2030年までのサイバーを定義する6つのトレンド。OT(Operational Technology)は急ぎでは？

OT（Operational Technology）とは、

製造、インフラ、産業プロセスを制御する、物理的なデバイスやシステムを、 管理・監視するためのハードウェアとソフトウェアを指します。

主に以下のような分野で使用されています。

1. 製造業
2. エネルギー産業（電力、石油、ガスなど）
3. 水道・下水道システム
4. 交通インフラ
5. 鉄道システム
6. 化学プラント

OTのサイバーセキュリティ強化とは、 上記で使用されている産業用制御システム（ICS）やスマート機器を、 サイバー攻撃や不正アクセスから保護するための包括的な取り組みを表しています。 具体的な対策として挙げるとすると、

1. ネットワークセグメンテーション

   • OTネットワークをITネットワークから物理的・論理的に分離
   • 重要な制御システムへのアクセスを制限

2. セキュリティ監視

   • リアルタイムでの異常検知システムの導入
   • セキュリティインシデントの早期発見と対応

3. アクセス制御

   • 厳格な認証メカニズムの実装
   • 最小権限の原則の適用

4. システムのパッチ管理と更新

   • 脆弱性に対する迅速な対応
   • 古いシステムのセキュリティ更新

5. バックアップと復旧計画

   • サイバー攻撃時の事業継続性の確保
   • データとシステムの迅速な復旧手順の確立

6. セキュリティ意識向上トレーニング

   • 従業員のサイバーセキュリティ教育
   • 人的リスクの低減

OTにおけるサイバーセキュリティの重要性

OTサイバーセキュリティの重要性は、サイバー攻撃が「重要インフラに深刻な影響を与える」可能性があるためです。 例えば、電力網や水道システムなどの脆弱さや通信システムへの侵入については米国で報告されていますが、 こういったライフラインへのサイバー攻撃は、社会生活に大きな混乱をもたらす可能性があります。

さらに、近年、IoTの普及と、OTシステムのデジタル化により、サイバーセキュリティのリスクはさらに高まっています。そのため、OTセキュリティは単なる技術的な対策だけでなく、組織全体のリスク管理戦略の重要な一部となっていると考えます。

OT分野におけるセキュリティ担当者不足への対策は？

ただ、、OT分野におけるセキュリティ担当者の不足は、2024年においても深刻な問題として認識されています。 この状況をサポートし、カバーするために、国、自治体、経団連などが取り組むべき施策について調べてみました。

・人材育成プログラムの強化 国や自治体は、OTセキュリティに特化した人材育成プログラムを強化する必要があります。例えば、独立行政法人情報処理推進機構（IPA）が実施している「中核人材育成プログラム」は、OTとITの両方の技術、マネジメント、ビジネス分野を総合的に学ぶ1年間のトレーニングを提供しています。

このようなプログラムを拡大し、より多くの企業や組織が参加できるようにすることが大事だと思います。

Link to [IPA]

・産学官連携の促進 経団連は、サイバーセキュリティの強化に向けた取り組みを進めており、特に官民連携を強化し、産業横断的なサイバーセキュリティ対策を推進することを重視しています。

Link to 「レジリエントな社会の構築」の章を参照

この取り組みをさらに発展させ、大学や研究機関との連携を強化することで、最新の技術や知見を実務に反映させることができるようになるかと考えます。“「モノづくり」のサイバーセキュリティ”を支える高度な専門人材の育成を目指している東京電機大学のCySec Expertというコースも設けられています。 社会人も参加できるようになっています。こういった講座を利用するのも良いと思います。

Link to 東京電機大学のCySec Expertについて

国がこういう講座を広くオンラインで無料で公開されるようにしてくれればいいのですが。。

・法整備とガイドラインの策定 政府は、OTセキュリティに関する法整備を進め、企業や組織が遵守すべき基準を明確にする必要があります。2024年には、デジタル庁が中心となって進めるデジタル関連法案が注目されておりますが、これにより個人情報保護やデータ利活用のルールが整備されることが期待されていましたが、、もう12月ですので難しいですかね。。

・中小企業向け支援の強化 特に中小企業では、リソースが限られているため、専門的なトレーニングを受けた人材を育てる余裕がないことが多いと思います。 国や自治体は、中小企業向けのセキュリティ支援プログラムを強化し、技術的・財政的な支援を提供する必要があると考えます。

・国際協力の推進 サイバーセキュリティの課題は国境を越えて存在するため、国際的な協力が不可欠です。経団連が提唱する「サステイナブルな資本主義」の実現に向けて、国際的なパートナーシップを構築し、知見や技術の共有を促進することも重要かと思います。

・継続的な教育と意識向上 OT環境で働く従業員全体に対して、サイバーセキュリティに関する継続的な教育と訓練を提供することが重要です。これにより、人為的ミスや内部からの脅威を減少させることができるという記事は多く見られます。

・セキュリティ技術の導入支援 国や自治体は、最新のセキュリティ技術の導入を支援するための補助金や税制優遇措置を検討すべきです。例えば、ネットワークセグメンテーションや異常検知システムの導入を促進することで、OT環境のセキュリティレベルを向上させることができ流ようになると考えられます。