Secomeaは、40年以上の経験を持つOTセキュリティ専門家の Eric Ten Bos 氏に、何が変わり、何が変わらず、産業企業はいま何に目を向けるべきかを聞きました。対話は、OTサイバーセキュリティ、リモートアクセス、サードパーティアクセス、コンプライアンス、エアギャップ、ゼロトラスト、オーナーシップ、そしてCISOがITの発想をOT環境にそのまま持ち込むべきでない理由に及びます。
インタビューの要点
- OTサイバーセキュリティは、コストとしてだけ扱われる限り正当化が難しい
- 強いビジネスケースは、サイバーセキュリティをレジリエンス・データ・稼働率・安全・操業ライセンスと結びつける
- コンプライアンスはサイバーセキュリティプログラムの結果であるべきで、その代替ではない
- エアギャップは、ほとんどの産業環境でもはや現実的ではない
- OTにおけるゼロトラストは、最小権限・明確なアクセス権・セキュアバイデザインといった実務的な統制として適用する
- リモートアクセスは、サプライチェーンセキュリティの最も重要な統制点のひとつ
- 資産所有者は、リモートアクセスをいつでも承認・管理・監視・停止できなければならない
- OTセキュリティには、セキュリティ責任者・資産所有者・現場の生産専門家による共同のオーナーシップが要る
変わらないもの 時代が変わっても変わらなかったもの
いま誰もがITとOTの融合を語り、それがまさに起きていると言っています。しかし本質的には、まったくのナンセンスです。
OT環境は、もともとサイバーセキュリティを前提に作られていません。多くのシステムは20年から30年使われ続けますし、産業設備の接続自体、ITとOTの融合をめぐる議論が示唆するほど新しい話ではありません。
当時、サイバーセキュリティは問題ですらありませんでした。その言葉自体が存在しなかったのです。
ここに難しい出発点があります。生産、稼働率、コスト、操業の継続が会話を支配する環境で、サイバーセキュリティを正当化しなければならないのです。新しい機械なら生産量の増加で正当化でき、プロセス改善なら品質向上や廃棄削減で説明できます。サイバーセキュリティは同じ形では説明しにくい。製品を直接安く良く速く作れるようにはしないからです。
NIS2、サイバーレジリエンス法（CRA）、無線機器指令（RED）といった規制は、より多くの企業を行動へ押し出しています。しかしそこには別のリスクが生まれます。準拠に必要なことだけをやって済ませてしまうリスクです。
コンプライアンスはサイバープログラムの結果であって、その逆ではありません。
要点OTにおける最大の課題はいまもサイバーセキュリティのビジネスケースを組み立てることであり、セキュリティをレジリエンス、稼働率、安全な接続、規制リスク、操業継続と結びつけて示すことで応えるべきです。
コストの正当化 OTサイバーセキュリティのコストをどう正当化するか
OTサイバーセキュリティのコストは、事業がすでに必要としているものと結びつけると正当化しやすくなります。それは情報です。
ビジネスケースは、私たちがデジタルジレンマと呼ぶものにあります。
産業企業は、生産速度、製品の信頼性、品質、保守、パフォーマンスについて判断するために情報を必要とします。その情報はデータに依存し、データは接続に依存します。ここに緊張が生まれます。サイバーセキュリティの観点では接続が増えるほど露出が増えうる。操業の観点では、仕事を良くするために接続が要る。これがデジタルジレンマです。
サイバーセキュリティは、このデジタルジレンマを解くためにあります。情報がサイバーセキュリティを要求するのです。
要点産業のパフォーマンスがデータに依存するなら、接続は守られなければなりません。サイバーセキュリティは、生産環境を不必要に危険にさらすことなくデータを使えるようにし、可視性、意思決定、遠隔での運用、リアルタイムの情報共有を支えます。
ビジネスケース ビジネスケースはどうあるべきか
ビジネスケースは、サイバーセキュリティに何がかかるかだけを問うべきではありません。何もしなければ何を失いうるかも問うべきです。その答えは業種によって変わります。電力網の障害は即座に影響します。飲料水の問題は別の形で進行するかもしれません。食品生産の停止は同じ社会的インパクトを持たないかもしれませんが、売上の喪失、納期の問題、廃棄、操業への圧力を生みます。
逆の考え方は、何もしないことのコストを計算することです。
そのコストには、金銭的損害、健康と安全への影響、環境への影響、規制リスク、評判の毀損、さらには操業ライセンスの喪失まで含まれえます。
