ACSCとCISA、重要なOTサイバーセキュリティ指針を発表

新しいガイドPrinciples of Operational Technology Cybersecurityが、オーストラリア・サイバー・セキュリティ・センター（ACSC）により、CISAおよび国際パートナーとの協力のもと公開されました。 

本ガイドは、運用技術（OT）環境のセキュリティ確保を目指す組織、特に重要インフラ（CI）分野の組織にとって極めて重要な情報を提供します。

また、OTシステムにおけるリスク管理とサイバー脅威からの防御に役立つ、以下の基本原則を示しています。

• 安全性：OTシステムにおける生命に関わるリスクを防ぐため、安全性を最優先する

• 業務知識：重要なシステムとプロセスを理解し、それらを保護する

• データ保護：価値の高いOTデータ、特にエンジニアリング構成データを保護する

• ネットワーク分離：OTネットワークをITおよび外部接続から隔離する

• サプライチェーン・セキュリティ：サプライヤーやベンダーがセキュリティ基準を満たすことを確実にする

• 熟練した人材：OTのサイバーインシデントを監視し、特定し 、対応できるようスタッフを訓練する

OT環境における安全性

第1の原則は、OT環境における安全性の最重要性を強調しています。従来の企業ITシステムとは異なり、OTは物理プロセスを直接扱うため、侵害されれば人命を脅かす可能性があります。例えば、エネルギーや 水道システムの障害は、公衆の安全やサービスに深刻な影響を及ぼし得ます。

業務知識とサイバーセキュリティ

第2の原則は、深い業務知識の必要性を強調しています。組織は、サイバーインシデントにより適切に対処するため、OTシステムとプロセスを深く理解していることを確実にすべきです。重要な実践としては、重要システムの特定、各プロセスがどのように動作するかの理解、そして内部・外部双方の脅威からこれらを防御することが挙げられます。

OTデータの保護

ガイドに含まれるもう一つの重要原則は、OTデータの保護です。ネットワーク図やプロセスのシーケンスといったエンジニアリング構成データなどのデータは、攻撃者にとって価値が高い場合があります。OT環境は数十年にわたり変更されないことも多いため、この情報を保護することは、標的型サイバー攻撃を防ぐうえで不可欠です。

OTセキュリティのためのネットワーク分離

さらに、本ガイドは、OTネットワークを他のネットワークから分離する重要性を強調しています。OTを企業ITおよび外部ネットワークから切り離すことで、インターネットに公開されたサービスやベンダー接続を介した侵害リスクを低減できます。この対策は、従来のセキュリティ制御を回避し得る攻撃を防ぐうえで重要です。

ネットワーク分離について詳しく読む：ゼロトラスト・セキュリティ強化におけるマイクロセグメンテーションの役割

OTサプライチェーンの保護

サプライチェーンの保護も、OTサイバーセキュリティにとって不可欠です。ベンダーやサービスプロバイダーがOTシステムへアクセスする機会が増えるにつれ、組織は、これら外部パートナーが厳格なセキュリティ基準を順守していることを確実にするための厳密な評価を実施しなければなりません。サプライヤーやサービスプロバイダーを適切に審査することは、OTセキュリティ維持の要です。

OTサイバーセキュリティの鍵としての人

最後の原則は、OTサイバーセキュリティにおける 熟練した人材の役割を強調しています。十分に訓練されたスタッフは、OT環境におけるインシデントの監視、検知、対応に不可欠です。訓練と意識向上を通じて強固なセキュリティ文化を築くことは、OTシステムの 長期的な安全性とレジリエンスを確保するうえで重要です。