ISA/IEC-62443-3-3：概要と準拠方法

 

概要

産業組織にとって、産業用オートメーションおよび制御システム（IACS）をサイバー脅威から保護することは最優先事項です。しかし、頭ではわかっていても、いざ行動に移すとなるとこれは非常に困難なタスクです。IACS とその基盤ネットワークは非常に複雑で、旧式のテクノロジーが使われ、セキュリティ手順も不十分であることが多いため、何から着手すべきかわからずに頭を抱えることになりがちです。

幸い、国際自動制御学会（ISA）によって ISA99 標準規格および技術に関する報告書がまとめられています。国際電気標準会議（IEC）は ISA と協力して、これらの報告書の大部分を IEC 文書として公開し、補足的なパートを開発して共通の ISA/IEC-62443 シリーズに追加しています。

ISA/IEC-62443 シリーズ標準規格および技術報告書は、さまざまな目的と対象者に対応する 4 つのグループに分類されています。パート 3-3 にはシステムセキュリティ要件とセキュリティ機能レベルが定義されており、これに基づいて目標とするセキュリティレベルを満たす IACS を構築し、各要件に対する組織のプラクティスを評価できます。この文書は、IT チームと運用チームが連携して産業インフラストラクチャを構築して、サイバー脅威と偶発的イベントの両方から効果的に保護し、かつ継続的に改善するための共通の基盤を提供します。

シスコは、エンタープライズ ネットワークの構築とサイバーセキュリティ分野で最もよく知られています。しかし、15 年以上にわたって世界の産業組織におけるオペレーションのデジタル化に貢献してきたことはそれほど知られていません。シスコは製造業、エネルギーや水道の公益事業、鉱業、港湾、鉄道、道路交通網といった産業と連携してきました。実際、産業用ネットワークのあらゆる領域で、シスコはリーディングカンパニーなのです。

運用テクノロジー（OT）の要件を深く理解し、かつ最先端のサイバーセキュリティ ポートフォリオを提供しているシスコは、産業組織にとって、IACS の保護と ISA/IEC-62443-3-3 規格への準拠を支援できる理想的なパートナーです。この文書では、この規格に含まれている要件について解説し、シスコがどのような支援を提供できるのかについて説明します。

ISA/IEC 62443-3-3 セキュリティ原則

この標準規格のパート 3-3 には、パート 1-1 に定義されているサイバーセキュリティ原則に準拠するための基本要件（FR）から派生した、以下を含む重要なセキュリティ要件（システム要件（SR）と強化策（RE））が定義されています。

最小限の権限

この原則は、データやプログラムへの望ましくないアクセスを防ぎ、アカウントが侵害された場合に攻撃をブロックするか遅らせるために、ユーザーに作業の実行に必要な権限のみを与えるものです。

多層的な防御

この原則は、階層型の防御技術を使用して、産業用ネットワークにおけるサイバー攻撃を遅らせるか防止するものです。またこの標準は、システムを「ゾーン」と呼ばれるグループに分割し、ゾーン同士が「コンジット」と呼ばれる通信チャネルを介して物理的、電子的、またはプロセスベースで相互に通信できるようにすることをシステムに義務付けています。

リスク分析

重大度、可能性、および影響に基づくリスク分析の概念は、目新しいものではありません。製造インフラストラクチャ、製造能力（製造のダウンタイム）、人的影響（けが、死亡）、および環境（汚染）に関連するリスクに対処するために、すでに使用されています。ただし、産業情報システムに固有のリスクに対処するには、リスク分析をサイバーセキュリティにまで拡張する必要があります。ISA/IEC-62443-3-2 には、IACS 向けのセキュリティリスク評価方法が記述されています。

補完的なセキュリティ対策

多くの場合、IACS のコンポーネントは、特定のセキュリティレベルを満たすために必要な機能を提供しません。そのようなシナリオでは、技術的か手順型かを問わず、補完的なセキュリティ対策を使用することで、必要な機能を確保できます。セキュリティソリューションに見られる複数の技術の組み合わせは、そのような役割を果たすことを目的に設計されています。

