IT/OTセキュリティで問われるのは専門性–ClarotyのバルディCEO

今回は「IT/OTセキュリティで問われるのは専門性–ClarotyのバルディCEO」についてご紹介します。

関連ワード （CIO／経営、トップインタビュー等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　近年は、制御系システム（OT）領域でサイバーセキュリティ対策が重要なテーマになっている。ランサムウェアを使ったサイバー攻撃の影響で自動車メーカーが国内工場の稼働を停止したり、病院では医療システムが被害を受けて診療ができなくなったりする事態が相次ぐ。OTセキュリティベンダーのClarotyで最高経営責任者（CEO）を務めるYaniv Vardi（ヤニヴ・バルディ）氏に、顧客の現状や事業動向などを聞いた。

　Clarotyは2015年に創業し、米国ニューヨークを本拠として欧州およびアジア太平洋地域で産業制御システムや医療システム、ビル管理システムなどを対象とした設備資産の検出・可視化、セキュリティ管理、脅威検知、リモート接続の各種機能を備えるプラットフォーム製品・サービスを手がける。世界で1万カ所以上の工場や2000カ所以上の病院などが同社のプラットフォームを導入している。

　Vardi氏によると、顧客が直面する最大のセキュリティ課題が、サイバー攻撃に狙われる恐れのある設備資産の把握になる。約6割がまだサイバーセキュリティ対策の重要性を認識し始めた段階にあり、約3割は脆弱性管理などのセキュリティ対策に乗り出しているが、脅威対策の段階にまで進んでいるのは1割程度だという。

　「OT領域では、生産性や利便性の向上を目的にしたIT活用が始まり、IoTなどネットワークに接続する機器が急増している。このペースにサイバーセキュリティ対策が全く追いついていない状況だ」（Vardi氏）

　従来のOTシステムは、基本的に独自ネットワークで運用され、情報システム（IT）系のネットワークやインターネットと直接的にはつながっていなかった。しかし現在は、OTシステム側のデータをITシステムに取り入れて分析し、稼働を最適化したり故障などを未然に防いだりする取り組みが広がる。OTシステムメーカーも相次いでクラウドサービスを立ち上げ、顧客の拠点にあるOTシステムと接続して、リアルタイムな高度運用を実現させようとしている。

　ただ、上述した独自ネットワーク内での運用ならサイバー攻撃などのリスクが低いと見なされ、OTのサイバーセキュリティがITシステムほどには進んでいなかった。それにもかかわらずクラウド接続などが急に始まり、多くのOTシステムがサイバー攻撃などに対して脆弱（ぜいじゃく）な状態に置かれてしまっている。また、OTシステムはITシステムよりも長期間運用されるケースが多く、最新のITとサイバーセキュリティを実装したOTシステムへすぐに置き換えればいいというわけにもいかない。

　「OTシステムを狙うサイバー攻撃は、10年ほど前まではわずかだったが、現在は数千件規模と言っても過言ではない。ここ数年のランサムウェアの侵害だけを見ても、公共組織では約60％、病院では約80％も増えている」とVardi氏は指摘する。

　こうした状況からOT領域のサイバーセキュリティに進出するベンダーも増えている。Vardi氏は同社の強みとして、OT領域の専門性、プラットフォームソリューション、エコシステムの広がりをアピールする。

　「特にOTシステムの脆弱性については、われわれの調査チームがこれまで400件以上を発見している。OTシステム特有のプロトコルも450種類以上をカバーしており、競合よりも多い。またプラットフォームのアプローチにより、資産の検出や可視化、脅威の検知、リスクを低減するための管理まで単一の仕組みで行える。エコシステムについてもOTメーカー、ITセキュリティベンダー、マネージドサービスプロバイダーと連携している」（Vardi氏）

　特にエコシステムでは、SiemensやSchneider Electric、Rockwell Automation、CrowdStrike、Cybereason、Fortinet、Amazon Web Services（AWS）、IBM、ソフトバンクなどと協業しており、100種類以上のソリューションも開発済みだという。

　上述したように多くの顧客は、OTセキュリティの重要性を認識して、保護すべき資産の把握に乗り出した段階にある。Vardi氏も、まずは資産の可視化を最優先すべきであり、同社のソリューションとしては「ハイジーン」（衛生、健全などの意味）に主眼を置き、顧客のビジネスに支障の少ないセキュリティ対策を価値として、その提供に注力していると述べる。

　「OTシステムは、脆弱性が見つかったからパッチを適用するために『生産ラインを止めましょう』と言える環境ではない。このため、例えばOTメーカーとも連携し、セグメンテーション技術を活用して安全にパッチを適用するといった顧客のセキュリティリスクを低減する仕組みを用意したり、OTシステムへの安全なリモート接続方法を提供したりしている。これにはOTのさまざまな分野の専門性が必要で、われわれも航空分野を加えるなど、OTの専門分野をさらに広げていく」（Vardi氏）

　また日本市場に進出して日が浅いが、Vardi氏は、「われわれにとって日本は最も成長性の高い市場であり、世界的なメーカーやOTベンダーも数多く、投資を拡大している。製品やサービスはもちろん、教育やトレーニング、技術資格認定などの日本語化を進め、日本の顧客とパートナーに貢献していく所存だ」とも述べている。