北米の公益事業会社がサイバーセキュリティとオペレーショナルレジリエンスを改善

北米で約25万の顧客に水道･電気を供給する大手公益事業者にとって、信頼性の高い運営は、公衆衛生の保護、地域経済の支援、そして環境保全のために不可欠です。しかし、老朽化したインフラがネットワークに接続される機会が増えるにつれ、同社はOT (制御技術)環境におけるサイバーセキュリティリスクの増大に直面し、こうした重要なサービスを支えるシステムを保護するという重圧にさらされることとなりました。

ますますネットワーク接続が進むOT環境において、重要なサービスをいかに保護するか

ネットワークセグメンテーションやリモートアクセスセキュリティの不備は、不正アクセスのリスクを高めていました。また、OT資産や脅威に対する可視性が限られていたため、新たに生じるリスクを特定し、それに対処することが困難な状況にありました。さらに当該公益事業者には、サービスの継続性と公共の安全を確保しつつ、こうしたリスクを効果的に管理するために必要な、OTサイバーセキュリティに関する専門的な社内知見が不足していました。

ロックウェル･オートメーションとの協業は、20年にわたるオートメーションサービスの基盤の上に築かれた関係により、公益事業者にとって理にかなった選択でした。同公社は、ロックウェル･オートメーションのチームが自社の事業運営、インフラセキュリティ、OTシステムを理解していると確信していました。

公益事業チームは、これまでの取り組みを通じて、ロックウェル･オートメーションがセキュリティおよびアーキテクチャに関する専門知識を包括的な能力で裏打ちしていることを知っており、今回もまた、実りある協力関係を築くための土台が整っていました。

ロックウェル･オートメーションは、ライフサイクル管理と最新化を、最初から組み込んだサイバーセキュリティと組み合わせ、NISTサイバーセキュリティフレームワークに準拠した制御を行なうことで、リスクを軽減し、重要な資産を保護し、OT (制御技術)のレジリエンスを強化しました。

より強固で信頼性の高いOTサイバーセキュリティ基盤の構築

ステップ1: 資産インベントリ

まず、ロックウェル・オートメーションは当該公益事業者のデジタル資産の包括的な監査を実施し、脆弱性やリスクを評価しました。この監査は、潜在的なサイバー脅威を特定する上で不可欠であり、それまで把握されていなかったプラント内の機器が明らかになり、強固な保護対策を講じることが可能となりました。

ステップ2: ネットワークセグメンテーションによるセキュリティ強化

ネットワークセグメンテーションの重要性を認識したロックウェル･オートメーションのチームは、この重要なセキュリティ手法を実践し、具体的には、ネットワークをサブネットワークに分割してトラフィックのフローとアクセス権を制御きるようにしました。この取り組みにより、ネットワークのセキュリティ体制が強化され、サイバー攻撃が発生した場合の影響を最小限に抑えることが可能となりました。

ステップ3: 仮想化された産業用データセンター

次に、コンピューティングインフラをアップグレードすることは、公益事業事業者のサイバーセキュリティを強化する上で極めて重要な役割を果たしました。単一の管理型IDCにかわり、クロスバックアップとマネージド･サポート･サービスを備えたデュアルIDCが導入されました。このアップグレードにより、プロセス運用における冗長性が確保され、コンピューティングインフラスの信頼性が向上し、ダウンタイムのリスクが低減されました。

ステップ4: IDMZ (産業用非武装地帯)によるネットワーク境界セキュリティ

ネットワーク境界のセキュリティを強化し、不正アクセスからOT資産を守るため、IDMZ (産業用非武装地帯)が導入されました。このIDMZアーキテクチャにより、インフラに障害が発生した場合でもセキュアなリモート運用が可能になりました。

ロックウェル･オートメーションのコネクテッドサービス事業開発を主導するロバート･マティアは次のように述べています。「OT専用の仮想化コンピューティングインフラ上に、2つのIDCにまたがるIDMZを構築することで、サイト冗長性を備えたIDMZを実現しました。この公益事業事業者のリーダたちは、災害が発生した際であっても、重要かつ遠隔地で行なわれる業務の稼働時間を維持することに真剣に取り組んでいました。」

ステップ5: さらなるセキュリティ対策

ロックウェル･オートメーションは、ハッキングの試みや不審なネットワーク活動を検知し、OTトラフィックを監視して、企業全体にわたる脅威や異常を特定するための「マネージド検出と対応(MDR)」コンポーネントも統合しました。

さらに、セキュア･リモート･アクセス(SRA)を導入し、ロールベースのアクセス制御(RBAC)と特権アクセス管理(PAM)を活用することで、高いアクセス権限を持つアカウントの保護を強化しました。