OTサイバーリスクの評価、計算、優先順位付けは？

OT 環境に関連する特有のリスクを理解し、適切なセキュリティ対策を実施することで、組織はサイバー攻撃と業務中断の両方の可能性と影響を大幅に減らすことができる。

リスク管理は、脆弱性管理よりもはるかに複雑なものです。OT 、パッチの適用を次のメンテナンスウィンドウまで延期せざるを得ない場合が多く（そもそもメンテナンスウィンドウが存在するとしても）、エクスポージャー、リスク、許容度の関係性を理解することが極めて重要です。  そのためには、まずどの資産が脆弱であるかを把握し、既知の脅威がそれらを悪用する確率と、悪用された場合の影響、そして組織がそのリスクに対して許容できる度合いを比較検討する必要があります。発生確率は極めて低いものの影響が大きい事象は、週に数回発生することが分かっている影響の小さい事象よりも、重要度が低いと判断される場合があります。この基準を用いれば、影響が大きくかつ発生確率の高い事象に対して脆弱な資産の対策に優先順位をつけることが容易になります。

ITリスクアセスメントとOT リスクアセスメントの比較

このリスクに対する一般的なアプローチはあらゆるサイバーリスクに当てはまりますが、ITOT におけるリスク評価の方法には、以下のような大きな違いがあります。

1. サイバーリスクとオペレーショナルリスク

おそらく最大の違いは、OT においては、サイバー脅威とは無関係な運用上の異常がはるかに頻繁に発生するため、プロセスリスクを含め、サイバーリスクと運用リスクの両方をOT 。ITの分野では、企業のメールサーバーがダウンしても、ビジネスへの影響は最小限です（休憩を喜ぶ従業員もいるかもしれません！）。しかし、運用環境で重要なサーバーがダウンした場合、甚大なリスクが生じる可能性があります。コロニアル・パイプラインの事例が好例です。DarkSideハッカーが同社のITネットワークからデータを人質に取った際、この攻撃によって請求・会計システムがダウンし、多額の損失を伴う混乱が生じることは確実でした。しかし、同社はパイプラインの稼働を停止せざるを得ませんでした。オペレーターが安全監視ツールにアクセスできなくなり、パイプライン自体が侵害されているかどうかを確認できなくなったためです。これは、同社が明らかに許容できない極めて重大なリスクでした。‍

2.結果ベース

OT、リスクアセスメントは、物理的安全性、環境、業務の継続性などの結果に完全に焦点を当てています。郵便処理施設でも、食肉包装工場でも、貨物船でも、倉庫でも、OT 常に最悪の日を想定してリスク評価を行う。何千人もの人々に影響を与えるような大惨事が起こり得るでしょうか？‍

3.相互関連リスク

OT ネットワークのすべてのコンポーネントは、非常に分散した環境におけるより大きなプロセスの一部である。すべてがつながっており、結果的にそうなっています。データセンターでは、おそらく他のすべてのサーバーをリブートしても影響はないだろう。OT、マシンに問題が発生した場合、直ちにそのマシンが何に依存し、何に依存しているかを知る必要がある。そこから、緊急シャットダウンの結果はどうなるのか？石油精製所では、誰かが緊急シャットダウンのボタンを押したら、一瞬にして数百万ドルが消え、そのサイトをオンラインに戻すのに数カ月かかることになる。‍

4.脆弱性のみ対多次元

ITでは、デバイスのリスクは脆弱性だけに基づいており、パッチを当てることで実質的にリスクを排除できる。OT多層的です。Nozomi Networks プラットフォームは、脆弱性リスク、アラートリスク、コミュニケーションリスク、デバイスリスク、アセットクリティカリティ、補償コントロールの5つの要素に基づいてアセットリスクを計算します。顧客はこれらのスコアをそのまま使うこともできるし、計算が組織のリスク割り当てを正確に反映するまで、各変数の重みを調整することもできる。‍

5.スコア対トレンド

特に工場や取締役レベルでは、OT 利害関係者は数値的なリスクスコアをほとんど使いません。私たちの顧客はよくこう言う。"数値は必要ない。リスクが時間とともに減少していることを示す、線が下がっていくグラフを上司に見せるだけでいい。OT リスクには、地域や工場によって5.1が同じことを意味するようなリヒタースケールはありません。

