DCSサイバーセキュリティ: 4つの一般的な課題

ほとんどの人が日常生活の中で洗練された犯罪者と巡り合うことがないように、ほとんどの産業オートメーションのユーザは悪意のある人物からの大きなサイバー脅威に直面する必要はありませんでした。多くの製造メーカや生産者は、自社のシステムがどれほど脆弱であるかを知りません。残念ながら、攻撃の影響は製品の紛失よりも深刻です。

脅威と悪意のある人物が存在します。最近のSolarWinds社のハッキングの影響を受けた18,000社、または2009年にPLCに対するStuxnetマルウェア攻撃の標的となった産業およびエネルギー生産施設に尋ねてください。製造メーカと生産者はますますサイバー脅威、特にランサムウェアやデータ侵害に直面しています。実際、最近の調査への回答者の半数以上が、前年にデータ侵害があったことを報告しました。

プラントがより相互接続され、インターネットに依存するようになり、デジタルトランスフォーメーションが流行語ではなくなり、標準になるにつれて、脆弱性が増加し、リスクが増大します。工場での攻撃は、製品の紛失、予定外のダウンタイム、作業者の安全上の問題、機密情報や専有情報の損失、場合によっては会社のイメージに悪影響を与える可能性があります。

リスクを真に軽減するために、すべての生産者は、そこにあるリスクを知り、彼らの固有の脆弱性を理解し、そこから軽減戦術に優先順位を付けることについて積極的に取り組む必要があります。結論としては、サイバー攻撃から安全だと思い込むだけでなく、システムを積極的に保護する必要があります。攻撃者は絶えず進化しているので、あなたもそうしなければなりません。

DCSサイバーセキュリティ: リスクを評価する

分散制御システム(DCS)に関しては、プラントマネージャとエンジニアはサイバーセキュリティが不可欠であることを知っています。システムの安全を確保するにはどうすればよいですか? そして、システムのすべてのニュアンスを知らない場合、どうすればそれを行なうことができますか?

セキュリティのために、人々はすぐに強力なパスワードを作成することを考え、日常のコンピューティング環境にソフトウェアの更新とパッチを実装する必要性を認識していることがよくあります。しかし、コントローラ、ネットワーキング、HMI、高度な分析、そしておそらく最も重要な人々を含むがこれらに限定されない、プロセスシステムのサイバーセキュリティには、より包括的な計画が必要です。

この計画では、IT/データ管理の側面(コンピューティング、ソフトウェア、ハードウェア)だけでなく、OT (運用技術)のサイバーセキュリティも考慮に入れる必要があります。DCSのようなOTシステムは、プラントの物理的側面を制御し、通常のITセキュリティ対策を超える特別な要件があります。

システムを保護するには、システムを構成するすべての要素とインターフェイスの正確なインベントリを作成し、それらの脆弱性を理解する必要があります。信頼できるサードパーティのパートナが主導するリスクアセスメントは、目の前にあるものを見逃しやすいため、大きな違いを生む可能性があります。この評価は、生産者が脆弱性を見つけ、サイトが許容できるリスクのレベルを理解するのに役立ちます。これにより、生産者は自社の脅威を軽減するための最良の選択を行なうことができます。

セキュリティを向上させるための4つの一般的な課題

システムのセキュリティ保護は非常に困難に思えるかもしれませんが、セキュリティ体制を改善するための一般的に受け入れられている対策があります。自動化されたプラントの接続性がますます高まることで、システムに対する前例のない可視性が提供され、プロセスの改善、効率の向上、収益性の向上に役立つ高度な分析とデータが得られます。しかし、その接続性により、システムが脅威にさらされ、脆弱なままになる可能性があります。

DCS関連のサイバーセキュリティの改善を検討しているプラントの意思決定者は、次の一般的な課題の1つ以上に直面する可能性があります。

1. オープンシステム: Stuxnetコンピュータワームが制御システム全体に簡単に攻撃して拡散したとき、それらのシステムがどれほどオープンであるかが浮き彫りになりました。オープン･プロトコル･ネットワークは、分散制御システムの歴史的な特長であり、通常、大きなメリットと見なされています。しかし、オンラインの接続された制御システムに関連する追加のリスク手段により、生産者はより脆弱になる可能性があります。ゾーンとコンジットモデルは、脅威を軽減し、重要な資産を最も脆弱な領域からセグメント化するのに役立ちます。これにより、オープンネットワークが簡単な攻撃手段にさらされることもなくなります。マネージドファイアウォールは、オープンシステムを保護する上で重要な部分です。
   
