(57)【要約】【課題】制御システムを利用する現場保守員だけでは、制御システムに発生したインシデントへの対処が完了するまでに時間がかかっていた。【解決手段】制御システムが備えるセキュリティ監視装置は、制御装置又はセキュリティ機器から収集したアラートを異常シナリオと比較し、制御システムにてインシデントが発生したことを検知すると、異常データをシステム監視装置に送信する。システム監視装置は、異常データを解析して、システム監視装置で対処可能なインシデントについて対処を行い、システム監視装置で対処不能なインシデントについてセキュリティ監視装置に対処を指示する。インシデント管理サーバは、セキュリティ監視装置を通じて収集するアラート、異常データ及びフィジカルセキュリティ履歴データを分析して、現場保守員に対し、システム監視装置及びセキュリティ監視装置にて対処しきれなかったインシデントへの対処を指示する。【選択図】図１
2018185712.tif 000002
【特許請求の範囲】
【請求項１】
設備の動作を制御する制御システムと、前記制御システムに接続され、前記制御システムを利用する現場保守員の制御システム内への入退場を監視及び制御するフィジカルセキュリティシステムと、前記制御システムにネットワークで接続され、前記制御システムにて発生するインシデントを管理するインシデント管理サーバと、を備え、
前記制御システムは、
前記設備にて発生するアラートを検知する制御装置と、
前記制御システムにて発生する前記アラートを検知するセキュリティ機器と、
前記制御システムを監視し、前記制御システムに発生した前記インシデントに対処するシステム監視装置と、
前記制御装置又は前記セキュリティ機器から収集した前記アラートを、前記インシデントの振る舞いを表す異常シナリオと比較し、前記制御システムにて前記インシデントが発生したことを検知すると、前記インシデントの内容を含む異常データを前記システム監視装置に送信するセキュリティ監視装置と、を備え、
前記フィジカルセキュリティシステムは、
入退管理装置又は監視カメラ装置から取得されるフィジカルセキュリティ履歴データを管理するフィジカルセキュリティサーバを備え、
前記システム監視装置は、前記異常データを解析して、前記システム監視装置で対処可能な前記インシデントについて対処を行い、前記システム監視装置で対処不能な前記インシデントについて前記セキュリティ監視装置に対処を指示し、
前記セキュリティ監視装置は、前記システム監視装置からの指示に従って分析した前記インシデントについて対処を行い、
前記インシデント管理サーバは、
前記セキュリティ監視装置を通じて収集する前記アラート、前記異常データ及び前記フィジカルセキュリティ履歴データを分析して、前記現場保守員に対し、前記システム監視装置及び前記セキュリティ監視装置にて対処しきれなかった前記インシデントへの対処を指示する
セキュリティ監視システム。
【請求項２】
前記インシデント管理サーバは、前記制御システムとは別の制御システムで発生した前記インシデント、及び前記インシデントへの対処策を蓄積し、前記インシデント管理サーバを操作するセキュリティ専門家により分析された、前記インシデントの分析結果に基づいて前記インシデントへの対処を設定する
請求項１に記載のセキュリティ監視システム。
【請求項３】
さらに、前記制御システムから前記インシデント管理サーバに向けて送信されるデータの中継を許可し、前記インシデント管理サーバから前記制御システムに向けて送信されるデータの中継を不許可とする一方向中継装置を備える
請求項２に記載のセキュリティ監視システム。
【請求項４】
さらに、前記制御システムは、前記インシデント管理サーバがアクセス可能な位置に設けられ、前記アラート及び前記異常データを蓄積する現場データ管理サーバを備え、
前記インシデント管理サーバは、所定のタイミングで前記現場データ管理サーバから前記アラート及び前記異常データを取得する
請求項３に記載のセキュリティ監視システム。
【請求項５】
前記インシデント管理サーバは、セキュリティ専門家が前記インシデントを分析するためのインシデント分析画面を表示し、前記インシデント分析画面には、前記制御システムで発生した前記インシデントの一覧と共に、前記インシデントの遷移を表示する画面と、前記インシデントの発生元に関する情報と、前記インシデントの発生元への根本対処を設定する画面とが含まれる
