サイバーリスクとプロセスリスクを含むオペレーショナルリスクの両方を考慮しなければならないことである。ITの面では、企業のメールサーバーがダウンしても、ビジネスへの影響は最小限である。休みを喜ぶ従業員さえいるかもしれない。しかし、運用環境で重要なサーバーがダウンした場合、甚大なリスクが発生する可能性がある。コロニアル・パイプラインがいい例だ。DarkSideのハッカーが同社のITネットワークからデータを略奪した際、この攻撃によって請求と会計システムがダウンし、確かにコストのかかる混乱が生じるところだった。しかし、同社がパイプラインを停止した理由は、安全監視ツールへのアクセスを失い、パイプライン自体が侵害されたかどうかを確認できなかったからだ。‍

2.結果ベース

OT、リスクアセスメントは、物理的安全性、環境、業務の継続性などの結果に完全に焦点を当てています。郵便処理施設でも、食肉包装工場でも、貨物船でも、倉庫でも、OT 常に最悪の日を想定してリスク評価を行う。何千人もの人々に影響を与えるような大惨事が起こり得るでしょうか？‍

3.相互関連リスク

OT ネットワークのすべてのコンポーネントは、非常に分散した環境におけるより大きなプロセスの一部である。すべてがつながっており、結果的にそうなっている。データセンターでは、おそらく他のすべてのサーバーをリブートしても影響はないだろう。OT、マシンに問題が発生した場合、直ちにそのマシンが何に依存し、何に依存しているかを知る必要がある。そこから、緊急シャットダウンの結果はどうなるのか？石油精製所では、誰かが緊急シャットダウンのボタンを押したら、一瞬にして数百万ドルが消え、そのサイトをオンラインに戻すのに数カ月かかることになる。‍

4.脆弱性のみ対多次元

ITでは、デバイスのリスクは脆弱性だけに基づいており、パッチを当てることで実質的にリスクを排除できる。OT多層的です。Nozomi Networks プラットフォームは、脆弱性リスク、アラートリスク、コミュニケーションリスク、デバイスリスク、アセットクリティカリティ、補償コントロールの5つの要素に基づいてアセットリスクを計算します。顧客はこれらのスコアをそのまま使うこともできるし、計算が組織のリスク割り当てを正確に反映するまで、各変数の重みを調整することもできる。‍

5.スコア対トレンド

特に工場や取締役レベルでは、OT 利害関係者は数値的なリスクスコアをほとんど使いません。私たちの顧客はよくこう言う。"数値は必要ない。リスクが時間とともに減少していることを示す、線が下がっていくグラフを上司に見せるだけでいい。OT リスクには、地域や工場によって5.1が同じことを意味するようなリヒタースケールはありません。

6.リスク許容度が高い ‍。

産業界のダウンタイムは避けなければならないため、安全性の問題以外では、産業界の利害関係者のリスクに対する許容度ははるかに高い。あるデバイスがTelnetに公開されているとする。しかし、パデュー・レベル2では、その上下にファイアウォールがあり、そのポートでは何も話すことができない。OT システムの性質上、よくあるシナリオだ。資産所有者は、デバイスがTelnetにさらされているために発せられたアラートをミュートする（あるいは、少なくともアラート・ルールの脆弱性リスクをダイヤルダウンする）ことを選択するかもしれません。一方、ITアナリストはアラートを見て、すぐにデバイスにパッチを当てたいと思うでしょう。

OT リスクの計算

どのようなリスクアセスメントも、まずビジネスインパクト分析を実施し、自社の至宝を特定し、その保護に優先順位をつけることから始まります。産業環境では、資産のリスクだけでなく、最も重要なプロセスとその保護方法も特定する必要があるため、より複雑になる。鉄鉱石を炉に運ぶ工場内のベルトコンベアは、本館から倉庫に郵便物を運ぶベルトコンベアよりもリスクが高い。同じ技術と同じプロトコルを使用していても、リスクレベルは大きく異なる。

いくつかのベンダーは、資産リスクを理解するのに役立つ計算されたリスクスコアを提供している。POCでは印象的に見えるかもしれないが、日々のモニタリングやリスク低減にどれほど役立つだろうか？あなたの組織がどのようにリスクを計算しているのかが反映されていなければ、おそらく無視することになるでしょう。

Nozomi Networks プラットフォームは 、各資産にリスクスコアを割り当てることで、セキュリティ対策に優先順位をつけ、最も重要なリスクから対処し、潜在的な脅威を効果的に軽減するための的確な対策を講じることができます。資産リスクは、脆弱性リスク、アラートリスク、通信リスク、デバイスリスク、資産の重要度、代替コントロールの5つの要素に基づいて計算されます。また、各変数の重み付けを完全にカスタマイズすることもできます。ゾーンごとに調整したルールを適用することもできます。

Nozomi Networks プラットフォームがOTリスクの把握と最小化を支援します。

OT 資産のリスクを見る場合、ゾーン別、サイト別、ベンダー別、その他分類したい方法で、どの資産が最もリスクが高いかを一目で確認できる必要がある。そして、何がリスクを高めているのか、それに対して何ができるのかを理解するためにドリルダウンできる必要がある。また、個々のリスクスコアが、その資産が属するサイトやゾーンの上位のリスクスコア、ひいては会社全体のリスクスコアにどのように寄与しているかを確認することも重要です。このような背景があっても、個々の資産のリスクスコアにはほとんど価値がありません。適切なリスク管理のためには、経時的なリスクスコアの変化を理解する必要があります。

Nozomi Networks ダッシュボードは、ゾーン、サイト、その他選択したカテゴリー別に現在のリスクスコアを表示します。リスクが悪い方向に傾いている場合は、ドリルダウンしてその理由と適切なコントロールを追加する必要がある場所を確認できます。安全でないプロトコルをロックダウンしたり、セグメンテーションを強化する必要があるかもしれない。あなたが何をするにしても、リスクスコアは、あなた自身のリスク想定を用いて、あなたの行動が与えた影響の度合いを反映する。リスク・スコアがグローバルで70から始まり、52まで下がったのであれば、投資を正当化するためのROI（投資収益率）が厳しくなったことになる。 

資産リスク機能は、IoT OT 資産に関連するリスクの包括的な概要を提供し、個々の資産、ゾーン、サイト、センサー、および環境全体のセキュリティ態勢について、明確でカスタマイズ可能かつ実用的な洞察を提供します。ユーザーは、セキュリティ・パフォーマンスをベンチマークし、長期的な改善を追跡できるため、運用の回復力を維持・強化するための重要なツールとなります。