実用的な継続的エクスポージャー管理の構築

PLC、ゲートウェイ、リレー、ネットワーク機器といった制御技術(OT)資産のライフサイクルと、それぞれの重要度との関係性を考慮し、陳腐化管理を検討してください。重要な資産の陳腐化状態(「アクティブ」、「アクティブマチュア」、「制限」、「生産終了」、「廃番」)は、可用性に関する関連リスクの重要な指標です。製造メーカによるサポートの終了、交換の課題、アップデートの不足といった要因は、これらのリスクに大きく影響し、ひいては生産プロセスや事業全体の継続性に影響を及ぼす可能性があります。

同様に、重要な資産の基本的な健全性パラメータをモニタすることは、潜在的な二次的な脅威を予測または特定する上で役立ちます。CPU使用率の大幅な上昇、新しいプロセスの存在、またはプロセス権限レベルの変更は、悪意のあるアクティビティの兆候である可能性があります。重要な資産の健全性を積極的に追跡し、これらの指標を他のコンテキストデータと相関させることは、効果的なリスク軽減と新たな問題の早期検知に不可欠です。

資産の陳腐化と健全性パラメータに関する情報はそれぞれに価値がありますが、それらを統合することは継続的な脅威エクスポージャー管理の基盤となります。例えば、CPUやメモリのアップグレードといったシステム容量の拡張は、資産が製造中止になっていると困難になる可能性があります。システムを同じ製造メーカまたは別の製造メーカの代替品に置き換えるには時間がかかり、ファームウェアバージョンの違いや機能の異なる新しいインターフェイスといった技術的な影響を予測することが難しい場合があります。これらの考慮事項は、特に化学や医薬品などの規制対象産業において、重要資産に影響を与える危機の際に特に重要になります。これらの分野では、生産プロセスを支えるインフラへの変更や更新は、確立された手順に基づいて検証する必要があります。

包括的な360°の可視性の実現は、効果的なプロセス継続管理に不可欠です。このアプローチにより、組織はサイバーセキュリティにとどまらない根本的な問題を予測し、計画外の運用停止を積極的に防止することができます。

このプロアクティブなアプローチを基盤として、OT資産の構成変更をモニタする機能は、運用上のリスクを特定し、計画外の運用停止の可能性を予測するための貴重なコンテキスト情報として役立ちます。重要な資産内の変数が予期せぬタイミングで変更された場合、根本的な問題の早期兆候となる可能性があります。これらの変更は、資産内部で発生し、認証されたユーザによって承認されたシステムを介して実行されるため、ネットワーク･モニタ･ツールでは検出されないことがよくあります。関連資産に対して、指定されたプラットフォームを使用して承認された担当者が変更を実行したことを確認することは可能ですが、そのような変更の性質と範囲が継続的な運用にとって安全であるかどうかを評価することは依然として困難です。

ファイアウォールがレベル4からレベル3へのアクセスによるイベントを検出し、その後、Windows管理者が監視制御およびデータ収集(SCADA)サーバ上のオペレーティングシステム構成を変更したことを示すログエントリが記録された場合(ネットワーク侵入検知システム(NIDS）から生成されたトリガと相関関係にある場合)、SCADA環境におけるこの変更の重要性について、さらなる評価が必要になる場合があります。オペレーティングシステムのログにアクセスできる場合は、対応するNIDSアラートと相互参照することで、貴重なトレーサビリティを提供できます。このアプローチにより、制御技術(OT)部門のセキュリティ･オペレーション･センター(SOC)は、ファイアウォール、Windowsサーバ、NIDSからの情報を活用し、プロセス変数の状態を照会することで、包括的な調査を実施できます。侵害された状況や誤検知を検出する能力が向上し、計画外のダウンタイムを特定して防止する効率が向上します。さらに、具体的なユースケースが決定したら、許可または禁止されているユースケースやさまざまなソースからの異常のカタログに基づいて検出ルールを設定することで、自動化を実装できます。複数のコンソールを操作する必要はありません。このアプローチにより、SOCのOT運用が合理化され、運用効率がさらに向上します。

リスクを最小限に抑える戦略を検討する際には、OT資産におけるアカウントとユーザのアクティビティをモニタすること、そしてシステム内に存在する承認済みソフトウェアと承認されていないソフトウェアの両方を特定することの重要性も認識することが重要です。

非アクティブなアカウント、特に過剰な権限が付与されているアカウントや脆弱なパスワードで保護されているアカウントは、さまざまなシステムにおける攻撃対象領域を不必要に拡大させてしまいます。

同様に、ソフトウェア部品表(SBOM)の作成は、CEMの観点から特に重要です。このアプローチにより、承認されていないソフトウェアの導入インスタンス数を文書化し、これらのソフトウェアがインストールされている資産のプロセスにおける重要性を評価するなど、工場レベルで蓄積されたリスクをより正確に測定することが可能になります。