ゾーンとコンジット

ISA/IEC-62443 は、これらの原則に基づいて、ISA95 で使用される Purdue 参照モデル（図 1）を活用し、これらの機能レベルをゾーンとコンジット（図 2）にセグメント化する産業用制御システムアーキテクチャを提案しています。セグメンテーションは、ISA/IEC-62443-3-2 に規定されているセキュリティリスク評価の結果生まれたものです。

ISA/IEC 62443 機能参照モデル（出典：IEC-62443-3-3 標準規格）

この規格によると、ゾーンとは、共通のセキュリティ要件を持つ、物理的または機能的に統合された資産の集合体です。これらのゾーンは、産業システム制御アーキテクチャの物理モデルと機能モデルに基づいて定義されます。IACS のすべての資産は、ゾーンに配置する必要があります。

コンジットは、ゾーン間の通信をサポートします。コンジットは、2 つ以上のゾーン間の通信チャネルの論理グループです。

産業用ネットワークゾーンとコンジットの例（出典：IEC 62443-3-3 標準規格）

安全なコンポーネントの活用

ISA/IEC-62443-3-3 は安全な IACS の原則に焦点を当てていますが、この標準規格シリーズの他のパートを活用します。たとえば、セキュリティプログラムが『IEC 62443‐2‐1：IACS 資産所有者のセキュリティプログラムの要件』に従って確立され、運用されることを前提としています。

また ISA/IEC-62443-3-3 は、安全なコンポーネントが展開されるか、追加の対策が実施されることも前提としています。これによってこの規格に規定されている要件を満たし、現在および将来の脆弱性や脅威の状況に対処することを想定しています。コンポーネントおよび開発の要件は、パート 4-2 および 4-1 に定義されています。これらの要件への対応は、コンプライアンスの達成に欠かせません。

ISA/IEC-62443-4-1：セキュアな製品開発ライフサイクル要件

ISA/IEC-62443 シリーズのこのパートは、IACS の構成に使用される製品を安全に開発するためのプロセス要件と、コンプライアンスのベンチマークを設定する成熟度レベルで構成されています。その内容は、要件、管理、設計、コーディングガイドラインの使用、実装、検証と確認、欠陥管理、パッチ管理、および製品サポートの終了のプロセスに関連しています。これらの要件は、コンポーネントのセキュリティ機能と IACS ソリューションの基盤となるセキュアバイデザイン（設計時にセキュリティを組み込む）アプローチにとってきわめて重要です。パート 4-1 の全体的な焦点は、製品の開発とリリースの高速化に対応するために不可欠な、継続的な改善です。

シスコのソフトウェアおよびハードウェア製品は、シスコセキュア開発ライフサイクル（Cisco SDL）に従って開発されているため、製品の計画からサポート終了にいたるまでセキュアバイデザインの考え方が徹底されています。シスコのすべての産業用製品の開発に適用される Cisco SDL は、IEC-62443-4-1 認定を取得しています。

ISA/IEC 62443-4-2：IACS コンポーネントの技術的なセキュリティ要件

このパートには、7 つの基本要件（FR）に関連する技術的な制御システムコンポーネントの要件が含まれています。このパートは、ISA/IEC‐62443‐3‐3 に定義されているシステム要件（SR）および強化要件（RE）を、IACS 内に含まれるコンポーネント向けの一連のコンポーネント要件（CR）および関連する RE に拡張するものです。その目的は、IACS ソリューションを構築および統合するための制御システムコンポーネントの選択と調達を支援することです。

これに関して、この規格には、コンポーネントを特定のセキュリティレベル（SL）で IACS のシステム環境に統合するためのセキュリティ機能が規定されています。パート 4-2 には、ソフトウェア アプリケーション、組み込みデバイス、ホストデバイス、およびネットワークデバイスの 4 種類のコンポーネントについて、各資産の詳細に合わせて調整された要件が含まれています。要は、安全な IACS ソリューションを構築するには安全なコンポーネントをベースにし、必要に応じて補完的なセキュリティ対策を適用していく必要があるということです。