OT環境では、次々と法規制が登場するなかで、サイバーセキュアであることの代わりに準拠しているだけ、という深刻なリスクがあります。準拠をできるだけ安く済ませようとする傾向があります。しかしコンプライアンスとサイバーセキュリティは同じものではありません。順序は逆でなければならないのです。
要点OTサイバーセキュリティのビジネスケースは、ダウンタイム、安全リスク、環境への露出、コンプライアンス圧力、操業への支障という実害を反映すべきです。
エアギャップ セキュリティ戦略としてのエアギャップをどう見るか
エアギャップはいまもOTセキュリティの議論に登場しますが、現代の産業環境の実態を反映していることはまれです。工場はデータを必要とし、装置メーカーは設備をサポートする必要があり、保守チームはアクセスを、オペレーションチームは可視性を必要とします。
エアギャップはおとぎ話です。いまどき、本当に隔離されているものなど何もありません。時間の無駄だと思います。事業を動かすうえで、接続と相互接続は事実上必須です。ただし、つなぐなら安全につなぐこと。
隔離されていると信じられている環境でさえ、リムーバブルメディア、保守用ノートPC、一時的な接続、文書化されていないアクセス経路、サプライヤーの作業を通じて露出しえます。
そもそもエアギャップは防御にはなりません。まったくなりません。有名な例がStuxnetです。完全にエアギャップされていたのに、悪意あるソフトウェアに侵入されました。だからエアギャップはあり得ない。それが私の見方です。
要点エアギャップをOTセキュリティリスクへの既定の答えとして扱うべきではありません。実務的な問いは、どう安全につなぐかです。安全な接続、統制されたアクセス、監視、オーナーシップのほうが重要です。
着手 OT環境のセキュリティ強化にどう着手するか
OTセキュリティプログラムは、すべてをひとつの大きなプロジェクトで解決しようとしたときに失敗しがちです。生産環境はそれには複雑すぎます。レガシー設備、拠点固有のプロセス、複数のベンダー、そして操業への影響なしには変更も切断もできないシステムを抱えているからです。
私の経験から、いつもこう言っています。大きく考えて、小さく始めなさい、と。
長期的な方向性は依然として重要です。アーキテクチャ、アクセス制御、セグメンテーション、監視、改善の優先順位づけを含め、OT環境全体でセキュアバイデザインがどうあるべきかの明確な見取り図が要ります。それでも、最初の一歩は実務的でなければなりません。
サイバーの観点から、自社の生産自動化環境で何が起きているかを知る必要があります。それがモニタリングです。地平線上のサイバーの目標点を明確に保ち、構築を始めることです。構築するものはすべて、その目標点に沿っていなければなりません。
要点可視化から始め、長期のアーキテクチャを定義し、実際の運用リスクに基づいて改善の優先順位をつけることです。
ゼロトラスト ゼロトラストとその流行をどう見るか
ゼロトラストは何も新しくありません。新しい言葉、きれいな新しい包装というだけです。
ゼロトラストの背後にある原則は、IEC 62443やセキュアバイデザインのアーキテクチャなど、確立されたOTセキュリティの考え方のなかにすでに存在しています。核心は、アクセスを既定では許可しないことです。人もシステムも、必要なアクセスだけを、必要な目的のために、必要な期間だけ得るべきです。最小権限の原則です。
IEC 62443の目標セキュリティレベルSL-0からSL-4に沿って取り組んでいるなら、それはゼロトラストアーキテクチャを土台にしているということです。
OTのリモートアクセスにおけるゼロトラストは、特定の資産に限定したきめ細かなアクセス、ロールベースの権限、時間を区切ったアクセス、本人確認、セッションログといった実務的な統制、そして技術・人・プロセスの整合を意味します。
要点ゼロトラストの原則そのものは新しくありません。本当の価値はOTに合う形で適用することにあり、地平線上の目標点として使いながら、一歩ずつ進めることです。
サードパーティ OTへのサードパーティリモートアクセスについて
現代のOT環境にリモートアクセスは不可欠です。問題は、それが中央の統制なしに増殖し始めたときに起こります。
今日、現場には実に多様なリモートアクセスソリューションが混在しています。技術的にはどれも問題なく動きます。しかしサイバーセキュリティの観点では、重大なリスクです。
