近年、「ITセキュリティ」に対し、「OTセキュリティ」という用語を耳にするようになりました。産業用制御システムの制御技術を表すOTですが、OTセキュリティはITセキュリティとは似て非なるものです。
本記事では、OTセキュリティとITセキュリティの特徴・違いに加えて、OTセキュリティ対策のポイントについてご紹介します。
OTとITで異なるセキュリティ対策
「情報技術」を意味する「IT（Information Technology）」に対し、「OT（Operational Technology）」は、製造業において工場のハードウェアを制御・運用するための技術を表します。どちらもセキュリティ対策を必要とする点では共通していますが、ことOTに限っていえば、セキュリティ対策を実施するたびに工場を停止していては元も子もないため、システムの稼働への影響が最小限になるよう対策を講じなくてはなりません。
両者の特徴やセキュリティ対策にどのような違いがあるのか、比較してみましょう。
OTセキュリティ
OT（Operational Technology）は、直訳すると「運用技術」となりますが、広義的にいえば、交通・電気・水道といった社会インフラを機能させるために必要な設備やシステムを最適に動かすための制御技術・運用技術です。製造業において「ICS（Industrial Control Systems）」と呼ばれる産業用制御システムを動かす制御技術が、このOTに当たります。
産業用制御システムでは、製造工場内の工作機械や制御装置をリモートコントロールしますが、従来では基本的にインターネットや社内LANから切り離され、独自のプロトコルのみを使用する閉じられたネットワークとして構成されてきました。
近年では、工作機械の稼働データをクラウドに吸い上げ、保守部品管理や工場全体のパフォーマンス管理を目的に活用することも多く、社内LANやインターネットにつながる産業用制御システムも増えています。
ITセキュリティとの大きな違いは、OTセキュリティではシステム停止の可能性があるため、システム稼働中の脆弱性スキャン（アクティブスキャン）は行わない点です。また、システム停止の原因となるため、定期的なパッチ適用とOSの更新も推奨されていません。
ITセキュリティ
IT（Information Technology）は直訳すると「情報技術」となり、コンピューターや情報通信の技術を総称したものです。ITの守備範囲は広いですが、具体的にはコンピューターやインターネットによるネットワークを活用し、企業活動や個人の生活に役立てる技術を指します。
つまりITセキュリティは、インターネットやコンピューター、情報を安心して使い続けられるように必要な対策を講じることといえます。具体的には、重要な情報が外部に漏れることを防いだり、マルウェアへの感染を防いだりするための対策が求められます。
ITセキュリティの特徴は、システム稼働中の脆弱性スキャン（アクティブスキャン）が可能な点と、定期的なパッチ適用およびOSの更新が推奨されている点です。これらの特徴は、上述のOTセキュリティとは真逆となるため、OTセキュリティでは従来のITセキュリティの常識が通用しないことが分かります。
OTセキュリティの必要性
従来、制御する機械などに制御用の機器を接続し、機器を介してデータをやりとりする仕組みだった産業用ネットワークでは、社内LANとつながるアクセスポイントが限られていました。また産業用ネットワークは、独自のOSや通信プロトコルで構成されていることが多かったため、サイバー攻撃を受けるリスクは少ないと考えられてきました。
その一方で、2015年12月にウクライナの電力会社の産業用制御システムがサイバー攻撃を受け、大規模な停電が発生したというニュースが一時期取り沙汰されました。産業用制御システムがたった1回でも攻撃を受けてしまうと、システムを設置している企業・組織だけではなく、社会インフラや企業基盤全体が大打撃を受けることを裏付ける事例となったのです。
このウクライナの電力会社への攻撃により、OTセキュリティへの注目がますます高まりました。
当時は、産業用ネットワークは閉じたネットワークとして構成されていることが多く、セキュリティ対策とは無縁とすら考えられていました。もちろんOTセキュリティという概念はなく、セキュリティ担当者すら置いていなかったのが現状でした。
近年、産業用ネットワークは、工場全体の効率化などのために大きな変化を遂げています。
たとえば産業用制御システムでは、従来の独自プロトコルの代わりにTCP/IPなど標準プロトコルが使われるようになりました。標準プロトコルを使うことで、社内LANへのアクセスが易化したのです。
また、産業用制御システムを社内LANへ接続すると可能になることの一つが、制御システムからの情報を吸い上げて外部と連携し、情報を分析することです。分析結果は再び社内LANを通じて、制御システムへとフィードバックされます。
このように、工場全体のオペレーションの分析・改善に活用するため、産業用制御システムと外部ネットワークを連携するシステムが増えていることから、これまで本腰入れて対応してこなかった企業もOTセキュリティを避けて通ることができなくなりました。
産業用制御システムへのサイバー攻撃は年々増加しており、万一標的とされてしまった場合は被害が広範囲に及ぶことからも、OTセキュリティ対策は不可欠といえるでしょう。
OTセキュリティ対策のポイント
産業用制御システムはITシステムとは特徴が異なるため、その特徴に合わせた対策が必要です。産業用制御システムの特徴と、対応するOTセキュリティ対策のポイントは次のようにまとめられます。
- ITセキュリティの保護対象は情報ですが、OTセキュリティは設備・製品などのモノとサービスの連続稼働を維持するために行います。
- 産業用制御システムは社会基盤や産業基盤を支えているため、稼働が停止してしまうと、その影響は計り知れません。それゆえ、OTセキュリティでは継続した稼働を重視して対策を講じます。
- 産業用制御システムはインフラ基盤でもあり、機密情報の漏えいが発生してしまうとその影響が大きいため、機密性が重視されます。
また、産業用制御システム内で過去にセキュリティ被害を引き起こした原因は以下4点に分類されており、これらの点を重点的に対策することが求められています。
- USBメモリからの脅威の侵入
工作機械などをはじめとする産業システムでは、USBメモリを介してデータをやりとりする機会が頻繁にあります。そのため、USBメモリを介してマルウェアが侵入した事例が多数発生しています。 - メンテナンス用回線からの脅威の侵入
リモートで産業用機械のメンテナンスを行う際、メンテナンス用の回線からセキュリティに侵入された事例も多く発生しています。 - 操作用端末や保守端末からの脅威の侵入
マルウェアに感染していた操作用端末や保守端末から、制御システムにマルウェアが侵入していた事例があります。 - 内部犯行による脅威の侵入
組織内の内部犯行者が意図的に情報を漏えいした事例も確認されています。組織内部の者が関与していた場合、物理的なセキュリティは容易に突破されてしまいます。
一般的なユーザーが使用するIT機器の場合、操作端末や保守端末を利用するという概念がありません。また、昨今ではUSBの利用が減少傾向にあり、ITセキュリティの観点からもOTセキュリティは考えにくいものとして捉えられがちです。
OTセキュリティでは、従来のITセキュリティでの常識は通用しないことを改めて認識して、対策を講じることが大切です。もっとも、近年ではIT・OTそれぞれに用いられる技術が共通化してきているため、じきに両者の垣根はなくなるものと予想されます。どちらか一方のセキュリティ対策を講じるにせよ、今後はIT・OT双方の知識が必要となる場面が増えてくるでしょう。
まとめ
OTセキュリティでは基本、ITセキュリティにはない考え方をもとに対策する必要があります。しかしながら近年では、IT・OTで使用する技術が重複してきていることもあり、これらの垣根はなくなりつつあります。
今後OTセキュリティを導入する際は、OTのみに偏った学習ではなく、ITとOT両方の知識を身につけることが重要です。
