工場やOT環境のセキュリティ強化を支援するサービス、ベリサーブが開始

　ソフトウェアの品質検査を手掛けるベリサーブの「工場／OTセキュリティサービス」は、工場やOT（Operational Technology：制御・運用技術）環境のサイバーセキュリティ対策を強化するための支援サービス（図1）。製品セキュリティ分野で培った検証技術に加え、経済産業省の「半導体デバイス工場におけるOTセキュリティガイドライン」の策定参画などで得た知見を活用しているという。

図1：「工場／OTセキュリティサービス」のイメージ

　工場／OTセキュリティサービスが対象にするのは、MES（Manufacturing Execution System：製造実行システム）やSCADA（Supervisory Control and Data Acquisition：監視制御）、HMI（Human Machine Interface）、工場内のWebアプリケーションなど。ネットワークや基本ソフトウェア（OS）、関連機器などのインフラ領域についても協力会社と連携して対応する。

　提供するサービスは（1）侵入試験、（2）工場セキュリティアセスメント、（3）工場セキュリティガイドライン作成、（4）FSIRT（Factory Security Incident Response Team）プロセス構築支援の4つ。必要なサービスのみを利用できる。

　侵入試験では、攻撃者視点での侵入シナリオを作成し、重要な設備や情報への侵入経路や到達可能性を検証する。侵入後は、他の機器やシステムに攻撃範囲を広げるための経路も確認する。どの経路で、どこまで侵入できるかを調べたうえで、事業への影響を踏まえた対策の優先順位と改善方針を示す。所要期間は2～3カ月程度が目安だという。

　工場セキュリティアセスメントでは、ヒアリングや文書の確認により、既存の規程やルール、運用状況を関係する規格やガイドラインの要求事項と照合する。未対応項目や改善すべき課題を洗い出し、必要な対策と対応方針を整理する。所要期間の目安は3カ月程度だ。

　工場セキュリティガイドライン作成では、アセスメントの結果や工場の環境と運用状況から、セキュリティのポリシーや基準、ゾーニングの方針などを策定する。所要期間の目安は6カ月程度である。

　FSIRTプロセス構築支援では、工場や生産ラインのセキュリティインシデントに対応するための組織／体制であるFSIRTが、インシデントに対応できるよう、体制や対応プロセスの構築、訓練、運用を支援する。所要期間は6カ月程度が目安だ。

　今後は、対象システムを24時間365日体制で監視し、サイバー攻撃などに対応する専門組織であるSOC（Security Operation Center）の運用支援サービスも提供する予定である。

　ベリサーブによれば、工場内のシステムや設備を外部ネットワークに接続する運用が一般的になり、サイバー攻撃の影響が生産や製品品質、サプライチェーンにまで及ぶようになっている。一方で、その対策はネットワークやOS、機器が中心で、アプリに潜むリスクへの対応やルール、管理・運用体制が十分に整備されていないケースがある。