いくつかのシスコ製品は、すでに IEC-62443-4-2 認定を取得しています。シスコは、62443 認定を取得した開発プロセス（Cisco SDL）と併せて、重要なインフラストラクチャに IACS を展開するために不可欠な信頼性の高い通信製品を提供しています。

ISA/IEC-62443-3-3 の基本要件

この章では、各基本要件（FR）に関連して IEC-62443-3-3 に定義されているシステム要件（SR）と、これらに準拠するためにシスコがどのように役に立てるかについて詳しく説明します。FR 自体は、ISA/IEC 62443-1-1（用語、概念、モデル）に定義されています。

この標準規格の範囲によると、これらの要件は、IACS の構築と運用に使用されるすべてのコンポーネントに関連します。通常シスコは、資産所有者がネットワークおよびセキュリティのコンポーネントの要件と望ましいセキュリティレベルを満たすのを支援することができます。

この規格には、リスク分析の結果に応じて、組織がそれぞれの FR を達成するために選択できる 5 つの異なるセキュリティレベル（SL）が定義されています。

●      レベル 0：特定の要件やセキュリティ保護の必要なし。

●      レベル 1：偶発的イベントからの保護。

●      レベル 2：悪意のあるユーザーによる、単純な手段、少ないリソース、一般的なスキルを使った、低モチベーションの意図的なイベントからの保護。

●      レベル 3：悪意のあるユーザーによる、高度な手段、中程度のリソース、特定のスキルを使った中程度のモチベーションに基づく意図的なイベントからの保護。

●      レベル 4：悪意のあるユーザーによる、高度な手段、広範なリソース、特定のスキルを使った高いモチベーションに基づく意図的なイベントからの保護。

組織はこれらのセキュリティレベルを使い、脅威の複雑さに応じたセキュリティ制御に必要な保護を定義できます。

FR1：識別、認証制御、およびアクセス制御（AC）

根拠

この規格のこのパートでは、産業用制御システムまたは特定のコンポーネントへのアクセスを許可する前に、ユーザー（人間、ソフトウェアプロセス、およびデバイス）を識別および認証するための要件を説明しています。一部のコンポーネントには他のコンポーネントよりも強力な認証メカニズムが必要になる可能性があることを認識し、単一ゾーン内の制御を最小限に抑えることを推奨しています。

シスコが役に立てること

Cisco Identity Services Engine（ISE）は、有線および無線のネットワークデバイスと連携して、ユーザー、時間、場所、脅威、脆弱性、アクセスタイプなどの属性を使用した包括的なコンテキスト ID を作成します。これにより、ID が人間のものであるかどうかを問わず、ID のビジネス上の役割に合致する非常に安全なアクセスポリシーを適用できます。管理者はネットワーク上のエンドポイントで、誰が、何を、いつ、どこで、どのように許可するかを正確に制御できます。ISE は Microsoft Active Directory などの複数の外部 ID プロバイダーと統合できます。

さらに Cisco ISE は、容易に展開できる内部認証局を提供します。ISE はスタンドアロン展開および既存のエンタープライズ公開キーインフラストラクチャに認証局を統合する展開の両方をサポートしています。また、1 つまたは大量の証明書とキーのペアを手動で簡単に作成できるようにして、ネットワークに接続するデバイスに高度なセキュリティを提供できます。

人間のユーザーが工場フロアにある Windows ワークステーションにアクセスしたり、リモートでネットワークにアクセスしたりする場合、Cisco Duo により多要素認証（MFA）を実施し、アクセスを許可する前にユーザーの ID を確認できます。Duo Authentication for Windows Logon をインストールすると、インストーラで [RDP経由のログイン時のみDuo認証を使用（Only prompt for Duo authentication when logging in via RDP）] オプションを選択しない限り、ローカルコンソールまたは Remote Desktop Protocol（RDP）のいずれを経由する場合も、すべての対話ユーザーによる Windows ログイン試行に MFA が追加されます。

