ITとOTの融合がICSセキュリティに与える影響

ほとんどの人が「情報技術」という言葉に慣れ親しんでおり、コンピュータ情報システム、特にソフトウェア・アプリケーションやコンピュータ・ハードウェア内のデータの保存、回復、送信、保護という意味で一般的に理解されています。一方、OT（オペレーショナル・テクノロジー）は比較的一般的でない用語で、その運用や管理に直接精通していない人にはあまり理解されていません。  

OTとは？ 

OTとは、重要なインフラ、公益事業、電力網、製造工場、交通管制システムなどを運営する産業機器やプロセスを監視・制御するハードウェアとソフトウェアのシステムのことです。この包括的な用語は、プロセス制御ドメイン、プログラマブルロジックコントローラ、分散制御システム、監視制御およびデータ収集（SCADA）システム、安全計装システム、ビル管理/オートメーションシステムなど、多くの特殊なフレームワークから構成され、これらはしばしば産業用制御システム（ICS）と総称されます。

ITとOTの融合

歴史的に、ITとOTは互いに依存することなく、別々の組織のサイロによって管理されてきました。しかし、過去10年の間に、ゆっくりと、しかし着実にパラダイムシフトが起こっています。  

OTシステムは、ネットワークと計算技術でますますプロビジョニングされています。ITとOTの2つの世界は収束しつつあり、IIoT（Industrial IoT：製造業、石油・ガス業、運輸業、エネルギー・公益事業など、さまざまな産業で使用するデータを収集・共有する、相互接続されたセンサー、計器、デバイスのマトリックス）の基礎が築かれつつあります。  

IIoTは第4次産業革命において重要な役割を果たすと考えられており、IT/OT融合エコシステムは、4IRエコシステムにIIoTをデプロイするコンジットとして機能します。  

ITとOTの融合は、マシン、インフラ資産、アプリケーション間のデータ収集と交換を最適化する一方で、物理システムと仮想システム間でプロセスを相互運用的に拡張する必要性によって推進されています。この統合により、情報の流れの改善、プロセスの自動化、分散型業務の管理の高度化、規制コンプライアンスの遵守など、多くのメリットが期待できます。

コンバージェンスがICSセキュリティに与える影響

しかし、ITとOTの境界線が薄れ続けるにつれ、相互に接続されたIT/OTシステムのアタックサーフェスは拡大し続けています。ハッカーがこれらのシステムに侵入する最も一般的な攻撃手段は、インターネット経由です。  

IIoTの到来により、IT/OTネットワーク経由でアクセス可能なすべてのICSセンサー、計測器、デバイスは、エネルギーグリッド、発電所、水・廃棄物管理システム、食品加工工場、輸送ネットワークなどの重要インフラに対する標的型攻撃に使用されるボットネットによる強力な兵器化の影響を受けやすくなっています。

人間のオペレーターと産業用制御システムをつなぐヒューマン・マシン・インターフェース（HMI）は、通常、さまざまなITインフラにネットワーク接続されています。インターネットに面したビジネスネットワークからHMIにアクセスできることは、ICSセキュリティに重大なリスクをもたらし、HMIを認証バイパス、脆弱なセッション管理、安全でないICS通信プロトコル、不十分な制御トラフィックの暗号化などのIPベースの脆弱性の影響を受けやすくします。

攻撃者は通常、一般的なマルウェアと、重要インフラを標的とし攻撃するために特別に設計されたマルウェアの両方でICSシステムに侵入します。このような侵入は、しばしばサービス拒否(DoS)攻撃を引き起こし、産業活動を麻痺させたり、完全に停止させたりします。ICSと接続されたIIoTデバイスは、身代金の徴収や機密データへのアクセスによる敵対国への妨害工作を狙うハッカーにとっても、価値の高いターゲットです。

以下の表は、接続性とセキュリティ要件の観点から、ITシステムとOTシステムの基本的な比較を示したものです。

ICSにおけるセキュリティ侵害の危険な後遺症は、私たちが最も意識している標準的な侵害とはまったく異なる大規模なものです。サイバー攻撃によって 都市や地域全体の送電網がオフラインになったり、壊滅的な事故を防ぐために設計された安全システムを無効にして 原子力発電所の爆発を  引き起こしたり、都市部の 配水システムに汚水が流れ込んだり  した場合の影響を考えてみてください。  

要約すると、ICSの安全確保は、セキュリティ侵害がもたらす潜在的な影響から、非常に重要な優先事項です。Palo Alto NetworksがITおよびOTネットワーク全体のインフラストラクチャをどのようにセキュリティ保護しているかについては、ICS向けセキュリティ リファレンス ブループリントをご覧ください。