工業制御システムの情報セキュリティ対策をどう徹底するかについての議論
Thread Content
近年、経済産業省は「サイバーセキュリティ法」や「産業制御システムの情報セキュリティ保護ガイドライン」の要求に従い、セキュリティソフトウェアの選定・設定やパッチ管理、リモートアクセス、認証、セキュリティ監視、境界セキュリティ保護、緊急対応計画および訓練などを含む産業制御システムのセキュリティ検査を実施するよう繰り返し通知している。 皆さんは、具体的にどのように産業制御システムの情報セキュリティ対策を行っているのでしょうか？外部企業に依頼するか、自社で実施するか？「ガイドライン」の要求に部分的に対応するのか、それともすべてを満たすのか？実施される作業のステップと内容は何ですか？（例：産業用ホストの保護装置が設置されているか、ウイルスやマルウェアの侵入を防ぐための管理メカニズムが構築されているか、産業制御ネットワークのセキュリティ戦略が策定されているか、各セキュリティ領域間で論理的な隔離が行われているか、ネットワークセキュリティ監視装置が導入されているか、ディープパケット分析およびフィルタリング機能を備えた保護装置が導入されているか？）など）
あなた方のプロセス制御ネットワーク（つまり制御層ネットワーク）は外部ネットワークに接続されていますか？外部ネットワークに接続しなくても、USBポートなどのストレージデバイスの挿抜を監視すればいいだけで、他は気にする必要ないですよ〜！
産業用オートメーション制御システムは、外部ネットワークに接続されていなければ、情報セキュリティとはまったく関係がありません。 もちろん、アメリカ人や日本人が、そのセンサーを搭載したチップの中にスパイプログラムを仕込んで、衛星を使って遠隔からそのプログラムを起動して混乱を引き起こすなら、あなたたちが工業自動化の情報セキュリティを叫んでも、それはただの狂犬のような無意味な叫びに過ぎない。なぜか？一つには、あなたたちの優秀な専門家たちがスパイチップを見つけ出す能力がないからだ。二つ目に、彼らには衛星信号を遮断する能力がない。三つ目に、私たちのような役立たずでは、あなたたちのセキュリティ専門家を助けることなどできないのだ。{:2_42:}
アメリカが何か新しいシステムを開発すれば、あなた方の専門家もすぐにそれを真似する。例えばSISとかね。あなた方の学習の速さは、犬が尻尾を舐めるよりも速いくらいだ。でももし、アメリカの悪意ある衛星がいつか悪意のある信号を送って、SISの設定値を書き換えてしまったらどうなる？そうなったら、私たちの化学工場のタンクが全て爆発してしまうんだ。それではどうすればいいのか？ 安全の専門家たちが心配です。悪者を中に招き入れるなんて、本当に信頼できません……
現在、行政機関による検査が増えてきており、また企業側にとっても安全性は重要な課題ですが、現時点では事例がまだ少なすぎます。
ファイアウォールとアンチウイルスソフトを導入し、USBメモリのロック機能を追加し、オプティカルドライブを取り外すなど