業界トレンド

レポート:あらゆる業界のリーダーが今後も直面するOTセキュリティの課題

投稿者 Fortinet | 2020年7月29日

製造、公益事業、医療、公共交通、エネルギーなど、世界中の業界でOT(オペレーショナルテクノロジー)ネットワークが使用される今、OTネットワークセキュリティへの関心が高まっています。このような業界は、ここ数年で大きな変革を遂げています。たとえば、製造やプラント運用をより俊敏性にするために設計されたソリューションによって運用環境は格段に効率化されており、OTハードウェアおよびソフトウェア市場は400億ドル規模と推定されています。ところが、大幅な効率化の反面、SCADA(監視制御データ収集)などのシステムがインターネットに接続されるようになったことから、サイバーリスクが急増しています。かつてこのようなシステムはインターネットから完全に分離されていたため、「エアギャップ」が存在していました。ところが、インターネットに接続したことによって攻撃対象領域が広がり、現在では新たなサイバーリスクにさらされています。

ICS(産業用制御システム)のサイバー脅威対策は、OTチームの日常業務の1つです。OTリーダーはセキュリティ保護に日々取り組んでいるものの、侵入する脅威はますます増加および巧妙化し、ビジネスのリスクは高まるばかりです。さらに、2020年にはCOVID-19という新たな脅威も発生し、在宅ワーカーの増加やリモートワーカーをサポートするテクノロジーの採用といった課題にも直面しています。

OTセキュリティを取り巻くさまざまな課題を解説するために、フォーティネットは「2020 State of Operational Technology and Cybersecurity Reportオペレーショナルテクノロジーとサイバーセキュリティに関するレポート:2020年)」をリリースしました。

OTセキュリティに関する洞察

ICS/SCADAシステムを標的にしたサイバー脅威の増加を背景に、OTリーダーは、拡大する攻撃対象領域への対処や、最適なサイバーセキュリティ戦略とソリューションの選定といった新たな課題に直面しています。フォーティネットの最新の調査はこのような課題の理解に主な重点を置いたものであり、製造や工場運営に携わる管理職からバイスプレジデントまでの役職を対象に実施されました。また、回答者は、次に示す4つの業界のいずれかに含まれる企業に所属しています。

  • 製造業
  • エネルギーおよび公益事業
  • 医療
  • 運輸

収集した回答から、OTセキュリティの現状把握に役立つ4つのトレンドが明らかになりました。

1. OTリーダーは、サイバーセキュリティを含む幅広い責務を負っている

OTリーダーの上司は、VP、COO、CEOなど、企業の上層にいる経営陣であることが一般的です。また、大多数(80%)がサイバーセキュリティの意志決定に定期的に関与しており、半分は最終決定を担当しています。OTリーダーの64%はオペレーションプロセスにセキュリティを組み込む責務を負い、71%はITサイバーセキュリティ戦略に常に関わっています。

サイバーセキュリティはOTリーダーが取り組む最優先課題の1つであることを考えれば、以上のトレンドから、OTセキュリティは遠からずCISOの担当業務になることが予測されます。ほとんど(61%)の回答者が、「来年、OTセキュリティの責務をすべてCISOが担うようになる」と考えていることからも、このシフトは必然的です。その原因となっているのは、接続されたOTシステムのリスクと、事業継続性に与える影響の増大です。

2. OTインフラストラクチャに中核的なサイバーセキュリティ対策が実装されているとは限らない

本レポートでは、セキュリティ機能を実装したOTインフラストラクチャの多くに、セキュリティギャップが存在することが明らかになっています。調査対象となった組織の40~50%には、次のプロトコルとセキュリティ機能が実装されていません。

半分以上(58%)の組織が2020年の予算を増額していますが、COVID-19による売上減が影響し、15%は目標額を確保できていません。

3. 今後もセキュリティ機能と分析の課題に直面するOTリーダー

フォーティネットの調査によると、標準指標を一貫した方法で測定できていない組織は36~57%を占めています。追跡 / 報告される領域としては、脆弱性(64%)、侵入(57%)、サイバーセキュリティ対策によるコスト削減(58%)が最も一般的です。一方で、リスク管理において具体的な成果を実現している組織は半分未満(43%)にとどまり、基本的なサイバーセキュリティデータを経営陣に対して定期的に提供していない組織は39~50%です。