Cisco Cyber Vision の主な機能は、資産インベントリの提供とフローデータの可視化です。クリアテキストプロトコルを使用して送信されたログイン情報の存在も検出できるため、管理者は中間者攻撃が発生する前に防御できます。

表 1.                識別、認証制御、アクセス制御のためのシステム要件

FR2：使用制御（UC）

根拠

この基本要件の目的は、不正なアクション（データの読み取り/書き込み、プログラムのダウンロード、構成の設定など）からコンポーネントを保護するために、識別および認証されたユーザー（人間、ソフトウェアプロセス、またはデバイス）に適切な特権を適用することです。また、ユーザーアクションの監視にも注意を払い、時刻、日付、場所、およびアクセス手段に基づいてユーザー権限を変更することを推奨しています。

シスコが役に立てること

Cisco Identity Services Engine（ISE）は、有線および無線の産業用ネットワークの両方でアクセス制御に使用される認証、許可、およびアカウンティング（AAA）サーバーです。認証はユーザーを識別する手段で、通常はユーザーが有効なユーザー名とパスワードを入力するとアクセスが許可されます。ただし、ネットワーク内のほとんどのデバイスは人間ではないため、ユーザー名やパスワードを提供することができません。

ISE には MAC 認証バイパス（MAB）を実行する機能が備わっており、デバイスの MAC アドレスに基づいて提供するネットワークアクセスレベルを決定できます。MAB の実行前はエンドポイントの ID が不明であるため、すべてのトラフィックがブロックされます。スイッチが単一のパケットを検査して送信元 MAC アドレスを学習および認証します。MAB が成功するとエンドポイント ID が認識され、エンドポイントからのトラフィックが許可されます。スイッチは送信元 MAC アドレスフィルタリングを実行し、MAB により認証されたエンドポイントのみがトラフィックを送信できるようにします。

認可は、ポリシーを適用し、ユーザーまたはデバイスにアクセスを許可するアクティビティ、リソース、サービスを決定するプロセスです。これらはすべて中央のロケーションからコントロールされ、Cisco ISE がネットワークおよびセキュリティ インフラストラクチャ全体に適用ポリシーを配信します。管理者は登録ユーザーからベンダーを区別するポリシーを一元的に定義し、最小限の特権に基づいてアクセスを許可できます。ISE は Downloadable Access Control Lists（dACL）、VLAN 割り当て、セキュリティグループタグ（SGT）、Cisco TrustSec など、さまざまなアクセス制御オプションを提供します。これらのテクノロジーについては、ネットワーク セグメンテーションに関連する FR5 でさらに詳しく説明されています。Cisco Secure Firewall は、読み取り/書き込みの適用などの機能について、ネットワーク境界をまたがるより詳細なポリシーを提供します。

アカウンティングは、アクセス時にユーザーが消費したリソースを測定します。対象には、システム時間や、セッション中にユーザーが送受信したデータ量などが含まれます。セッションの統計情報と使用状況情報を記録し、それらの情報を認可制御、リソース使用率分析、キャパシティプランニングなどのアクティビティに利用します。

Cisco Cyber Vision はネットワーク インフラストラクチャを通過するすべてのパケットを詳細に検査し、ネットワーク内のイベントを確認して OT 固有のデータを提供することで監査ログを保管します。

表 2.                使用制御のシステム要件

FR3：システムの完全性（SI）

根拠

この基本要件の目的は、コンポーネントのライフサイクル全体（テスト、運用、および非運用フェーズ中）にわたる不正な操作を防止することにより、IACS の各コンポーネントの完全性を確保することです。たとえばデータ転送の完全性も、測定値やコマンドパラメータの操作を防止するための重要な要件です。

シスコが役に立てること

特定の物理的および環境的影響に対処し、電磁波干渉（EMI）やその他の過酷な状況による影響を排除するためには、セキュリティ制御に加えて、強化された堅牢な機器が必要になります。これには、通信機器のケーブル配線、インターフェイス、および設計が含まれます。これに関連するよい例が、変電所に設置される機器向けの IEC-61850-3 標準規格です。変電所自動化ネットワークで使用されるシスコの高耐久性産業用スイッチはすべて、IEC-61850 パート 3 の認定を受けています。