6.リスク許容度が高い ‍。

産業界のダウンタイムは避けなければならないため、安全性の問題以外では、産業界の利害関係者のリスクに対する許容度ははるかに高い。あるデバイスがTelnetに公開されているとする。しかし、パデュー・レベル2では、その上下にファイアウォールがあり、そのポートでは何も話すことができない。OT システムの性質上、よくあるシナリオだ。資産所有者は、デバイスがTelnetにさらされているために発せられたアラートをミュートする（あるいは、少なくともアラート・ルールの脆弱性リスクをダイヤルダウンする）ことを選択するかもしれません。一方、ITアナリストはアラートを見て、すぐにデバイスにパッチを当てたいと思うでしょう。

OT リスクの計算

どのようなリスクアセスメントも、まずビジネスインパクト分析を実施し、自社の至宝を特定し、その保護に優先順位をつけることから始まります。産業環境では、資産のリスクだけでなく、最も重要なプロセスとその保護方法も特定する必要があるため、より複雑になる。鉄鉱石を炉に運ぶ工場内のベルトコンベアは、本館から倉庫に郵便物を運ぶベルトコンベアよりもリスクが高い。同じ技術と同じプロトコルを使用していても、リスクレベルは大きく異なる。

いくつかのベンダーは、資産リスクを理解するのに役立つ計算されたリスクスコアを提供しています。POCでは印象的に見えるかもしれないが、日々のモニタリングやリスク低減にどれほど役立つだろうか？あなたの組織がどのようにリスクを計算しているのかが反映されていなければ、おそらく無視することになるでしょう。

Networks 、お客様の環境におけるリスクを特定、評価、軽減、監視し、運用担当者やSOCチームが連携して優先順位を決定し、リスクを低減しレジリエンスを高めるために最も効果的な対策を講じられるよう支援します。 各資産にリスクスコアを割り当てることで、セキュリティ対策の優先順位付けを支援し、最も重大なリスクに優先的に対処し、潜在的な脅威を効果的に軽減するための適切な措置を講じることができます。 本プラットフォームは、脆弱性リスク、アラートリスク、通信リスク、デバイスリスク、資産の重要度、および補完的制御の5つの要素に基づいて資産リスクを算出します。当社のスコアをそのまま利用することも、各変数の重みを完全にカスタマイズして、組織のリスク評価方法を正確に反映させることも可能です。さらに、調整したルールをゾーンごとに適用することもできます。

Nozomi Networks プラットフォームがOTリスクの把握と最小化を支援します。

OT 資産のリスクを見る場合、ゾーン別、サイト別、ベンダー別、その他分類したい方法で、どの資産が最もリスクが高いかを一目で確認できる必要がある。そして、何がリスクを高めているのか、それに対して何ができるのかを理解するためにドリルダウンできる必要がある。また、個々のリスクスコアが、その資産が属するサイトやゾーンの上位のリスクスコア、ひいては会社全体のリスクスコアにどのように寄与しているかを確認することも重要です。このような背景があっても、個々の資産のリスクスコアにはほとんど価値がありません。適切なリスク管理のためには、経時的なリスクスコアの変化を理解する必要があります。

Nozomi Networks ダッシュボードは、ゾーン、サイト、その他選択したカテゴリー別に現在のリスクスコアを表示します。リスクが悪い方向に傾いている場合は、ドリルダウンしてその理由と適切なコントロールを追加する必要がある場所を確認できます。安全でないプロトコルをロックダウンしたり、セグメンテーションを強化する必要があるかもしれない。あなたが何をするにしても、リスクスコアは、あなた自身のリスク想定を用いて、あなたの行動が与えた影響の度合いを反映する。リスク・スコアがグローバルで70から始まり、52まで下がったのであれば、投資を正当化するためのROI（投資収益率）が厳しくなったことになる。 

資産リスク機能は、IoT OT 資産に関連するリスクの包括的な概要を提供し、個々の資産、ゾーン、サイト、センサー、および環境全体のセキュリティ態勢について、明確でカスタマイズ可能かつ実用的な洞察を提供します。ユーザーは、セキュリティ・パフォーマンスをベンチマークし、長期的な改善を追跡できるため、運用の回復力を維持・強化するための重要なツールとなります。