パッシブなネットワーク･モニタ･ツールでは、プラントソフトウェアの包括的なインベントリを生成するには不十分であり、継続的な脅威エクスポージャー管理プログラムに見落としがちな盲点を残します。そのため、この要件を効果的に満たす補助ツールを活用する必要があることがよくあります。しかし、これらのソリューションでは、別々のコンソールを介した運用、保守、監視が必要になります。その結果、運用負荷が増加し、複数のプラットフォームにまたがるオペレータへの追加トレーニングが必要になります。

規制とコンプライアンスの溝を埋める

OT資産の脆弱性をモニタし、包括的なリスクの観点から可用性を確保するという要件に加え、OT資産に対するシステム強化、バックアップ、ウイルス対策といった企業ポリシーの遵守状況を評価する必要もあります。ポリシーの遵守状況を定期的かつ体系的に評価し、準拠している資産と準拠していない資産を継続的に特定し、その根本原因(例: オープンポート、SSHアクセス、Syslogステータス、IPソースルーティング、パスワード保護、USBストレージ管理、バックアップステータス、ウイルス対策バージョンなど)を特定することが不可欠です。

規制コンプライアンスは事業運営において不可欠な要素です。遵守違反は、多額の金銭的罰則、法的措置、経営陣レベルでの刑事責任、さらには特定の業種における事業運営に必要なライセンスの取り消しにつながる可能性があります。例えば、欧州NIS2指令の施行により、組織は中間管理職から上級管理職に至るまでの内部報告を強化し、コーポレートガバナンス機関による規制コンプライアンス状況と関連リスクの可視性を向上させました。

NIS2とコーポレートガバナンスの要求への対応

経営管理チームは、規制要件へのコンプライアンスを反映するダッシュボードを構築する責任を負っていますが、多くの場合、これらのレポートを効率的に生成･自動化するために必要なツールを保有していません。さらに、各要件またはユースケースにおける重要リスク指標(KRI)を特定し、適切な測定指標を決定し、組織が正常または許容可能とみなす閾値を確立することが不可欠です。また、コンプライアンス測定ツールを既存のITおよびOTシステムに統合し、レポート生成を自動化して効率性を確保することも必要です。これは企業にとって大きな課題です。統合と自動化のスキルは通常ITチームに備わっているのに対し、ユースケースと関連指標の特定は運用チームに委ねられているためです。したがって、これらの相互作用が自然に発生するとは限らないとしても、部門横断的な理解と連携が不可欠です。

CEM (継続的エクスポージャー管理)が提唱する包括的な可視性を実現するために、事業継続性に関連するコンテキスト情報のソースを継続的に特定することができます。これらの情報源には、継続性ポリシーに従ったバックアップコピーの維持、ウイルス対策データベースの最新状態の確保、重要なプロセス変数のモニタ、NIDSネットワークおよびNetFlow NVEのインテリジェンスデータの収集、ログの効果的な管理、機器構成の解析などが含まれます。こうした実践は、CEMの成熟度を高めるために不可欠です。

多くの組織は、CVE、CVSS、サイバーセキュリティリスク、パッシブなネットワークモニタによる異常な動作の検知など、従来の脆弱性ベースの手法に加え、重要な情報源やコンテキスト評価に対応するために複数のツールを活用する必要があります。その結果、セキュリティ部門やリスク管理部門は、それぞれが特定の機能に最適化されながらも独立して運用されている、単一目的のプラットフォーム群を管理せざるを得ない状況に陥ることがよくあります。こうした断片化により、チームはユーザレベルと管理者レベルの両方で多数のシステムに関する専門知識を習得し、特性の異なる複数のプラットフォーム間で類似のユースケースを再現し、さまざまなコンソールを頻繁に切換える必要があります。

このシナリオでは、CEMへのアプローチは、ソース、データ、およびさまざまなレポートを集約するものとして提案されています。これらの集約は、通常は手動で行なわれますが、最良のケースでは、外部ツールによってサポートされる何らかの自動化と分析を通じて行なわれます。

このモデルの問題は、効率性が低く、運用が複雑になることです。

このアプローチにおける運用上の課題の1つは、複数のコンソール間でのアクティビティの調整です。ダッシュボードの作成を自動化し、重要なプロセス資産を監視するためのターゲットを絞ったダッシュボードを生成するには、高度な分析レイヤ(PowerBI、Cloudera、Q-Likなど)と機械学習(ML)テクノロジを活用したカスタム統合を開発する必要があることがよくあります。

財務的な観点から見ると、集中型レポートツールの導入には、開発とコンテキスト･データ･プラットフォームとの統合に先行投資が必要です。さらに、プラットフォームのライセンス取得、プラットフォーム･データ･フィードの維持、継続的なトラブルシューティング作業など、多額の継続コストが発生する可能性があります。

この概念は長年にわたりIT業界で広く検討されてきましたが、運用の複雑さは、特にOT環境特有の要件を考慮すると、CEMの高い成熟度を達成する上で依然として大きな課題となっています。最近の調査によると、CEMの実践が十分に成熟していないと、ハードウェア障害、ソフトウェアの問題、人為的ミス、サイバーセキュリティインシデントなど、可用性損失のさまざまな原因を積極的に特定することが難しく、生産現場における計画外停止の約50%に寄与していることが示されています。