また、データの高可用性を確保し、環境条件による影響を最小限に抑えるには、堅牢で信頼性が高く、場合によっては冗長化されたネットワークアーキテクチャが必要になります。

データ転送の完全性に関するインサイトを得られるように、シスコでは、エンドポイントソフトウェアと侵入検知システム（IDS）を使用して悪意のあるコードや不正なソフトウェアの影響を防止、検出、レポート作成、軽減することを推奨しています。Cisco Snort は、Cisco Secure Firewall と Cyber Vision の両方に統合されたオープンソースの IPS/IDS です。Cisco Secure Endpoint は、ワークステーション、Windows ベースのヒューマンマシン インターフェイス（HMI）、および産業用ネットワーク内で使用されるタブレット上のマルウェアを検出および防止できるエンドポイント保護ツールです。

表 3.                システムの完全性に関するシステム要件

FR4：データの機密性（DC）

根拠

この基本要件の目的は、データの送信中または保存中に、データを不正な開示から保護することです。この要件は、通信チャネルとストレージを保護する必要を示しているだけでなく、保護が必要なデータとそのデータにアクセスできるユーザーを定義することを組織に義務付けています。

シスコが役に立てること

MACsec は、2 台の MACsec 対応デバイス間のパケットの認証と暗号化に関する IEEE 802.1AE 規格です。たとえば、Cisco Catalyst IE3400 高耐久性 シリーズ スイッチは、スイッチと MACsec 対応ホストデバイス間の暗号化のために、スイッチからホストへのリンクで MACsec Key Agreement（MKA）による 802.1AE 暗号化をサポートします。このスイッチは、Cisco TrustSec ネットワーク デバイス アドミッション コントロール（NDAC）、セキュリティ アソシエーション プロトコル（SAP）、および MKA ベースのキー交換プロトコルを使用したスイッチ間のセキュリティのために、MACsec 暗号化もサポートしています。

保管中のデータの保護はシスコの範囲外であるため、このデータを保護するにはさらに考慮が必要です。

表 4.                データの機密性に関するシステム要件

FR5：データフローの制限（RDF）

根拠

この基本要件の目的は、この規格で推奨されている最小特権の原則を実施するために、コンポーネント間のシームレスな通信を制限することです。通信を制限するには、IACS ネットワークをセグメント化し、組織のリスク評価および達成しようとするセキュリティレベルに基づいて定義されたゾーンとコンジットをサポートする必要があります。ネットワークのセグメンテーションは、制御システムがサイバー脅威にさらされる機会を減らし、攻撃の拡散を制限する効率的な方法として認められています。また、異なるネットワークセグメント間の接続を切断してインシデントに対応するためにも活用されます。

シスコが役に立てること

IDMZ（産業用緩衝ゾーン）は、重要な環境または製造現場システムとエンタープライズ ネットワークの間のバッファです。産業ゾーンとエンタープライズゾーンの間の共有サービスはすべて IDMZ に配置されます。シスコは、各セキュリティゾーンに出入りするトラフィックを検査できる Cisco Secure Firewall などの境界（「エッジ」）セキュリティアプライアンスに加え、セグメント化されたネットワークを維持しながら重要なネットワークとそれ以外のネットワーク間のギャップを埋めるために Cisco Telemetry Broker などのレプリケーションサービスも提供します。