これは往々にして少しずつ進行します。ある拠点が機械を買い、サプライヤーが自前のリモートアクセスを持ち込む。同じパターンがプロジェクト、ベンダー、生産ラインをまたいで繰り返されます。個々の判断はその時点では理にかなっていたかもしれません。しかし何年も経つと、工場フロアには複数の異なるリモートアクセス経路ができあがってしまいます。
設備を買うと、大量のリモートアクセスも一緒に相続することになります。最後には、誰がリモートアクセスを持っているのか、どのパートナーが侵害されうるのか、まったく分からなくなるのです。
これはサプライチェーンセキュリティと、NIS2への対応において特に切実です。自社の生産環境で起きることに責任を負うのであれば、外部の主体がその環境にどうアクセスするかを統制できなければなりません。
NIS2のもとでは、サプライチェーンにも責任を負います。だから、彼らによる自社設備へのアクセスを管理しなければなりません。その中心にあるのがリモートアクセスです。リモートアクセスを管理できていなければ、サプライチェーンに責任を持つことは決してできません。
要点リモートアクセスは、ベンダー・拠点・プロジェクトごとに任せるのではなく、資産所有者が中央で統治すべきです。安全な操業のためにも、コンプライアンスのためにも必須です。
選定責任 リモートアクセスツールを選ぶのは誰か
もし私が大手製造企業として設備を購入する立場なら、リモートアクセスに関する要件をサプライヤーに対して自ら定義します。そして、リモートアクセスは自分の管理下に置きたい。
企業は作業を外部に委ねることはできても、自社の生産環境で起きることへの責任までは委ねられません。より強いアプローチは、中央管理されたリモートアクセスへ移行していくことです。
スケーラブルで、小規模にも大規模にも導入しやすく、製造企業として一元管理できるリモートアクセスソリューションを選ぶことです。
一夜で移行する必要はありません。最も重要な生産領域や、ベンダーのアクセス経路が最も入り乱れている場所から始めて、段階的に移していけばよいのです。
要点サードパーティのリモートアクセスは、各サプライヤーの好むツールに任せるのではなく、企業が定義した要件によって統治すべきです。これはNIS2が求めるサプライチェーンセキュリティにも直結します。
譲れない原則 OTリモートアクセスで譲れない原則
私が望むときに、いつでもリモートアクセスを止められること。それが最も重要です。私はそれを管理したいのです。
このインタビューから浮かび上がる最も明確な原則は、統制です。設備の専門知識はサプライヤーが持っていても、生産環境の中の運用リスクを負うのは資産所有者です。つまり資産所有者には、アクセスを承認し、特定の資産に限定し、セッションを監視し、即座に取り消し、事後に何が起きたかを証明する能力が要ります。
パートナーの一社が侵害されたら、私のネットワークから遮断したい。問題が解決されたと証明されたら、再び接続を許可する。実に単純な話です。
要点あらゆるOTリモートアクセス戦略は、ひとつの基本的な問いに答えられなければなりません。何かが起きたとき、資産所有者はアクセスを即座に止められるか。
オーナーシップ OTリモートアクセスはどの部門が所有すべきか
OTセキュリティで最も重要なのはオーナーシップです。そしてこれは最も難しいテーマのひとつでもあります。OT環境はIT、OT、資産所有者、ベンダー、各拠点にまたがっているからです。
どの企業にもCISOはいます。私が企業に伝えようとしているのは、COSO、つまりCorporate OT Security Officerを置くべきだということです。ちなみにOTはOld Technologyの略ですよ。
オーナーシップが不明確だと、隙間が生まれます。リモートアクセスは分断され、モニタリングで見つかった事象が行動につながらず、セキュリティチームは生産環境に合わない是正策を提案してしまうかもしれません。肩書きそのものは本質ではありません。重要なのは、誰かがOTセキュリティプログラムを所有し、サイバーセキュリティと資産のオーナーシップ、そして現場の生産の実情をつなぐことです。
数百メートルの大型コンベアベルトを想像してください。誰かが保守作業をしている最中に、私が速度を変えたり起動したりしたら、人が簡単に死んでしまいます。それこそが決定的な違いです。
要点OTリモートアクセスのオーナーシップは、明確に定義され、適切に予算づけられ、全社のサイバーセキュリティと現場の生産の専門知識の両方につながっているべきです。
これから 3〜5年先に最も重要になるもの
