はじめに

サイバー攻撃の事件や被害の報道が連日のように取り上げられています。サイバー攻撃の被害は、インターネットに接続されているシステムや企業内のITシステムを中心に、個人情報の漏えい、機密情報の漏えいが多く発生しています。最近は、ITシステム以外の製造業、電力、水道などの制御系システムへのサイバー攻撃が発生しており、制御系システムの防御が重要な課題になっています。第1回は、制御系システムのセキュリティを取り巻く状況と政府を中心とした取り組みの動向について解説します。

1. 制御系システムの特徴

(1) ITシステムと制御系システムの統合

従来は、製造業、電力、ガス、水道、金融関係、鉄道、航空などの重要インフラや制御系システムは、インターネットとの接続や社内のIT（情報系）システムと接続はせずに、独立したシステムとして設計、運用されてきていました。制御系システムは、独自OSを使用した機器、独自の通信プロトコルを適用したネットワーク機器を使用することが多くありましたが、最近では汎用OSの適用、標準プロトコルの採用とオープン化が進みつつあります。図1に示すように、情報系ネットワークと制御系ネットワークを接続し、統合したネットワークシステムとして構築し、データの有効活用、資源の有効化を図る傾向にあります。

図1　情報系システムと制御系システムの統合

(2) 制御系システムのサイバー攻撃の事例

最近発生した制御系システムへのサイバー攻撃が報告されるようになってきています。表1に示した過去10年に制御系システムで発生したサイバー攻撃の事例を見ても、制御系システムのさまざまな分野で、サイバー攻撃を受けていることが分かります。

(3) ITシステムと制御系システムの比較

いままで制御系システムは、インターネットや社内のITシステムに接続していない独立したシステムであることから安全であるとは言われてきました。しかし、制御系システム機器などに汎用OSを使用する場合や、通信プロトコルに標準プロトコルを採用する場合が多くなり、サイバー攻撃を受けやすい状況になってきています。また、システムの設計や運用面についても異なる考え方で設計、運用されてきています。表2にITシステムと制御系システムを比較整理します。

ITシステムと制御系システムは、設計および運用の思想が異なります。ITシステムではセキュリティの機密性を重視しますが、制御系システムでは可用性を重視します。ITシステムでは、個人情報や機密データなどに重点を置きますが、制御系システムでは、人命にかかわることに重点を置くために可用性を重視しています。システムの設計では、性能要件、システム運用、パッチ適用の考え方が大きく異なります。システムの使用期間もITシステムはわりと短期間ですが、制御系システムでは長期間にわたって使用します。これらの設計思想の異なるシステムを接続して情報システムを構築することになりますが、そもそもセキュリティに対する考え方が異なるシステムを接続するため、十分なセキュリティ対策をとる必要があるといえます。

2. 政府の制御系システム・重要インフラのセキュリティの取り組み状況

日本では、内閣官房が2000年から「重要インフラのサイバーテロ対策に係る特別行動計画」を発表し、重要インフラのサイバーテロに対する対策についての検討を始めました。内閣官房の「情報セキュリティ政策会議」の配下に「重要インフラ専門委員会」を設置し、日本の重要インフラの防御についての検討を始めました。現在は、サイバーセキュリティ基本法の制定を受け、内閣サイバーセキュリティセンターの「サイバーセキュリティ本部」の配下に「重要インフラ専門調査会」として改組し、活動を行っています。重要インフラとは国民生活に密接に関係するインフラシステムを対象とし、制御系システムを含む重要な分野を選定しています。対象としている重要インフラの分野は、電気通信、放送、銀行など、証券、生命保険、損害保険、航空、鉄道、電力、ガス、政府・地方自治体、医療、水道、物流、化学、クレジット、石油の13分野です。重要インフラ専門調査会の活動のひとつに、「重要インフラにおける情報セキュリティ確保に係る「安全基準など」策定指針」の策定があります。この指針を基に、各分野では各分野のセキュリティガイドラインを策定し、実施することになっています。表3に各分野で策定しているガイドラインを示します。さらに、分野ごとに詳細なサイバー攻撃に対する基準またはガイドラインを策定する動きもあり、各分野内の情報共有などを目的とした専門組織としてISAC(Information Sharing and Analysis Center)を設置することが多くなっています。例えば、情報通信分野では、ICT-ISAC、金融分野では金融ISAC、電力では電力ISACを設立し、各分野で活用を行い、他の機関との情報共有を図っています。

出典：内閣サイバーセキュリティセンターの「2016年度重要インフラにおける安全基準等の継続的改善状況等の調査」を基に作成

制御系システムのセキュリティの取り組みとしては、経済産業省が電力システムのサイバーセキュリティとして、

1. マネジメントシステムの確立
2. 外部接続点の対策徹底
3. 業界横断的な情報共有
4. セキュリティ人材の訓練・育成
5. 電力分野のサイバーセキュリティガイドラインの策定  など

5つの柱を掲げて、取り組みを始めています。とくに、ガイドラインの策定においては、米国のNREC（北米電力信頼度協会）が作成したガイドライン(CIP: Critical Infrastructure Protection)を参考に、日本版CIPの策定を検討しています。

本稿では、制御系システムについて、制御系システムの取り巻く状況および政府を中心とした取り組みの状況について解説をしました。次回は、米国の制御系システムのセキュリティへの取り組みについて解説する予定です。

Writer Profile

セキュリティ事業部
セキュリティコンサルティング担当 エグゼクティブコンサルタント
サイバーセキュリティ戦略本部重要インフラ専門調査会 委員
松田 栄之

• セキュリティサービス