OT/IoTシステムへの攻撃はダメージ大–テナブルが説く、リスクと打ち手
今回は「OT/IoTシステムへの攻撃はダメージ大–テナブルが説く、リスクと打ち手」についてご紹介します。
関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。
本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。
Tenable Network Security Japanは12月15日、重要インフラのサイバーセキュリティ戦略に関するプレス向け説明会を開催した。
説明を行った米TenableのDeputy CTO – OT/IoT（副CTO 重要インフラ・IT/IoT担当）のMarty Edwards（マーティ・エドワーズ）氏は、電力供給網やガス・水道、製造業などの工場などで運用されているコンピューターシステムに関し、「長年にわたって、サイバーセキュリティという視点からは見過ごされてきたと言わざるを得ない。それは日本に限った話ではなく、グローバルでも同様だ」と指摘した。
同氏は、グローバルで発生した重要インフラやOT/IoT分野でのサイバー攻撃の事例を紹介するとともに、国内での最新情報として名古屋港（2023年7月、ランサムウェアによる暗号化でシステム停止。コンテナーターミナルが60時間運用停止）、日本航空電子工業（2023年11月、海外子会社から図面データなどが流出）、JAXA（2023年11月、職員らの個人情報流出）などの被害事例を紹介した。
こうした基幹インフラがサイバー攻撃の対象として狙われる理由として、同氏は「影響が大きい」「経済的なメリット」「国家支援組織」「戦略的優位性」「不十分なサイバーセキュリティ対策」「冗長性の欠如」「サプライチェーンの脆弱性」を挙げている。
またITシステムを狙ったサイバー攻撃との違いとして、「ITシステムに対する攻撃では、個人情報など、身代金支払いにつながるような情報の窃取を狙って仕掛けられることが大半だが、OT/IoTシステムに対する攻撃ではシステムそのものを破壊したりサービス停止に追い込んだりするようなものが多く、被害発生のダメージがより大きくなる傾向があると警告した。同時に、ITと同様にこの分野でも身代金狙いのランサムウェア攻撃が急速に増加していることも指摘されている。
こうした動向を受け、企業／組織側の対応策として同氏がまず指摘したのは「経営レベルでこの問題の深刻さを認識すること」だ。実際に米国企業などでは、従来の工場長などの製造現場の責任者に担当させる形ではなく、全社レベルの「CIO／CISOがOTセキュリティの責任を負うようになった」という。
「SEC（米国証券取引委員会）は役員会のレベルでサイバーセキュリティの専門知識が必要になると表明している」とも指摘された。さらに、ランサムウェア被害の拡大を受けた動きとして「保険会社も、サイバーセキュリティに関してはある程度のデューデリジェンス（経営／財務状況などの調査）を満たすことを要求している」という動きも紹介された。
端的に言えば、保険会社のサイバーセキュリティ保険の支払額が増加した結果、ある程度以上のセキュリティ対策が実施されていると確認されないとサイバーセキュリティ保険に加入することすらできなくなるという話である。こうした対応に関しては米国／グローバルが先行しているようだが、将来的には日本にも波及してくるものと予想される。
最後にEdwards氏は、重要インフラやOT/IoT領域でのサイバー攻撃に対する防御策として、現状における有効な対策を具体的に紹介した。同氏が推奨したのは「データや使用しているソフトウェアなどのバックアップを取る」「復旧が確実にできるかどうかをあらかじめテストしておく」、さらに洗練された対策として「システムの状況や脆弱性を可視化する」ことを挙げた。
具体的には、デジタル資産を特定し、さらにOT/IoTネットワークにどのようなデバイスが接続されているのかを把握し、それを手作業で管理するのではなく、適切なテクノロジーを活用して自動的に常時モニタリングできるようにしておくことが重要になる。同氏は「こうしたテクノロジーは既に成熟段階に入っており、しかもOTセキュリティは多くの企業で投資不足の状況にあることもあって、投資対効果が極めて大きい」としている。
2024年に向けた同社の展望を紹介したカントリーマネージャーの貴島直也氏は、2023年のサイバー攻撃は多かったとの認識を踏まえ、2024年も「サイバー攻撃が減ることはなく、同じくらい、もしくはそれ以上の攻撃があるのではないか」と予測した上で、「これまでのセキュリティ対策は、何か被害が起こった時にすぐに対処するという後手の対応だったが、今後は先手を取るような予防的な対策に代わっていくのではないか」としている。
また、クラウド活用の拡大など運用環境が複雑化していることから統合的な監視機能が重要となるとし、「先手を取って、より幅広い環境を一括で見て、その意味合いをつなげて見せる。こうしたツールが評価され、その結果攻撃が減る。こういう動きが来るのではないかとわれわれは信じている」とまとめた。