IoT、あるいはインダストリアルIoT。私はいつもハッカーの楽園と呼んでいます。いまはAIで何でも解決できると言われますが、AIにはデータ統合が必要です。つまり、デジタルジレンマはさらに強まっていくということです。
IIoTもAIも、データ統合に依存します。それは最適化、予知保全、自動化、より良い意思決定を支える一方で、安全なアクセス、監視、セグメンテーション、オーナーシップの必要性を高めます。データが増えれば接続が増える。接続が増えれば、アクセスが統制されていない限り露出が増えるのです。実務的な提言は、生産施設ごとにサイバーのオーナーを置くこと。生産を理解し、サイバーを学び、サイバーセキュリティの専門家と協働できる人物です。
要点OTセキュリティの未来は、安全なデータ統合、現場のオーナーシップ、強いアクセス制御、そして生産チームとセキュリティチームの実務的な協働にかかっています。
CISOへ OTセキュリティを改善するCISOへの助言
CISOのアプローチは、操業環境に合っていなければなりません。ゴール自体はITもOTも似ています。リスクを減らし、レジリエンスを高め、組織を守り、事業を支えることです。しかし、そこへ至る道が違います。OT環境には別種の制約があります。可用性、安全、プロセスの継続性、レガシー設備、ベンダーアクセス、そして物理的な帰結です。ITでは日常的な是正措置が、生産の文脈を欠いたままOTで実行されればリスクを生みます。
CISOにはときどき冗談で、OTの問題のほうがずっと難しいのだから、CISOはCOSO、Chief OT Security Officerの下につくべきだと言っています。本当に重要なのはこれです。OTをITのやり方で扱おうとしないこと。目指すゴールは同じでも、やり方は違わなければならないと受け入れることです。CISOがCOSOに報告すべきかどうか。正直どちらでも構いません。ITとOTの両方を含むサイバープログラム全体のオーナーがいる限りは。
予算の問題もあります。サイバーセキュリティが各生産施設の損益だけに委ねられていれば、必要な投資は永遠に回ってこないかもしれません。OTサイバーセキュリティには、全社レベルのオーナーシップ、現場との協働、そして操業レジリエンスにおける役割に見合った資金が要ります。
要点CISOはOTセキュリティに関与すべきですが、成功は資産所有者と生産の専門家との協働にかかっています。
Secomeaの視点 SecomeaはOTのセキュアリモートアクセスをこう考える
Eric Ten Bos 氏のインタビューは、議論を実務的な一点に引き戻します。OTセキュリティとは、技術であると同時に統制の問題だということです。リモートアクセスは、最も分かりやすい着手点のひとつです。外部の主体を生産環境につなぎ、保守、トラブルシューティング、稼働率を支える一方で、アクセスが分断され、管理されず、複数のベンダーツールに委ねられているとき、リスクを生みます。
Secomeaの考えるOTのセキュアリモートアクセスは、次の条件を満たすものです。
- 産業環境のために専用設計されている
- 資産所有者が統制できる
- 最小権限とゼロトラストの原則に基づく
- 外部の関係者にとって使いやすく、かつ安全である
- 拠点とサプライヤーを横断して一元化されている
- コンプライアンスとガバナンスのために監査可能である
- 稼働率、安全、操業継続を支えるよう設計されている
目指すのは、リモートアクセスを統制され、安全で、協働的なものにすることです。
おわりに まずどこから始めるか
産業企業は、OTサイバーセキュリティのすべての課題をひとつの大プロジェクトで解決する必要はありません。より良い出発点は、最大のリスクがどこにあり、誰がそれを所有し、どの統制なら生産を止めずに露出を減らせるかを理解することです。多くの組織にとって、リモートアクセスはその出発点のひとつです。いくつかの問いが多くを明らかにします。
- 自社の生産環境に誰がリモートアクセスを持っているか把握できているか
- そのアクセスを中央で統制できるか
- 何かが起きたとき、アクセスを即座に止められるか
- 誰が、何に、いつ、なぜアクセスしたかを証明できるか
- サイバーセキュリティプログラムを構築しているのか、それとも準拠要件を満たそうとしているだけなのか
- 自社のセキュリティ判断はOTの現実に合っているか
大きく考えて、小さく始めなさい。
リモートアクセスの統制から始める
誰が何にアクセスしているかの可視化から、承認・監視・即時遮断まで。御社のOT環境に合わせて、統制されたリモートアクセスへの現実的な一歩を専門担当がご案内します。