産業制御システムセキュリティの要諦 IEC 62443/ISA 99

産業制御システムセキュリティの要諦 IEC 62443/ISA 99

産業制御システムを守る国際標準

– 産業制御システムを守る国際標準

現代社会において、電力、製造、交通などの重要な社会インフラストラクチャを支えているのが産業オートメーションおよび制御システム（IACS）です。このIACSは、私たちの生活に欠かせない電気、ガス、水道などをはじめ、様々な製品の製造や安全な交通を陰ながら支えています。しかし、近年、これらの重要なシステムに対するサイバー攻撃の脅威が増大しており、その対策が急務となっています。

そこで、国際的に注目されているのがIEC 62443/ISA 99という国際標準です。この規格は、IACSをサイバー攻撃から保護するためのセキュリティ対策の枠組みを提供しています。具体的には、IACSの設計、構築、運用、保守の各段階において、リスク評価に基づいた適切なセキュリティ対策を講じるように求めています。

IEC 62443/ISA 99は、世界中の多くの企業や組織で採用されており、IACSのセキュリティ対策のデファクトスタンダードになりつつあります。この規格に準拠することで、企業は自社のIACSに対するサイバー攻撃のリスクを低減し、事業の継続性や社会全体の安定に貢献することができます。

多層的なセキュリティ対策

– 多層的なセキュリティ対策

現代社会において、情報システムのセキュリティ対策は企業の存続を左右するほど重要な要素となっています。もはや、一箇所を強固に守るという従来の考え方では、巧妙化するサイバー攻撃からシステム全体を守ることは不可能です。そこで、IEC 62443/ISA 99という国際的なセキュリティ規格が提唱する「多層防御」の考え方が重要となってきます。

この規格では、セキュリティ対策を「ポリシー」「システム」「コンポーネント」という三つの階層に分類し、それぞれに対して具体的な要件を定めています。「ポリシー」は組織全体のセキュリティに関する方針や手順を、「システム」は情報システム全体の設計や運用方法を、「コンポーネント」は個々の機器やソフトウェアのセキュリティをそれぞれ指します。

このように、組織全体から個々の要素まで、あらゆるレベルで対策を講じることで、たとえ一部が攻撃を受けても被害を最小限に抑え、システム全体の安全性を確保することが可能となります。

具体的には、「システム」の階層において「ゾーン」と「コンジット」という概念が用いられます。これは、システムをセキュリティレベルの異なる領域（ゾーン）に分割し、領域間の通信を「コンジット」と呼ばれる経路で厳密に管理するというものです。許可された通信のみを許可することで、万が一、一部のゾーンが攻撃を受けても、他のゾーンへの影響を遮断することができます。

このように、IEC 62443/ISA 99に基づいた多層的なセキュリティ対策は、現代の複雑化するサイバー攻撃から情報システムを守る上で非常に有効な手段と言えるでしょう。

リスクベースのアプローチ

– リスクベースのアプローチとは産業制御システム（ICS）のセキュリティに関する国際規格であるIEC 62443/ISA 99では、リスクベースのアプローチを採用することが推奨されています。 これは、画一的なセキュリティ対策を全ての資産に適用するのではなく、それぞれが持つリスクに応じて対策の強度を変えるという考え方です。具体的には、まず組織にとって重要な資産を洗い出し、それぞれの資産が脅威によってどのような影響を受ける可能性があるかを分析します。 この影響の大きさをリスクと呼びます。 リスクは、資産の重要度と脆弱性によって決まります。例えば、電力会社の送電システムは、社会全体に大きな影響を与える可能性があるため、非常に重要な資産と考えられます。 もしも、この送電システムに脆弱性があり、サイバー攻撃によってシステムが停止した場合、広範囲にわたる停電が発生し、人々の生活や経済活動に深刻な影響を与える可能性があります。 このように、資産の重要度と脆弱性を考慮することで、組織はそれぞれの資産が持つリスクを評価することができます。リスクベースのアプローチを採用する最大のメリットは、限られた資源を有効活用できるという点にあります。 組織は、最もリスクの高い資産に対して集中的にセキュリティ対策を講じることで、限られた予算や人員を効率的に活用し、セキュリティ対策の効果を最大化することができます。 近年、サイバー攻撃の件数が増加し、攻撃の手法も巧妙化していることから、全ての資産に対して網羅的にセキュリティ対策を講じることは現実的に困難です。 そのため、リスクベースのアプローチを採用し、重要な資産から優先的に対策していくことが重要になります。

セキュリティレベルと成熟度レベル

– セキュリティレベルと成熟度レベル工業制御システムのセキュリティ規格であるIEC 62443/ISA 99では、セキュリティの強さを測るために「セキュリティレベル」と「成熟度レベル」という二つの指標が使われています。セキュリティレベルは、システムや機器が備えるべき技術的なセキュリティ対策のレベルを表します。これは、攻撃に対する防御能力の高さを示すもので、レベルが高ければ高いほど、より高度な攻撃にも耐えられることを意味します。例えば、外部からの不正アクセスを防ぐファイアウォールや、システムへの侵入を検知する侵入検知システムなどの導入状況によって、セキュリティレベルは変化します。一方、成熟度レベルは、組織のセキュリティ対策プロセスがどの程度確立されているかを表す指標です。こちらは、組織全体でセキュリティ対策がどれだけ体系的に実施されているかを評価します。具体的には、セキュリティポリシーの策定、リスク評価の実施、従業員へのセキュリティ教育、セキュリティインシデント対応計画の策定など、さまざまな項目が評価対象となります。これらのレベルは、組織が自社のセキュリティ対策の現状を客観的に把握し、改善点を明確にするために役立ちます。例えば、セキュリティレベルは高いが成熟度レベルが低い場合は、高度なセキュリティ技術を導入していても、運用や管理体制が整っていないため、十分なセキュリティレベルを確保できていない可能性があります。つまり、セキュリティレベルと成熟度レベルの両方をバランス良く向上させることで、より強固なセキュリティ体制を構築することが可能となります。

認証制度と普及活動

制御システムのセキュリティ対策の重要性が高まる中で、国際規格であるIEC 62443/ISA 99が注目されています。この規格の普及と、それに基づいた認証制度を推進するために、二つの重要な団体が設立されました。

一つ目は、ISAGlobalCybersecurityAlliance（ISAGCA）です。ISAGCAは、IEC 62443/ISA 99に関する情報を広く提供し、理解を深めるための普及活動を行っています。具体的には、セミナーやワークショップの開催、関連資料の公開などを通して、企業や組織が制御システムのセキュリティ対策に取り組むための情報を提供しています。

二つ目は、ISASecureです。ISASecureは、IEC 62443/ISA 99に基づいた認証制度を運営しており、企業や組織のセキュリティ対策レベルの向上を支援しています。認証を取得するためには、厳格な審査を受け、基準を満たしていることを証明する必要があります。認証を取得することで、企業や組織はセキュリティ対策に対する信頼性を高め、顧客や取引先からの評価を高めることができます。

これらの団体の活動により、IEC 62443/ISA 99は世界中で広く認知され、多くの組織で採用されるようになっています。制御システムのセキュリティ対策は、企業や組織にとって重要な課題となっており、今後もIEC 62443/ISA 99の重要性は高まっていくと考えられています。