- Column
- 工場のレジリエンスを高めるためのセキュリティ対策の実際
従来の常識では成功は難しいOTセキュリティの正しいアプローチ【第2回】
ITセキュリティ（Information Technology：情報技術）担当者がOT（Operational Technology：制御技術）セキュリティに取り組むと、効果が十分に出なかったり対策費用が余計にかさんだりすることがある。OT特有の制限事項を理解していないからだ。今回は、OTセキュリティへの正しいアプローチについて解説する。
OT（Operational Technology：制御技術）セキュリティにはIT（Information Technology：情報技術）セキュリティにはない制限事項が多い。OTセキュリティで成功を得るにはまず、この制限事項、すなわちOTセキュリティとITセキュリティの相違点を理解することが重要である。
OTセキュリティとITセキュリティの主な相違点
相違点1 ：通常のITセキュリティ機器ではOT通信プロトコルを監視できない
生産設備間の通信では、「Profinet」や「EtherNet／IP」といったOTのための通信プロトコルが利用されている。従って、一般的なIT通信プロトコルに対応している通常のITセキュリティ機器では、このOT通信プロトコルを十分に監視できず、工場へのセキュリティ攻撃を止め切れない。
OT通信プロトコルを監視するためには、OT通信プロトコルに対応したセキュリティ製品を導入する必要がある。しかし、そのようなセキュリティ機器の選定や組み合わせには、OTに対する高度なノウハウが必要で高い知見が求められる。
相違点2 ：工場では新たなセキュリティ機器を迅速に導入できない
工場では、供給責任を果たすために生産ラインを稼働し続ける必要がある。セキュリティ攻撃が発生しているからといって直ちに新たなセキュリティ機器を導入するのは難しい。
相違点3 ：OTセキュリティはITセキュリティ以上に予算の制約が厳しい
ITセキュリティの対策費は一般的に会社全体の予算として計上され、対策予算は比較的に潤沢である。これに対しOTセキュリティ対策費は、独立採算制の工場予算で計上されるため、十分な対策予算を捻出するのが難しい。
相違点４ ：OTセキュリティには順守すべき関連法が多い。加害者責任を問われないようにセキュリティ対策を検討する必要がある
OTセキュリティでは加害者になる可能性を考慮する
これらの相違点を踏まえた対策の視点としては一般的に、「ITセキュリティは機密性重視、OTセキュリティは可用性重視」だと言われる。だが、この認識は十分とは言えない。工場のセキュリティ対策不備によって生じた利用者や社会への悪影響（被害）は各種法令で処罰される可能性があるため、OTセキュリティでは事業の可用性を考慮する前に法令順守の視点が重要になるからだ。
ITセキュリティでは一般的に被害者にならないことを目的に機密性重視のセキュリティ対策を実施する。これに対しOTセキュリティでは、被害者にならないだけでなく、セキュリティ攻撃によって不良品を生産してしまうなど加害者にならないことを目的にしたセキュリティ対策を、可用性を重視しながら実施する必要がある（図1）。
