Column
問われるサイバーレジリエンス

OTセキュリティ対策では事業者自らがリスクを認識し対策を打つ

「重要インフラ&産業サイバーセキュリティコンファレンス」より、フォーティネットジャパン OTビジネス開発部マネージャーの小泉和也氏

篠田哲

2024年4月8日

セキュリティ対策に実効性をもたらす3つの勘所

　構築したセキュリティ対策の実効性を高めるための勘所として、小泉氏は次の3点を挙げる。

勘所1=有事の事故対応

　OTセキュリティ対策では、「予防活動のほかに有事の事故対応が欠かせない。だが思うように進まない場合が多い」と小泉氏は指摘する。そのため「誰が担当するのか」「手順をどうするか」「連絡フローや復旧の手順をどうするか」などを定めたマニュアルを作成する必要がある。加えて、「それを運用する組織づくりや訓練の実施も欠かせない」（同）という。

　OTセキュリティ対策の目的は、現場の安全・安心の確保と生産性の維持向上、さらに事故対応を早期化し、生産性をいち早く復旧させることにある。「これらを念頭に有事の事故対応策も綿密に構築しておく必要がある」と小泉氏は指摘する。

勘所2=経営層を巻き込むアプローチ

　OTセキュリティ対策は「誰の仕事なのかが明確になっていないケースも少なくない」と小泉氏は話す。そのため「経営層のOTセキュリティに関する理解度が低くなりがちで、それが対策を進める上でのネックになることもある」（同）

　フォーティネットの場合、経営層に対し「エグゼクティブサマリー」を提出している。経営層を巻き込むためのOTセキュリティ対策のアプローチをまとめたものだ。「経営層だけでなく、IT部門、OT部門それぞれの担当者がOTセキュリティを“自分ごと”として理解するよう促し、OTセキュリティ対策を実現する」（小泉氏）のが狙いである。

勘所3=外部有識者の知見の活用

　IT／OTシステムが増える中、脅威の入口であるアタックサーフェス（攻撃対象領域）が多様化し、サイバー攻撃の種類も増加している。一方で「法規制強化によるコンプライアンス対応が増えているが、セキュリティ人材は不足がち」（小泉氏）のが実状だ。小泉氏は、「こうした問題に対応するには事業者のリソースだけでは、もはや限界ではないか」と指摘する。

　内部リソースの不足に対しては、「外部リソースの活用も1つの手段になる」と小泉氏は提案する。フォーティネットとしては、「経産省のガイドラインを共通知識の土台とし、OTセキュリティ対策のパートナーとして現状把握からOTセキュリティ対策の横展開まで一気通貫で支援していく」（小泉氏）とした。