OTセキュリティ対策は何から始めるべき？リスクの優先順位を整理する考え方

前回のコラムでは、OT環境で発生し得るさまざまなリスクシナリオをご紹介しました。まずは、自社にも同様のリスクが存在する可能性を把握することが、OTセキュリティ対策の第一歩です。

しかし、リスクを把握した後、多くの企業は 「どのリスクから対策すればよいのか分からない」 という課題に直面します。限られた予算や人員の中で、見つかったリスクをすべて同時に対策することは現実的ではありません。

そのため、OTセキュリティ対策では、把握したリスクの優先順位を整理し、どこから着手するかを判断することが重要になります。

例えば、比較的小さなリスクへの対策に多くの時間や予算を投入した場合、本来対応すべき重要な課題への投資が後回しになってしまいます。

対策は実施しているにもかかわらず、十分なリスク低減効果を得られず、結果として、限られたリソースを十分に活かせない状況につながります。

リスクへの対応を進めているつもりでも、外部接続管理・ネットワーク分離・資産管理、といった重要な課題が残ったままになれば、結果として工場停止につながる要因は解消されません。

対策を実施したという事実と、リスクが低減されたことは同じではないのです。

• 現場担当者→生産停止の回避を重視
• 情報システム部門→脆弱性の解消やアクセス管理を重視
• 経営層→限られた予算の中で事業継続や取引先からの要求対応を重視

それぞれの立場で優先したい事項が異なるため、現場だけでは対策の優先順位を整理しきれず、「課題は把握できている・リスクの存在も認識している・しかし何から着手すべきか決まらない」というケースも少なくありません。

OT環境では、発生するリスクの種類が多岐にわたります。

• USB機器の運用ルール不備
• リモート接続管理の不備
• インシデント対応手順の未整備

このような課題は、それぞれ性質が異なります。ここで難しいのは、「USB機器の運用ルール不備」と「インシデント対応手順の不備」のどちらを優先すべきなのかを単純に比較できないことです。

技術的なリスク、組織的なリスク、運用上のリスクは評価尺度が異なるため、現場担当者だけでは「どちらを先に対応すべきか」を判断しにくい場合があります。

結果として、「目についた課題から順番に対応する」という対応になりがちですが、それが必ずしも最も効果的な方法とは限りません。

前章で説明したように、現場だけでリスクの優先順位を整理し、どの対策から着手するべきか判断することは容易ではありません。

そこで有効なのがOTセキュリティアセスメントです。

OTセキュリティアセスメントは、単にリスクの洗い出すためのものではありません。把握したリスクを多角的に評価し、どの対策を優先すべきかを整理する取り組みです。

適切な優先順位付けを行うためには、まず現状を正しく把握する必要があります。 設備ごと・拠点ごとに管理が分かれている場合、自分の担当範囲は把握できていても工場全体の状況を把握できているとは限りません。例えば、

• 台帳に存在しない端末が接続されていた
• 想定していなかった外部通信が発生していた
• ベンダー接続経路が複数存在していた

といった課題は、アセスメントを行って初めて判明することがあります。

アセスメントではヒアリングや構成確認、実環境調査などを通して、まずOT環境に「何があるのか」「どこにリスクが存在するのか」、その実態を明確化します。

実態を把握した後は、発見された課題やリスクの大きさを踏まえて対策の優先順位を整理します。

「どのリスクも重要、すぐに対策すべき」と見えますが、現実にはすべてを同時に実施することは困難です。

そのためアセスメントでは、

• 発生可能性
• 事業への影響度
• 実施コスト
• OT環境への影響
• 経済産業省のガイドラインやIEC62443などの考え方
• 組織面、運用面、技術面

など、多角的な観点でリスクを分類し、優先的に取り組むべき対策を整理します。その結果、どの課題やリスクから対応すべきかを客観的に判断できるようになります。

アセスメントを通して、課題・リスク・対策の優先順位を整理することで、

• すぐに対策するリスク
• 計画的に対策するリスク
• 現時点では許容するリスク

これらが明確になります。このように対策を分類することで、「何でも対策する」のではなく、「本当に必要な対策に集中する」ことが可能になります。

その結果、限られた予算や工数を効率的に活用できるだけでなく、現場への負担を抑えながらOTセキュリティ対策を計画的に進められるようになるのです。

見つかったリスクすべてに手を付けるのではなく、優先度の高いものから着実に対策を進めることが大切です。

OTセキュリティ対策では、自社の状況を正しく把握した上で、事業への影響や実現性を踏まえながら優先順位を整理し、限られた予算や工数を効果的に活用することが求められます。

「どのような課題が存在するのか」を把握することがOTセキュリティ対策の第一歩だとすれば、アセスメントは「その課題にどのように取り組むべきか」を明確にし、実行可能な対策計画へつなげるための次のステップと言えるでしょう。