   
2. 旧式の機器: すべてのプラントにはさまざまなヴィンテージの機器があり、多くの製造メーカはシステムをアップグレードするために少しずつアプローチしています。つまり、新しいPLCは、Windows XPを実行しているコンピュータと同じネットワーク上にある可能性があります。これらの古いマシンは、特に何年も更新されていない場合、ウイルス、ワーム、ハッカーの潜在的なエントリポイントになります。これは、リスクアセスメントが脆弱性を明らかにし、それらを強化するための戦略を開発できる場所です。大規模なプラントでは、ネットワーク上に廃止されたオペレーティングシステムがまだ存在することさえ知らない場合があります。交換は重要ですが、それが不可能な場合は、防御の層を構築するネットワークセグメンテーションである程度の保護を得ることができます。
   
   
3. 進化する人材: 社内および社外のパートナやベンダーでの従業員の離職は、生産者にとってもう1つの大きな課題です。特にシステムインテグレータの売上高は非常に高いことがよくあります。あなたのプラントとシステムにアクセスできる人々は、サイバーセキュリティパズル全体の重要な部分です。侵害は、無実の過ちや悪意のある過ちによって引き起こされる可能性があります。あなたの会社のユーザアカウントとシステムアクセスを誰が管理しているか知っていますか? 何年もアクティブで未使用のままになっているアカウントはありませんか? サイバーセキュリティ戦略の一環として国際規格を順守し、ユーザを管理することで、リスクを軽減できます。
   
   
4. 不明なROI: 投資収益率が明確な場合、投資に対するマネジメント･バイ･イン(MBI)を得るのは十分に難しい場合があります。サイバーセキュリティやリスク軽減イニシアチブでは、会社がどれだけのお金を稼ぐかではなく、失いたくないものが重要になります。サイバー攻撃は、生産と稼働時間、通信、情報、そして最悪の場合、作業者の安全を失う可能性があります。適切なリスクアセスメントにより、脆弱性、リスク、軽減戦略を評価し、生産者に次の質問をすることができます。どのようなリスクを受け入れるのか。リスク姿勢を快適に感じるために必要な変更を加えるには、どのくらいの費用がかかりますか? 変更を加えることはあなたが考えるほど高くはないかもしれません、そして保護しないための機会費用はいくつかの簡単な手段さえ実行することを諦めるには大きすぎます。リスクの姿勢を判断し、最も重要な資産を保護します。
   
   

必要な結果のためにシステムを保護

脅威はあらゆる方向から発生する可能性があり、実装する防御の層が多いほど、真のリスクを軽減し、統計にならない可能性が高くなります。システムセキュリティに関して言えば、本当の目標はリスク姿勢を改善することです。必要な結果を得るためのいくつかの重要な方法は次の通りです。

• 生産者はDCSが国際規格に準拠していることを確認することで、システムのセキュリティをレベルアップできます。ANSI/ISA-62443-3-3規格は、産業オートメーションおよび制御システム要件のセキュリティガイダンスを提供します。この規格は、多くの産業用サイバーセキュリティの専門家によって、現在および将来のグローバル標準であると見なされています。産業オートメーションのマルチベンダー/ユーザセキュリティの専門家によって書かれたため、特に業界の特異性に取り組んでいます。
  
• エンドユーザが必要に応じてセキュリティを確保できるように、製品やシステムを構築した評判の良いシステムベンダーと提携することが重要です。
  
• DCSを適切に保護するには、進化する計画が必要になります。これらの3つの好ましい結果を念頭に置き、ビジネスの運営に必要な進歩を妨げることのない計画を選択してください。全体的なセキュリティ、柔軟性、デジタルトランスフォーメーションの強化です。

サイバーセキュリティのナビゲートを支援する信頼できるパートナを探す

多くの生産者のように、脅威の状況の真の広がりに気付かない可能性があります。あなたは自分がどれほど脆弱かを知らないかもしれません。幸いなことに、信頼できるプロバイダは生産者のお客様を探しています。これは、継続的かつ進化するサイバー脅威に直面しても、予防的と事後対応型の両方で支援します。

ロックウェル･オートメーションでは、セキュリティを真剣に受け止めており、クラス最高のサイバーセキュリティをお客様に提供したいと考えています。最新のDCSの最新リリースであるPlantPAx 5.0は、システムサイバーセキュリティのTÜV認定を受けており、ANSI/ISA-62443-3-3規格に準拠して、安全なシステムを提供します。リスク許容度とセキュリティ体制を調査するには、包括的なリスク分析についてプロバイダに問い合わせてください。これは、DCSを超えて積極的な姿勢を取るのに役立ちます。