米国サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、英国の国家サイバーセキュリティセンター（NCSC）、オーストラリア・サイバーセキュリティセンター（ACSC）、カナダ・サイバーセキュリティセンター、FBI、ドイツのBSI、オランダのNCSC-NL、ニュージーランドのNCSC-NZなどの国際的なサイバーセキュリティ・パートナーと連携し、運用技術（OT）のネットワーク接続を保護するための8つの重要原則を示した包括的なフレームワークを公表しました。
今回公開されたガイダンスは、世界中の産業用制御システムおよび重要インフラを脅かす増大するサイバーセキュリティリスクに正面から対処するものです。
OT環境がリアルタイム分析、予知保全、遠隔監視機能を支えるために相互接続を強めるにつれ、組織は機会主義的なサイバー犯罪者と高度な国家支援型の脅威アクターの双方からの攻撃にさらされます。
CISAは、OT環境におけるサイバー侵入が、身体的被害、環境被害、または不可欠なサービスの中断を引き起こし得ると強調しており、その影響は従来のITセキュリティインシデントよりもはるかに深刻になり得ます。
このフレームワークは、重要サービスの運用者、システム所有者、機器メーカーが、新規および既存システム全体で安全なOT接続を設計・実装・管理するための、原則に基づく目標を定めています。
これらの原則は最低要件ではなく、望ましい到達状態として位置づけられており、組織が運用上の制約や脅威状況に応じて統制を調整できるようにします。
実装にあたっては、エクスポージャー管理のアプローチを採用してリスクを特定・低減し、管理用インターフェースを特権アクセス用ワークステーション（PAW）に限定し、可能な場合はジャストインタイムアクセスを活用すべきです。
組織は、DNP3-SAv5、CIP Security、Modbus Security、OPC UAを含む産業用プロトコルの最新の安全なバージョンをデフォルトとし、信頼境界においてスキーマベースのプロトコル検証を実装すべきです。
このフレームワークは、旧式製品がセキュリティ更新を受けられなくなり、最新のセキュリティ緩和策を欠き、管理不能な代替統制を必要とすることで、セキュリティ問題をさらに悪化させると明確に警告しています。
マイクロセグメンテーションを伴うセグメント化されたネットワークアーキテクチャに加え、システムおよびユーザー間で職務分離を行うことで、侵害の影響を限定できます。
組織は、事業継続フレームワークに紐づいた、拠点固有および大規模な隔離計画を策定し、隔離手順を定期的にテストするとともに、例外扱いが必要な重要データフローを特定すべきです。
このガイダンスは、現代の接続要件を想定して設計されていないレガシー技術がもたらす課題に加え、サードパーティベンダーやサプライチェーン統合によって拡大する攻撃対象領域が生む課題にも具体的に対処しています。
組織には、旧式製品を信頼できない存在として扱い、資産置換のタイムラインを設定するとともに、セグメンテーションを恒久的な解決策ではなく一時的な措置として捉えるよう指示しています。
完全なガイダンスはCISAの公式リソースポータルから入手可能であり、世界中の重要インフラ運用者に向けた詳細な実装推奨事項を提供しています。