NIS2と製薬業界
NIS2の影響を最も大きく受ける業界の1つが製薬業界です。すでに多岐にわたる法規制の対象となっている製薬業界ですが、NIS2において「必須(エッセンシャル)」セクターと位置付けられたことで、さらなる業務上の負荷が生じることになります。その意図や期待される成果は称賛に値するものの、コンプライアンス担当者にとっては多大な業務負担を強いるものでもあります。
しかし、製薬企業はNIS2指令への対応を、単なる形式的な要件確認作業(チェックボックスを埋めるだけの作業)と捉えるべきではありません。むしろ、最新のデジタル技術(プロセスハードウェアやMESソリューションなど)の導入やコンプライアンス達成への道のりを、より広範な業務改善に向けた「旅」として捉えるべきです。それは、法規制で定められた措置やその成果の枠をはるかに超える取り組みとなるはずです。
サイバーハイジーンの技術的･手順的な基本事項に最初から取り組むことは、強固な基盤を築く上で間違いなく有益です。また、それは事業の強化につながるだけでなく、実証済みの技術、業界のベストプラクティス、そして効果的なガバナンスに基づいた、管理しやすく段階的な発展のロードマップを策定する助けにもなります。
製薬業界にとってNIS2が重要な理由
サイバー脅威を取り巻く状況は驚異的な速さで変化しており、侵入に対処･対応するための「従来の手法」ではもはや太刀打ちできなくなっています。こうした状況を受け、各国政府や国際機関が対策に乗り出しました。OT (制御技術)に関連する脅威への関心が高まる中、国家の関与する攻撃者、ハクティビスト、犯罪集団などのハッカーが、データ窃取、業務妨害、金銭的利益を目的に産業用システムを標的にしています。
NIS2は全体として有益な意図に基づいているものの、業界ごとの特性や要件までは考慮されていません。ライフサイエンス企業の経営者やCTO (最高技術責任者)は、サプライチェーンの混乱という潜在的なリスクへの対処に加え、収益性、顧客からの信頼、ブランドの評判、そして製品や消費者の安全への影響といった、より広範なビジネス上の課題にも目を向ける必要があります。
現在、多くの企業が適切なサイバーセキュリティ体制を確保することに苦慮しています。その背景には、既存のセキュリティ対策が、保険会社が現在求める水準に達していないという現状があります。セキュリティの成熟度が低いとリスクが高いとみなされ、保険料が高額になったり、そもそも保険への加入が困難になったりするためです。こうした状況も、取締役会がサイバーセキュリティを組織の最優先事項の1つに位置づけるようになった理由の1つです。
規定を遵守しない場合、最大1,000万ユーロ、または全世界での年間総売上高の少なくとも2%に相当する罰金が科される可能性があります。ここで重要なのは、対象が欧州での事業だけでなく「全世界」の売上高であるという点です。また、新規則の遵守を怠った場合、経営幹部が個人的に責任を問われる可能性もあります。
NIS2への道のりは、基本的なサイバーハイジーンから始まる
基本的なサイバーハイジーンの確立は、極めて重要な第一歩であり、今後不可欠となる実践事項です。AIやビッグデータが持つ可能性は魅力的ですが、セキュリティの基盤が不十分なままだと、知的財産や運用データが悪用されるリスクにさらされることになります。
作業を進める前に、組織のコンプライアンスへの取り組みを見直してください。既存の資産に基づいてセキュリティリスクを評価し、リスク管理やインシデントの検知･対応に関する能力を検証するとともに、地域や拠点ごとの責任の所在を明確にすることが重要です。
OT (制御技術)セキュリティに特化したポリシーや手順を策定することも、極めて重要なステップです。これらはコンプライアンスの遵守を証明し、セキュリティ体制の成熟度を全体的に高めるのに役立ちます。実効性のあるポリシーでは、以下の事項を定義します。
- ビジネスの優先事項に沿った明確な目標
- OTセキュリティに対して責任を負う、またはその管理を担う役割
- 自組織における資産の可視化のあり方
- 認証およびリモートアクセスに関するルール
基本的なサイバーハイジーンを導入するためのヒント
産業環境のセキュリティ確保を支援してきたロックウェル･オートメーションの豊富な経験に基づき、以下の導入をご検討ください。
- ネットワークの分離とセグメンテーション: ICSネットワーク内で信頼できるゾーンと信頼できないゾーンを分離することで、脅威アクターによるラテラルムーブメント(ネットワーク内での横方向の移動)を困難にします。
- ソフトウェアのパッチ適用とプログラムの更新: OT (制御技術)に関するポリシーや手順に従って、すべてのソフトウェア、ファームウェア、OSを更新してください。また、資産を更新できない場合には、緩和策(代替のセキュリティ対策)を適用してください。
- デバイスの堅牢化(ハーデニング): デバイスの機能を無効にし、「最小権限の原則」を適用することで、脅威アクターの侵入経路を最小限に抑えます。
- 従業員教育: ICSのサイバーセキュリティに関する具体的な教育を実施し、従業員が「セキュリティを最優先する」という意識を持って業務を遂行･運用できるようにします。
- 継続的な監視とインシデント対応: ネットワークトラフィックを監視して異常な挙動を検知するとともに、侵害が発生した際に備えてインシデント対応計画を策定･整備しておきます。
NIS2に向けたビジネスケースの策定
コンプライアンスへの対応を、より広範な業務改善プロジェクトの一環として捉え、まずは基本事項への取り組みから着手しましょう。包括的かつ多角的なアプローチを採用することで、長期的な視点でサイバーセキュリティの成熟度を向上させるための戦略的ロードマップを策定できます。こうしたアプローチを具体化する際には、関係者の合意形成と投資の確保を図るために、ビジネスケースを策定することを検討してください。
