繁栄のための防御：メーカーが増大するサイバーセキュリティの脅威に対処する方法

なぜ重要なのか：産業システムに対するサイバー攻撃が高度化し、頻発する中、リーダーは資産を保護し、稼働時間を維持し、電力業界における安全な デジタルトランスフォーメーションを可能にするための構造化されたアプローチを必要としています。

 

高まるサイバーセキュリティ脅威の情勢

製造業者、公益事業者、重要インフラの運営事業者は、増加し、かつより高度化するサイバーセキュリティの脅威に直面していま。 コモディティ化されたマルウェアや高度な技術が脅威アクターに新たな攻撃能力をもたらしているため、攻撃は絶えず進化しています。

サイバー攻撃の動機は依然として主に金銭的利益ですが、国家支援の攻撃者の関与が増加しており、産業用制御分野を標的とする攻撃も増加しています。

 

効果的なサイバーセキュリティの柱

サイバーセキュリティチームは、次のような多層的な防御戦略を展開する必要があります：

• 最新の脅威に関する情報を常に把握する
• 資産のリアルタイムインベントリを実施する
• 脅威検出機能の向上
• 機器やデバイスに最新の防御対策を適用する
• システムのパッチ適用とアップデート
• インシデント対応能力の向上

ポリシーと手順、従業員のスキルアップ、定期的なトレーニングは、リスクベースのアプローチの一環として、重要システムを保護するために実施すべきサイバーセキュリティのその他の重要な要素です。

産業用モノのインターネット（IIoT）の可能性を最大限に活用しようとする製造業にとって、サイバーセキュリティは極めて重要な課題です。 効果的なサイバーセキュリティの必要性は広く知られていますが、業界内で問題についての大きな理解はあまりありません。 IIoT 技術の設計と導入には、新たなスキルとサイバーセキュリティに関する専門知識が求められます。 新しいソリューションは、安全に導入・維持されなければ、新たな脅威ベクトルをもたらす可能性があります。

 

脆弱性を特定する

製造業では、設備投資コストの高いエンジニアリングソリューションが、システムの更新への消極的な姿勢と変化の遅さを生み出します。 パッチが適用されていなかったり、多層防御が十分に施されていなかったりする旧式のシステムは、最も脆弱です。

ユーザーは、特定された脅威や攻撃に対して取る行動の優先順位を付け、それらの行動のロードマップを作成する必要があります。 これには、組織内のすべての人、プロセス、技術に対して、それぞれのライフサイクル中に、インシデント対応計画やバックアップ/復旧計画を導入し、定期的にテストを行うことも含まれます。 ユーザーアカウント管理のような単純なものであっても、各ユーザーが最初に承認される時点から組織を離れる時点までのライフサイクルに対応する必要があります。

 

IT と OT のギャップを埋めてリスクを軽減

組織のデジタルトランスフォーメーションを支援する新しいシステムやサービスを導入するために、IT および OT ステークホルダーが協力する必要性が高まっています。 サイバーセキュリティ戦略を策定する上で、IT および OT ステークホルダーは、高いレベルのセキュリティを維持しながら、お互いの強みとビジネス目標を理解する必要があります。

それぞれの専門知識は、異なるものをもたらします。 IT には高度に標準化されたプロセスがあり、OT にはよりエンジニアリングされたソリューションがあります。 IT と OT 両者の目標を見直し、要件を明確に定義することで、運用上の抜け漏れやリスクを防ぐ必要があります。 自動化サプライヤーは、システムのセキュリティを強化し、エンドユーザーがサイバーセキュリティ評価の優先順位を付けるのに役立つ、多層的なセキュリティ制御、手順、サービスのポートフォリオを提供することで、システムの安全な導入をより成功させることができます。

 

設計にサイバーセキュリティを組み込む

組織は、制御システムのプロジェクトにおけるフロントエンドエンジニアリングおよび設計中に、サイバーセキュリティを考慮する必要があります。 サイバーセキュリティ防御が後付けされることがあまりに多く、これはプロジェクトにサイバーセキュリティを組み込む場合よりもコストがかさみ、同等の効果が得られることはめったにありません。 これは「シフトレフト（Shift Left）」という概念として知られています。 セキュア・バイ・デザインは、適切なサイバーリスク分析と併せて、拡大するサイバー脅威の状況に対する有効性を確保するため、セキュリティ機能と制御の見直しを含める必要があります。

アセスメントは、これまでに実施されたサイバー施策の進捗と、追加のサイバー保護を導入することで得られる潜在的な保護効果を表す、リスク低減の指標として使用できます。 サイバーセキュリティ機能を正当化する有効な方法として、「シフトレフト」の概念があり、プロアクティブなセキュリティに費やす1ユーロは、リアクティブなセキュリティの60ユーロ以上に相当します。

攻撃が実際に発生した場合、それを乗り越える適切な方法は、十分に文書化され、訓練されたインシデント対応計画を持っておくことです。 要するに、サイバーセキュリティ機能や制御、そして十分に練られた計画がなければ、攻撃を乗り越えることはうまくいきません。

 

サイバーセキュリティ文化の醸成

組織の文化にサイバーセキュリティが含まれていない場合、従業員の意図しない行動が脆弱性を生み出し、大きなサイバーリスクを生じさせます。 組織全体にサイバーセキュリティ文化が浸透すれば、外部からの脅威だけでなく内部の脅威からのリスクも低減できます。 新しい技術やそれに関連するサイバーセキュリティに関するスキル向上を従業員に行うことで、サイバーセキュリティ文化の醸成を促進できます。

従業員の技術およびサイバーセキュリティの能力を高めるためのトレーニング機会を設けることは重要です。 スキル向上には時間がかかりますが、従業員がサイバーセキュリティに対する責任を意識的に受け入れるよう教育することは、良い最初のステップです。 サイバーセキュリティが誰か他の人の責任ではなくなれば、人々は自然とより多くの質問をし、専門知識を持つ人と連携して、意図しない結果を防ごうとするようになります。

サイバーセキュリティは、単に技術だけで実現できるものではありません。 組織全体でサイバーセキュリティの「なぜ」と「どうやって」を深く理解することは、意味のある行動変容を促すうえで重要です。 そのため、「人」「プロセス」「技術」を包含するサイバーセキュリティ文化を構築することが大切です。 サイバーセキュリティが人々の働き方に組み込まれると、意思決定が改善され、意図しない脆弱性が減少します。