この複雑さが、組織におけるCEMの成熟度の達成を阻害しています。ロックウェル･オートメーションの2025年度の「スマートマニュファクチャリング報告書」によると、38%の組織がすでにこの方向で高度な分析プロジェクトに取り組んでいます。しかし、SANS ICS/OTによる調査「2023's Challenges and Tomorrow's Defenses」によると、CEM機能を実現する高度な運用分析モデルを開発する社内能力を持つ組織はわずか15%にとどまっています。

さらに、これらのソリューションは直接的に実行できるように設計されていることはほとんどないことにも留意する必要があります。つまり、CEMプラットフォーム自体から修復メカニズムを有効化することは通常できず、ユーザはさまざまな専用プラットフォーム(アップデート、パッチの展開、ユーザおよびアカウント管理、Bastionパラメータの調整など)の個別のコンソールにアクセスする必要があります。パッチ適用、OS構成、アカウント管理、ポートの閉鎖など、それぞれのアクションには、通常、個別のツールが必要です。

このような企業能力不足の理由を理解するには、技術資産に起因する問題による予期せぬシャットダウンの防止とエクスポージャー管理のための自動化されたEMFプラットフォームの開発に何が必要なのかを理解する必要があります。

図8「継続的なエクスポージャー管理の構築。組織が失敗する理由」に示したように、CEM機能の自動化と統合の責任は通常、IT部門にあります。スクリプト開発、API統合、ダッシュボード、自動化プレイブックなどのタスクは、通常IT部門の管轄範囲です。しかし、ITチームは、開発すべきユースケースを決定し、重要リスク指標(KRI)を特定し、それらのKRIを計算するための指標を定義するための、生産パラメータに関する十分な知識を欠いていることがよくあります。さらに、現在のリスクレベルの測定、リスク傾向のモニタ、重要なアラートの生成、重要な領域におけるSLTとSLAのパフォーマンス分析に不可欠な、許容可能なスレッショルド(閾値)や連続性パラメータを確立する能力がIT部門にはない場合もあります。

実用的な修復への道筋

SecureOTプラットフォームは、データの取得、正規化、コンテキスト情報によるエンリッチメントから、高度な相関分析と機械学習、そして対応と修復に至るまで、プロセス全体を管理する統合テクノロジを提供します。このアプローチは、これまで特定されていた運用上および財務上の非効率性に対処し、排除します。

レポートレイヤを備えた単一のツールに機能を統合することで、統合の複雑さが軽減されます。SecureOTプラットフォームは、多数の単一用途プラットフォームにかわるネイティブ機能を提供し、外部プラットフォームとシームレスに統合してログを収集･一元管理し、分析とレポート作成を可能にします。ユースケースとダッシュボードはこの統合環境内で開発され、プラットフォームは、パラメータ変更、アップデート、パッチ管理、ソフトウェア削除、アカウント削除といった運用上のアクションを、ロールベースのアクセス制御を通じて実行します。ロールベースのアクセス制御は、ローカルディレクトリまたは社内ディレクトリ(利用可能な場合)と統合可能で、最小権限ポリシーに準拠しています。その結果、SecureOTプラットフォームは、リスクとエクスポージャーのモニタと評価だけでなく、リスク軽減活動の実行も可能にする包括的かつ実用的なテクノロジとして機能します。これにより、SecureOTプラットフォームは、実用的な競合エクスポージャー管理(CEM)プラットフォームとなります。

コンプライアンスと規制への適合の自動化

コンプライアンスに関しては、SecureOTプラットフォームは、NIS2、NERC-CIP、CSCなどの規制コンプライアンスフレームワークに関連する運用技術パラメータ、および強化、デバイスの使用、ソフトウェア管理、バックアップ手順、基本的なログ保持機能などの内部ポリシーを継続的にモニタします。

コンテキストアウェアなサイバーセキュリティとリスクアセスメント

サイバーセキュリティの観点から見ると、このアプローチは、資産インベントリ、脆弱性評価、リスク評価、ルールベースと異常ベースの両方の手法による検知といった従来の手法を網羅しています。また、ユーザ定義の資産重要度に基づいて決定される重要度評価の開発も含まれます。従来のアプローチに加えて、ライフサイクルステータス、アカウントとユーザ、コンプライアンスステータス、バックアップステータスなど、関連するすべてのコンテキスト情報が組み込まれています。この包括的な視点により、より正確なリスクの評価が可能になり、OTプロセスの継続性確保に重点を置くことができます。

一元管理とマルチベンダー統合

OTアセットマネジメントは重要な機能であり、SecureOTプラットフォームはすべてのデバイスの一元管理を可能にします。この統合により、アップデート、メンテナンス、変更検出などのプロセスが効率化され、運用負荷が軽減され、全体的な効率が向上します。SecureOTは、マルチベンダー他業種ソリューションとして設計されており、さまざまな製造メーカや業種に導入可能です。複雑なインフラにも効率的に統合され、環境内の技術の多様性に関わらず、包括的な保護を提供します。