プラント内部では、IEC 62443 で提示されるゾーン/コンジットモデルをサポートするために、Cisco ISE は TrustSec テクノロジーを使用して制御システムネットワークを論理的にセグメント化します。シスコのスイッチ、ルーティング、ワイヤレス LAN、およびファイアウォール製品には、Cisco TrustSec の分類およびポリシー適用機能が組み込まれています。ネットワーク アクセスポイントでは、通常はエンドポイントのユーザー、デバイス、およびロケーション属性に基づいて、セキュリティグループタグ（SGT）と呼ばれる Cisco TrustSec ポリシーグループがエンドポイントに割り当てられます。SGT はエンドポイントのアクセス権を示し、エンドポイントからのすべてのトラフィックが SGT 情報を伝達します。SGT は、スイッチ、ルータ、およびファイアウォールが転送の決定を行うために使用されます。SGT の割り当てによってビジネスの役割や機能を示すことができるため、基盤となるネットワークの詳細ではなく、ビジネスニーズに基づいて Cisco TrustSec の制御を定義できます。

Cisco Cyber Vision は、これらのビジネスの役割の定義に役立ちます。Cyber Vision は、パッシブ検出とアクティブ検出の独自の組み合わせを活用して、デバイスやプロセスに影響を与えることなくすべての資産を特定します。検出は産業用ネットワークによって実行されるため、検出用通信はファイアウォールやネットワークアドレス変換（NAT）境界によってブロックされません。その結果、100% の可視性が実現します。Cyber Vision により資産とその通信がマップに表示されるため、運用チームは自社の産業プロセスに容易に関連付けることができます。したがってチームは、資産をゾーン（生産セルなど）にグループ化し、ネットワーク セグメンテーション ロジックを定義できます。この情報が Cyber Vision により ISE と自動的に共有され、それに応じてセキュリティポリシーが構築されます。

コンプライアンス要件を満たすために、Cyber Vision は変数アクセスを含むすべてのイベントとアプリケーションフローの履歴を保持します。これによりフォレンジック調査を簡単に実行してレポートを作成できます。

表 5.                データフロー制限のシステム要件

FR6：イベントへのタイムリーな対応（TRE）

根拠

この基本要件の目的は、IACS コンポーネントを適切に監視することで、コンポーネントの安全性を確実に確保することです。これらの要件は、組織がフォレンジック調査に必要な証拠を収集し、セキュリティ違反に対応するために使用するツールと手順を実装できるように設計されています。5 つのセキュリティレベルによって、イベントがシステムのセキュリティに影響を与えた際に、適切な関係当局にいかに迅速に通知されるかについての異なる期待値が設定されています。

シスコが役に立てること

Cisco Cyber Vision はすべてのイベントとアプリケーションフローの履歴を保持します。これにより、現在のセキュリティステータスをすばやく把握し、異常と脆弱性を特定し、脅威に対応することができます。Cyber Vision はさまざまなダッシュボード、レポート、およびイベント履歴を提供するため、セキュリティの問題を簡単に特定できます。さらに、Cisco Talos 脅威インテリジェンスを活用した Snort IDS エンジンが統合され、マルウェアや悪意のあるトラフィックなどの既知の脅威と新たな脅威を検出します。

Cyber Vision は IBM QRadar や Splunk などの主要な SIEM および SOAR（Security, Orchestration, Automation, and Response）プラットフォームと事前に統合されており、syslog を使用して OT イベントとアラートを他のツールに転送できます。イベント疲れを回避するために、通知されるイベントタイプを選択することもできます。

Cisco SecureX は、シスコのセキュリティ製品とサードパーティのソースの両方からのインテリジェンスを集約し、ファイルハッシュ、IP アドレス、ドメイン、電子メールアドレスなどの監視対象が不審なものかどうかを識別します。調査を開始すると、シスコ統合セキュリティ製品からコンテキストが自動的に追加されているため、どのシステムが標的となり、どのような攻撃を受けたかを即座に把握できます。これにより、ナレッジがインテリジェンスソースとセキュリティ製品から返され、数秒で結果が表示されます。また、セキュリティ運用チームはカスタムワークフローをトリガーしてすぐに行動を起こしたり、提供されたツールを使用して調査を継続したりできます。