また、大半(58%)が、セキュリティソリューションの重要な機能として、セキュリティ分析 / モニタリング / 評価ツールを挙げており、上位3位にランクされています。ただし、このような機能は重視されているものの、53%は「セキュリティソリューションがオペレーションの柔軟性を阻害している」と回答し、半分が「複雑化の原因」と指摘しています。

4. ほとんどのOTリーダーが侵入防止に苦戦

回答者の大部分が、「全体的に、システムへのサイバー攻撃を防止できていない」としています。「過去12ヵ月に侵入は発生していない」という回答はわずか8%でした。また、調査から次の内容が明らかになっています。

  • 90%の組織で、昨年1年間で侵入が1件以上発生
  • 72%の組織で、昨年1年間で侵入が3件以上発生
  • 26%の組織で、昨年1年間で侵入が6件以上発生

セキュリティ侵害が及ぼす影響については、半数以上(51%)が生産性の低下、37%が業務停止による売上損失、39%が物理的な危険を指摘しています。本質的に工業設備での作業には危険が伴うため、これは重大な問題です。

また、OTリーダーは、よくある攻撃方法として、マルウェア(60%)、フィッシング(43%)、ハッカー(39%)、ランサムウェア(37%)、 DDoS(サービス拒否)攻撃(27%)、内部関係者による不正行為(18%)を挙げています。

 

図1:侵入件数と侵入が組織に与える影響

オペレーショナルテクノロジーのセキュリティベストプラクティス

本レポートでは、回答者を2つのグループに分類しています。1つは、過去12ヵ月に侵入が発生していない組織(上位)であり、もう1つは、侵入が10件を超える組織(下位)です。上位グループには、次のようなベストプラクティスが存在しています。

  1. セキュリティオペレーションチームがOTアクティビティを一元的に可視化している可能性は、4倍高くなります。
  2. また、検知およびブロックした脆弱性の追跡と報告を行っている可能性は、133%高くなっています。
  3. CISOまたはCSOがOTセキュリティを担当している可能性は、2倍高くなります。
  4. OTリーダーがOTプロセスにセキュリティ機能を組み込む責務を直接担う可能性は、25%高くなります。
  5. 上位グループがネットワークアクティビティの可視化と監視を一元化する目的でNOCを設置する可能性は、25%高くなります。
  6. 上位グループのOTリーダーが、セキュリティ脆弱性への対応にかかった時間を測定し、それを最優先または第2の優先事項として取り組んでいる可能性は、25%高くなります。
  7. OTリーダーが業界法規制へのコンプライアンスについて経営陣に報告し、リアルタイムのコンプライアンスレポートの自動化を推奨する可能性は、25%高くなります。

上記の7つのベストプラクティスにより、生産性の向上、サイバーセキュリティ対策の強化、業界の変化への迅速対応といったメリットを期待できます。

終わりに

ICS/SCADAシステムの脆弱性が高まり、深刻な侵入が増加する今、フォーティネットの最新レポートでは、OTリーダーの大部分がサイバーセキュリティ対策に後れをとっていることが明らかになりました。OTリーダーの多くは、適切なセキュリティツールの導入や、新たに接続されたシステムを狙う高度なサイバー脅威への対抗といった課題に頭を悩ませています。一方で、本レポートの「上位グループ」のように、OTサイバーセキュリティの管理で成果を挙げているリーダーも存在します。このようなリーダーから学び、ベストプラクティスを実践することで、重要なOTインフラストラクチャの一元的な可視化とプロアクティブなセキュリティ対策を推進すれば、形勢を逆転させることも可能です。

OTセキュリティの課題について詳しくは、フォーティネットの「2020 State of Operational Technology and Cybersecurity report」オペレーショナルテクノロジーとサイバーセキュリティに関するレポート:2020年)をご覧ください。

ICS/SCADAの接続環境でセキュリティを拡張し、コンプライアンスを維持するフォーティネットのソリューションについて、詳しくは こちらをご覧ください。

タグ: