“明日”をつむぐテクノロジー special

インダストリアルIoTセキュリティを提唱 重要インフラの実績を活かした東芝独自の産業向けサイバーセキュリティ

※記事中の情報につきましては、すべて取材時点のものとなります。
インダストリアル分野(産業・工業)のIT化が進む中、東芝はIoT時代に即した「インダストリアルIoTセキュリティ」を提案する。コンセプト、アーキテクチャー、対策モデルなどを業界に先駆けて体系化した。併せて、グループ全体を上げて、情報セキュリティ部門と製造・製品部門のセキュリティを横断してマネジメントできる体制を作り上げた。近年、経営課題の一つにも挙げられるセキュリティの面から、来るべきデジタルトランスフォーメーションの実現をバックアップする。
天野 隆 氏
株式会社東芝
サイバーセキュリティセンター センター長
兼 東芝デジタルソリューションズ株式会社 技師長

工場やプラントなどの現場にICTを導入する動きが産業界で活発になってきた。現場から集めたデータを使ってさまざまな状況を見える化し、生産性の向上や利益の拡大を目指すIoT(モノのインターネット)もその一つだ。また、少子高齢化問題を解決する一助として、IoT・AI技術を使ってベテランが持つ「匠の技」を次世代へ継承していくことへの期待も大きい。

IoT・AIをはじめとするデジタル技術で企業活動や業務プロセスの変革を目指すこのような動きは「デジタルトランスフォーメーション」とも呼ばれている。現場の効率化にとどまらず、新商品の創出や価値の向上、お客様とのリレーションの構築や維持、人材の確保、ワークスタイルの改革などを進めながら、最終的には豊かな社会や生活を実現していこうという考え方だ。

一方で、現場のIoT化によって制御システムが外の世界へとつながり始めると、サイバーセキュリティという新たな問題が生じてくる。しかも、制御システムの構成やIoT化の程度は企業ごとに大きく異なっていることや、工場やプラントでは操業の安定的な継続が優先されることで、例えばセキュリティパッチの適用が難しいなどの制約もある。なので、通常の情報セキュリティ対策が通用しないのだ。そこで、IoT時代に即した、いわば産業向けの「インダストリアルIoTセキュリティ」の確立が求められていた。

「デジタルトランスフォーメーションの時代を迎えるに当たって、東芝デジタルソリューションズおよび東芝は、インダストリアル分野の情報セキュリティをどのように構築していくかが重要と捉え、さまざまなセキュリティガイドラインを参考にしながら方法論のレベルから検討を重ねてきました。その結果、セキュリティ対策をPDCAとして継続的に進めるライフタイムプロテクション、対策の指針となるセキュリティリファレンスアーキテクチャー、具体的なアプローチを示したセキュリティ対策モデルなどの体系化を完了し、自ら実践も始めています」と、東芝のサイバーセキュリティセンターでセンター長を兼務する東芝デジタルソリューションズの天野隆氏は取り組みを説明する。

セキュリティ対策を継続的に強化するPDCAサイクルを提案

東芝デジタルソリューションズがインダストリアルIoTセキュリティ対策のコンセプトとして位置付けるのが「セキュリティライフタイムプロテクション」と名付けたPDCAサイクルである(図1)。セキュリティの脅威は日々形を変えながら進化していることから、単発的な対策ではなく、継続的な対策と見直しのサイクルが必要との考えに基づいて作成した。

工場やプラントの他、社会への影響が大きいインフラ関連のセキュリティを対象にしたコンセプトで、「設計・防御」→「運用監視・予測検知」→「インシデント対応・復旧」→「評価・検証」(→設計・防御・・・)というサイクルで構成される。

サイクルの起点となる「設計・防御」では、制御システムの設計段階、あるいは製品の設計段階からセキュリティを考慮する「セキュリティ・バイ・デザイン」の考え方をベースに、セキュリティアーキテクチャーや対策手段を構築・実装していく。

次の「運用監視・予測検知」では、企業内外に存在するセキュリティ脅威およびシステム上の脆弱性をリアルタイムに監視し把握する。ハッカーやクラッカーが秘かに仕掛けてくる攻撃の予兆を、インシデントが発生する前に捉えるような仕組みも必要になる。

続く「インシデント対応・復旧」では、セキュリティインシデントが発生した場合に、自社のビジネスやお客様・取引先への影響を最小限に抑えながら適切に対処するとともに、速やかな復旧を目指す仕組みを構築する。適切な組織と責任者を設け、ルールやガイドラインに従い対応し、場合によっては工場の操業停止や製品の出荷停止などの決定を下す。

サイクルの最後が「評価・検証」である。日々進化・変化する脅威に対して現在のセキュリティ対策レベルを評価し、必要に応じて修正を加える一方で、教育や訓練を通じてセキュリティ人財の育成や意識の醸成を図っていく。

図1 「設計・防御」→「運用監視・予測検知」→「インシデント対応・復旧」→
「評価・検証」というサイクルで構成されるセキュリティライフタイムプロテクション
リンク

東芝自身が組織改革を行い、社内のセキュリティ管掌を一元化

東芝デジタルソリューションズでは、このセキュリティライフタイムプロテクションの考え方を実証かつ実践するために、2015年10月に、IoT事業を推進していた東芝の社内カンパニーインダストリアルICTソリューション社に、業務部門における情報セキュリティと製造・製品部門のインダストリアルセキュリティとを一元的に管理する「インダストリアルICTセキュリティセンター」を組織[*1]。さらに、2017年10月には、東芝グループ全体のセキュリティを管掌する「サイバーセキュリティセンター」を東芝内(コーポレート)に組織するとともに、翌11月には東芝グループ全体のセキュリティリスクを管掌するCISO(Chief Information Security Officer)を設け、セキュリティに関するマネジメント判断の一元化を図ってきた。

両センターともに情報セキュリティリスクを管理するCSIRT[*2]と、製品やサービスのセキュリティリスクを管理するPSIRT[*3]の機能を併せ持っており、ハッカーの立場になってリスクを洗い出せるように、ホワイトハッカーの役割を担う人財も置いている。

「情報システム部門と現場とが協調してセキュリティリスクに対応していくには、セキュリティ対策に必要な費用をコストではなく投資として捉える意識を含め、トップダウンの仕組みがどうしても必要です。センターの開設やCISOポジションの新設は、東芝グループとしてセキュリティリスクに向き合っていくという決意を表しているだけではなく、一つのモデルケースをお客様に示していきたいという想いがあります」と天野氏は説明する。

  • [*1] 当初は株式会社東芝の社内カンパニーである旧インダストリアルICTソリューション社に属する組織として設立。
  • [*2] CSIRT:Computer Security Incident Response Teamの略で、情報セキュリティインシデントに対処する組織を指す用語。
  • [*3] PSIRT:Product Security Incident Response Teamの略で、企業が提供する製品やサービスのセキュリティリスクに対処する組織を指す用語。

指針となるアーキテクチャーやモデルを策定

セキュリティライフタイムプロテクションのうち、サイクルの起点となる「設計・防御」のベースになるのが、「セキュリティリファレンスアーキテクチャー」である(図2)。制御システムのセキュリティ機能要件を定めた国際標準規格であるIEC 62443をベースに作成した。

図2 インダストリアルIoTのセキュリティフレームワークを定めた
       「セキュリティリファレンスアーキテクチャー」
リンク

必要なセキュリティ対策レベルを、システムの重要度、攻撃者のスキル、およびシステムの進化という3つの軸を用いて表したのが特徴で、このうち横軸のシステムの進化とは工場やプラントなどのIoT化の度合いを意味する。例えば、見える化だけであれば攻撃に対する影響も限定的で対策レベルもそれほど必要ないが、自動化あるいは自律化が実現されている場合は高いセキュリティ対策が必要であることが分かる。

具体的なセキュリティ対策の設計にはセキュリティ対策モデル(図3)を提案する。見える化の段階であれば、センシングで集めたデータは上流に送られるだけなので、工場の運用を司るOTゾーンと外部に接続されるIoTゾーンとを分離した「OOBモデル」(Out of Bound)が適する。データを分析して制御機器にフィードバックする場合は、外部との接続点やアクセス範囲を限定する「TOUCHモデル」が適する。自動化あるいは自律化レベルのIoTを構築する場合は、情報システムと同様に、OTをゾーニングし、それぞれのゾーン内部とゾーンをつなぐ接続点(コンジット)でセキュリティ対策を実施する「INLINEモデル」が適する、といった考え方を示している。

図3 デジタルトランスフォーメーションの進化に合わせたセキュリティモデル
リンク

東芝デジタルソリューションズでは、これらのコンセプトやアーキテクチャーなどをベースに、さまざまなソリューションを組み合わせながら、お客様にインダストリアルIoTセキュリティを提案していく考えだ。「お客様が将来にわたってデジタルトランスフォーメーションに安心して取り組んでいただけるよう、経営課題の一つでもあるセキュリティ対策をさまざまな観点からバックアップするとともに、当社の考え方をグローバルに広めていきたいと考えています」と、天野氏は展望を述べた。

【関連情報】

pagetop

お問い合わせ