SCADAセキュリティ　３

工場や電気、ガス、水道などのインフラの監視、動作制御、品質管理などのシステムを「制御システム」と呼ぶのに対し、これらの企業が運用しているウェブサービスなどを「情報システム」と呼びます。 制御システムと情報システムでは、要求されるサービスレベルや目的が異なるため、セキュリティ対策についても異なってくる場合があります。

制御システムと情報システムの違い

■可用性(システムが継続して稼働できる能力)

制御システムはインフラとして社会や産業を根底から支えており、一旦稼働が停止すると社会的な影響、事業継続上の影響が甚大です。そのため、少しも止まることなく継続して稼働できることが重視されています。24時間365日安定稼働することが必須とされ、再起動さえも許されない場合が多いです。

それに対し、情報システムはウェブサービスなどを通して大量のデータを処理することを目的としていることが多いです。そのため、システムが継続して稼働できる能力よりも処理能力の高さが求められます。同時に、顧客情報等の機密情報の漏えいは企業の信頼や経営に大きく影響を与える恐れがあるため、機密性が重視される傾向にあります。ウェブサービスを運用している企業や運用内容にもよりますが、情報システムでは再起動は許容範囲とされるケースが多いようです。

■システムのライフサイクル

制御システムでは、一度導入した機器やシステムのライフサイクルは10～20年と言われています。それに対して、情報システムでは3～5年程度で新しい機器やシステムに置換えられることが多いです。システムが稼働している間は、機器のハードウェアトラブル、ソフトウェアトラブルを問わず対応する必要があるため、制御システムについては20年前に導入された技術についてもサポート体制を維持しておく必要があります。

制御システムへの脅威と脆弱性

過去に制御システムに関して報告されたセキュリティ被害について、原因は主に下記の4ケースに分類されます。

・USBメモリ

データの移動などでパソコンやサーバに接続したUSBメモリからウイルスが感染する事例が頻繁に発生しています。運用上、USBポートはパソコン、サーバから運用上なくすことは不可能なことが多いため、接続するUSBメモリを事前にウイルススキャンしておくか、接続するUSBメモリを限定し、常に厳重に管理しておき、不特定多数のUSBメモリが接続されることを防ぐ体制が必要です。

・リモートメンテナンス回線

制御システムをリモートで操作し管理するために、メンテナンス回線を使用している場合があります。そのリモート回線に接続されているパソコン経由で不正アクセスされたり、ウイルスが混入するケースが発生しています。リモートメンテナンス回線に接続するパソコンにしっかりセキュリティ対策しておく必要があります。

・操作端末の入れ替え時

制御システムの操作端末には一般的なパソコンが利用されることが多いです。これらの操作端末の入れ替え時に、入れ替えたばかりのパソコンが作業員の不注意からウイルス感染し、制御システムにも被害が発生したケースが報告されています。

・内部犯行

アメリカでは、契約警備員が病院内のパソコンにマルウェアを仕込み、病院の暖房、換気、空調(HVAC)システム等の情報をインターネット上にアップロードし、HVACシステムのアラームが停止状態になっていた事例があります。パソコンのログインIDやパスワードの共通化したり、メモ書きを貼り付けるなど、管理者以外でもシステムにログインできる可能性がある場合はセキュリティの運用体制を見直す必要があります。

以上は、セキュリティ事故としては、ごく初歩的なミスに分類されます。

制御システムのライフサイクルは長く、時の経過とともにセキュリティパッチが適用されてシステムの脆弱性が埋まってくる一方、これらの事例のように、初歩的なセキュリティ事故の被害にあうことも多いようです。

制御システムの重要性を考えると、このようなミスにより稼働が止まってしまうことは許さるべきことではありません。社内の運用体制の基本を見直してセキュリティ対策を万全なものにしておきましょう。