最新セキュリティマネジメント（第19回） 産業用制御システムのセキュリティ強化

　電力、ガス、水道、鉄道といった社会基盤や、石油、化学、鉄鋼など多くの工場・プラントにおいて、産業用制御システムが監視、制御などに用いられている。こうした産業用制御システムは、これまでスタンドアローン型で利用されてきた。しかし近年、インダストリー4.0やIoTの進化によってインターネットに接続されるケースが増えている。

　インターネットに接続されればセキュリティリスクは増大する。重要な社会基盤や多くの産業で用いられている産業用制御システムを守るために何が必要なのか。IPAが公開した、ドイツ連邦政府がまとめた「産業用制御システム（ICS）のセキュリティ－10大脅威と対策2022－」を参考に考えてみよう。

インターネット経由で広がるマルウエア感染

　IPAは2022年12月に、ドイツ連邦政府の情報セキュリティ庁（BSI）がまとめた「産業用制御システム（ICS）のセキュリティ－10大脅威と対策2022－」の日本語版を発表した。そこでは、近年セキュリティリスクの増大が指摘される産業用制御システムがさらされている10の脅威とその原因、脅威のシナリオ、そして脅威を軽減するための対策を解説している。

　10の脅威のうち特に注目したいのは、2019年から増加傾向にある脅威だ。その多くがインターネットなど外部と接続されるようになったことに起因している。ここでは中でも増加傾向が顕著な「インターネットやイントラネット経由のマルウエア感染」と「サプライチェーンにおけるソフトウエアおよびハードウエアの脆弱性」について取り上げてみたい。

　「インターネットやイントラネット経由のマルウエア感染」の原因は企業ネットワークで使われているOSやデータベース、ブラウザ、電子メールなどのコンポーネントの脆弱性にある。これらのコンポーネントにはほぼ毎日新たな脆弱性が発見され、サイバー攻撃者はその脆弱性を突いてくる。

　攻撃者がインターネット上の脆弱性を悪用してイントラネットに侵入し、悪意を持ったソフトウエアであるマルウエアをイントラネット上に忍ばせる。産業用制御システムが接続されているネットワークに攻撃者が侵入しても、必ずしも従業員が気付くとは限らない。

　想定される脅威のシナリオとしては、電子メールの添付ファイルやオフィス文書などを介したり、細工された外部サイトに誘導されたりすると、産業用制御システムが感染する。感染すると産業用制御システムのコンポーネントがマルウエアの操作によって悪用されたり、企業Webサイトが攻撃されたりする。

　対策としては従来のようなファイアウォールやウイルス対策ソフトなどの水際対策に加えて、ネットワークを最大限分離して攻撃経路をできるだけ限定したり、産業用制御システムのネットワークに定期的かつタイムリーにパッチを適用したり、侵入検知システムで通信状況をモニタリングしたりするなどが挙げられる。

サプライチェーンの脅威はより複雑で広範囲

　もうひとつの「サプライチェーンにおけるソフトウエアおよびハードウエアの脆弱性」についてはさらに問題が複雑だ。サプライチェーン自体が相互に関連性の高い、非常に複雑な構造になっているため、そこではさまざまな情報機器、通信ネットワークが利用されているからだ。

　「産業用制御システム（ICS）のセキュリティ－10大脅威と対策2022－」の日本語版の問題と原因の説明の項では、「サプライチェーンの長さによっては、すべての関係者が脆弱性情報を入手し、対策を講じて顧客に通知するまでに時間を要することがある」とサプライチェーンのセキュリティリスクの特質が指摘されている。

　サプライチェーンにおける脅威は、サプライチェーンのどこからでも発生する可能性があり、より川上に近い段階に脆弱な部分があるほど、より多くの製品が影響を受ける。攻撃者によって意図的に悪意のある機能や脆弱性が組み込まれてしまうと、製品自身の脆弱性の特定が難しくなってしまう場合もある。

　脆弱性を突かれてサプライチェーンに侵入されてしまうと、そこから2次攻撃を受ける可能性もある。広範囲のアクセス権が乗っ取られたり、任意のプログラムが実行されてしまったりする恐れもある。その被害はサプライチェーンに接続されたすべての産業用制御システムにも広がってしまう。

　対策としては資産管理を徹底し、すべてのハードウエアとソフトウエアに対して脆弱性対策を徹底することだ。アップデートやライブラリには、できる限り信頼できるソースのものを使用し、使用する前に、少なくともその時点では脆弱性が指摘されていないことを検証するといった対応が望ましいとされる。

　産業用制御システムにはこの2項目以外にもさまざまなセキュリティリスクがあり、効果的な対策を講じるためには、まずは自社のセキュリティレベルを確認する必要がある。「産業用制御システム（ICS）のセキュリティ－10大脅威と対策2022－」の日本語版では企業向けのセルフチェックシートも提供されている。現状を把握するために活用してみてはいかがだろうか。