Help Net Securityによる今回のインタビューでは、Marathon PetroleumのCISOであるMary Rose Martinez氏が、自動化が製油所やパイプライン、ターミナルの奥深くまで浸透するにつれてセキュリティに何が起きるのかについて語っています。
同氏は、運用技術(OT)をエアギャップで隔離するという従来の発想がなぜ薄れつつあるのか、Purdueモデルが生産を止めることなく統制を適用する上でどう役立つのか、そしてベンダーやそのさらに先のベンダーが鍵を握る中でサプライチェーンリスクがどこに存在するのかを説明しています。また、国家に関与する攻撃者がエネルギーシステムを探ってくる状況下での従業員のクロススキル化や、政府機関との連携についても言及しています。
マラソン社は製油所、パイプライン、ターミナルにまたがる広大な事業基盤を運用しています。これらの資産の奥深くまで自動化を進める中で、セキュリティ境界がどこに移動したことがチームにとって最も意外でしたか。
私たちは、運用技術(OT)環境をエアギャップで隔離するという従来の概念が事実上失われつつあるという発想の転換を余儀なくされてきました。OT環境はますますデジタル化が進んでおり、その中にあるプログラマブルロジックコントローラ(PLC)、ヒューマンマシンインターフェース(HMI)、監視制御データ収集システム(SCADA)といった産業制御システムに新たな露出をもたらしています。
この状況はエネルギー業界に限った話ではありません。製造業や運輸業など他の業界でも、同様のデジタル移行と露出の増大が起きている可能性が高いと考えられます。自動化がOT環境の奥深くまで浸透するにつれ、セキュリティチームは既存の防御・保護統制の妥当性と有効性を確認するための相応の再評価を行い、必要に応じて調整していかなければなりません。
多くのセキュリティの考え方は、パッチを当てて再起動できることを前提にしています。しかし接触分解装置は「パッチチューズデー」に再起動できるものではありません。この運用上の現実は、自律システムを取り巻く防御をどのように設計するかにどう影響していますか。
マラソン社は、安全で信頼性が高く、環境に配慮した operations(操業)に対する揺るぎないコミットメントを持っています。これをサイバーセキュリティの観点から支えるため、私たちは広く受け入れられているPurdue Enterprise Reference Architecture(PERA)モデルを活用しています。このモデルは、環境の保護と運用上の混乱の最小化とのバランスを取るのに役立ちます。
このモデルの情報層と運用技術層、およびその間に適切なセキュリティ統制を実装することで、リスクを軽減しながら通常の運用サイクルとセキュリティ対応を同期させる余地が生まれます。
自律性は、ベンダーのプラットフォームやサードパーティ製のモデル、リモートサポート用のトンネルとセットでやってきます。この依存関係の連鎖の中で最も懸念しているのはどの部分ですか。また、ベンダーの技術を導入する前に、そのセキュリティ体制を変えさせるためにどのような影響力を持っていますか。
一般論として、サプライチェーンにおける大きなリスクは、企業が可視性と統制力を最も持てていない部分に存在します。私たちは自社環境へのアクセス方法については高い統制力を持っていますが、ベンダーの製品やセキュリティ慣行については統制力が最も低くなります。こうしたリスクは、サードパーティベンダーにとどまらず、サプライチェーンのさらに先にいるn次ベンダーにまで及びます。
私たちのリスク軽減の取り組みには、新たな製品やサービスを評価・導入する際、また重要な変更が生じた際に、適切なデューデリジェンスや評価を実施し、契約上の文言を活用することが含まれます。主要ベンダーとのパートナーシップを構築することも重要です。それによって製品やサービスへの意見提供が可能になったり、インシデント発生時に共同で対応し、できるだけ早く運用を復旧させたりすることができるためです。
プロセスが自律的に動くようになると、それを取り巻く労働力にも変化が生じます。化学プロセスを理解する人材とコードを理解する人材との間にスキルギャップが生まれているのを実感していますか。人的な最後の砦としての意味を保つために、そのギャップをどのように埋めていますか。
目指すべき姿は「Calm Technology(静かな技術)」という概念であり、システムが目の前の人間のタスクを支援する中でできる限り目立たない存在であることです。これを実現するには、デジタルシステムを開発・保護・提供する人材が、事業プロセスや業務内容を理解していることが不可欠です。同時に、デジタルの知識をある程度民主化していく必要もあります。
特に人工知能の分野における技術の進歩は、一例として、コード化のハードルを下げる助けになっています。とはいえ、これによって人材のクロススキル化の必要性がなくなるわけではなく、むしろ必要とされるスキルの内容が変わる可能性があります。私たちの取り組みの一環として、従業員のさまざまなニーズや関心に対応しながら社内のデジタルリテラシーを高めるため、多様な学習経路を整備しています。
重要インフラの運営者は、CISAやTSAの指令、そして国家に関与する攻撃者がエネルギーシステムを探るようになった脅威環境から、ますます大きな圧力にさらされています。自律化への移行は、報告する内容、防御する対象、そして敵対者がすでに知っていると想定すべき内容をどのように変えていますか。
私たちは、国家の重要インフラにおける自社の役割と立ち位置を理解しており、脅威の状況に応じて戦略と統制を継続的に調整しています。また、技術の進歩に見合う形で、既存の保護・防御統制の有効性を再評価し、それに応じて調整を行っています。
各種政府機関との連携は、自社の防御と規制要件の遵守の両面において引き続き重要な鍵となっています。提供される情報を活用してリソースを最も効率的に配分することから、業界全体にとって実効性のあるセキュリティ規制の策定に意見を提供することまで、その関わり方は多岐にわたります。