表 6.                イベントへのタイムリーな対応のためのシステム要件

FR7：リソースの可用性（RA）

根拠

この基本要件の目的は、サービス拒否（DoS）攻撃の発生時のように機能が低下した環境で実行されているときでも、IACS コンポーネントが重要な機能の提供を継続し、安全な運用を確保できるようにすることです。つまり、ネットワークトラフィックの優先順位付け、ベースラインからの逸脱の検出、バックアップからのシステムの回復を実行できるようにします。これらすべてを実現可能にするには、すべての IACS コンポーネントの詳細なインベントリを維持する必要があります。

シスコが役に立てること

シスコの産業用セキュリティアーキテクチャの全体的な目的は、IACS リソースの完全性と可用性を確保することです。この目的は、以下の表に示すさまざまな手法によって実現されます。

さらに、シスコのネットワーク インフラストラクチャには、DoS 攻撃から保護するために Quality of Service（QoS）を設定する機能が備わっています。ユーザーは、特定のネットワークトラフィックを選択し、相対的な重要性に従って優先順位を付けることができます。ネットワークに QoS を実装すると、ネットワークパフォーマンスが予測しやすくなり、帯域幅の利用効率が向上します。ネットワークセグメントが侵害された場合でも、QoS によって、同じ物理インフラストラクチャ上の他のネットワークセグメントのリソース使用率に影響が及ぶのを回避できます。

表 7.                リソースの可用性のシステム要件

ISA/IEC-62443-3 準拠に向けた取り組みの開始

シスコは産業分野のユースケースに特化した、市場をリードするネットワーキング ポートフォリオを開発することによって、15 年以上にわたり世界中の産業組織の業務のデジタル化に貢献しています。OT 要件を深く理解すると同時に、包括的なサイバーセキュリティ ポートフォリオを提供しているシスコは、業界でも珍しい存在です。

シスコは、堅牢で柔軟なネットワークアーキテクチャこそが、堅牢なセキュリティの重要な成功基準であると考えています。ネットワーク設計が不十分だと大量の脆弱性を生み出し、セグメンテーションと拡張性の概念を妨げるだけでなく、サイバーセキュリティ制御と物理的セキュリティ対策の統合に支障をきたす可能性があります。

一方で、当社の経験から言えば、安全な産業用ネットワークの構築は一夜にして実現できるものではありません。確実な成功を支援するために、シスコは段階的なアプローチを推進しています。段階ごとに次の段階に向けた基盤を構築することで、お客様のペースに合わせてセキュリティ体制を強化し、この取り組みを開始するにあたりすべての利害関係者に価値を示すことができます。

シスコは、ISA/IEC-62443-3 のゾーン/コンジットの概念に基づいて、組織が規格に準拠しながら産業用制御システムを保護するために従うべきさまざまな手順を説明するリファレンスアーキテクチャを開発しました。シスコ産業用セキュリティ検証済みデザイン（CVD）は、ISA/IEC-62443-3 で定義されている運用のニーズを満たしており、IT チームとセキュリティチームにはより馴染みのある NIST サイバーセキュリティ フレームワークも活用します。

NIST サイバーセキュリティ フレームワークの柱

発見

Cisco Cyber Vision はすべての産業用資産とそのアプリケーションフローの可視性を提供します。接続されているすべてのデバイスに関する詳細情報を含む動的なインベントリを作成し、通信アクティビティを追跡してゾーンとコンジットを監視します。またサイバー脅威にさらされている IACS を特定することでリスク評価にも役立ちます。Cyber Vision センサーは、セル/エリアネットワーク機器に組み込まれており、広域にわたる可視性を提供します。

セグメント化

産業用ネットワークは、Cisco Secure Firewall が配置する IDMZ（産業用緩衝ゾーン）によってエンタープライズ ネットワークからセグメント化されます。Cisco Secure Firewall は産業用ネットワークのさまざまな部分のセグメント化にも使用できます。各セグメントによって半自律的なゾーンが形成され、セキュリティインシデントをゾーン内に制限して封じ込めることができます。

より詳細なセグメンテーションと動的アクセス制御のために、Cisco Identity Services Engine（ISE）は、セキュリティポリシーをデバイスレベルで自動的に適用します。Cisco ISE は制御エンジニアによって Cyber Vision で構成されたゾーンを活用して、通信フローを適切に制限するようにネットワークに指示します。

Cisco ISE は、Cisco Secure Client（AnyConnect を含む）を使用して産業用ネットワークに VPN アクセスを行うリモートユーザーのアクティビティを制限することもできます。Cisco Secure Equipment Access は、もう 1 つのリモートアクセス ソリューションで、個々のデバイスに限定してアクセスを許可します。どちらのソリューションも、Cisco Duo を使用して MFA を活用できます。

検知

Cisco Cyber Vision は各 OT デバイスにパッチを適用する必要があるハードウェアとソフトウェアの脆弱性を管理者に警告します。また、Snort IDS エンジンを統合して侵入や悪意のあるトラフィックを検出します。OT ネットワークアクティビティに対するこの包括的な可視性により、通常の動作からの逸脱を検出するためのベースラインを構築できます。

Cisco Secure Network Analytics（旧称 Cisco Stealthwatch）も、ネットワークデバイスからテレメトリを収集し、ネットワークフローを監視することによって異常の検出に役立ちます。

Cisco Secure Firewall は Cisco Secure IPS、Secure Firewall Malware Defense、高度な分散型 DoS（DDoS）の軽減機能、および URL フィルタリング機能を統合して、包括的な侵入検出と保護を提供します。また、Talos シグネチャファイルを活用して脆弱性のエクスプロイトをブロックすることもできます。

Cisco Secure Endpoint は、さまざまなエンドポイント（ワークステーション、サーバー、ラップトップ、タブレットなど）にマルウェアからの高度な保護機能を提供する製品で、ネットワーク上で通信している保護対象エンドポイント上のプロセスを識別できます。

対応

Cisco SecureX は、複数のセキュリティテクノロジー（シスコおよびその他のベンダー）からの脅威インテリジェンスとデータを 1 つの統合ビューに集約することで調査を促進します。また、包括的なケース管理機能や特定の環境向けのカスタムプレイブックを提供して、修復の効率を高めます。

Cyber Vision やその他のセキュリティツールではログイベントを SIEM プラットフォームにエクスポートでき、より詳しい調査や関連付けで使用できます。

シスコ検証済みデザイン（CVD）

シスコ OT セキュリティ リファレンス デザインは、安全かつ堅牢で信頼性の高い産業用ネットワークのブループリントです。シスコの包括的なネットワーキングとセキュリティのテクノロジーを活用して、産業用資産の可視化、マクロ/ゾーンセグメンテーション、ゾーンアクセス制御、脅威検出および対応機能を提供します。このデザインでは、情報セキュリティとの調整を通じて、一貫性あるアクセスポリシー管理と、セキュリティ オペレーション センター（SOC）への産業セキュリティイベントの集約を実現できます。

図 4 に示すように、このデザインは Purdue/ISA95 モデルに従い、ISA/IEC-62443-3 に準拠するための詳細な設計および実装のガイドラインを提供します。

シスコの産業用セキュリティアーキテクチャ（出典：シスコ OT セキュリティ検証済みデザイン）

まとめ

産業用オートメーションおよび制御システムの保護は、他のあらゆるセキュリティ対策と同様に、1 つの製品ではなく継続的なプロセスによって実現できるものです。このことはハードウェアとソフトウェアを含むコンポーネントの開発、運用、保守、および関連するその他のあらゆる活動に当てはまります。シスコはこの重要なパラダイムへの取り組みを、Cisco SDL に基づく製品開発に加え、シスコ検証済みデザインなどアーキテクチャおよび展開のリファレンスの改善も通じて行っています。

リンクと参考資料

●      ISA99 標準委員会

●      IEC62443-3-3 標準規格ダウンロード

●      産業用セキュリティ向けシスコ検証済みデザイン

●      産業用ネットワークを保護するための Cisco Industrial Threat Defense ソリューション

●      シスコセキュア開発ライフサイクル（SDL）

●      産業用セキュリティのニーズについてご相談がある場合は、シスコにご連絡ください