請求項４に記載のセキュリティ監視システム。
【請求項６】
前記セキュリティ監視装置は、前記インシデントの発生元と、前記インシデントが発生した範囲を特定し、前記インシデントの発生元と、前記インシデントが発生した範囲をインシデント一覧画面に表示し、かつ前記インシデントの原因分析が行われるインシデント原因分析画面を表示し、
前記インシデント原因分析画面を通じて行われる前記インシデントの原因分析の結果に基づいて、前記セキュリティ監視装置から前記セキュリティ機器に前記インシデントへの対処が指示される
請求項４に記載のセキュリティ監視システム。
【請求項７】
設備の動作を制御する制御システムと、前記制御システムに接続され、前記制御システムを利用する現場保守員の制御システム内への入退場を監視及び制御するフィジカルセキュリティシステムと、前記制御システムにネットワークで接続され、前記制御システムにて発生するインシデントを管理するインシデント管理サーバと、を備えるセキュリティ監視システムにより行われるセキュリティ監視方法であって、
前記制御システムは、
前記設備にて発生するアラートを検知する制御装置と、前記制御システムにて発生する前記アラートを検知するセキュリティ機器と、前記制御システムに発生する前記インシデントを監視し、前記インシデントに対処するシステム監視装置と、セキュリティ監視装置と、を備え、
前記セキュリティ監視装置が、前記制御装置又は前記セキュリティ機器から収集した前記アラートを、前記インシデントの振る舞いを表す異常シナリオと比較し、前記制御システムにて前記インシデントが発生したことを検知すると、前記インシデントの内容を含む異常データを前記システム監視装置に送信するステップと、
前記フィジカルセキュリティシステムが、入退管理装置又は監視カメラ装置から取得されるフィジカルセキュリティ履歴データを管理するステップと、
前記システム監視装置が、前記異常データを解析して、前記システム監視装置で対処可能な前記インシデントについて対処を行い、前記システム監視装置で対処不能な前記インシデントについて前記セキュリティ監視装置に対処を指示するステップと、
前記セキュリティ監視装置が、前記システム監視装置からの指示に従って分析した前記インシデントについて対処を行うステップと、
前記インシデント管理サーバが、前記セキュリティ監視装置を通じて収集する前記アラート、前記異常データ及び前記フィジカルセキュリティ履歴データを分析して、前記現場保守員に対し、前記システム監視装置及び前記セキュリティ監視装置にて対処しきれなかった前記インシデントへの対処を指示するステップと、を含む
セキュリティ監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ監視システム及びセキュリティ監視方法に関する。
【背景技術】
【０００２】
近年、ポンプやバルブ等の設備を監視及び制御する制御システムが、ネットワークを介して保守拠点や他システムと接続されるようになっている。そして、保守拠点に設けられる監視センターが制御システムの動作を遠隔監視するＯ＆Ｍ（Operation & Maintenance）を利用することが多くなっている。しかし、制御システムは、長期保守の結果、新旧の装置が混在して構築されている。また、ネットワークに接続された制御システムの装置を標的とする高度化、巧妙化したウィルス、マルウェア、不正アクセス等(以下、「外部からの攻撃」と呼ぶ)により、制御システムを完全に事前防御することが困難な状況が生じていた。また、外部からの攻撃のみならず、制御システム内の機器のプログラム更新、又は機器の異常時におけるデータを機器から収集するために制御システム内に出入りする現場保守員やエンジニアによる不正操作やウィルス感染済み外部媒体の利用(以下、「内部での攻撃」と呼ぶ)には、入退管理装置や監視カメラ装置等のフィジカルセキュリティシステムの導入が進んでいる。しかし、制御システムがネットワークに接続されること、現場保守員やエンジニアによる不正操作等が実施されることに伴い、セキュリティインシデントの発生可能性が顕在化しつつある。制御システム等に予測しえない影響を与える事象がインシデントと呼ばれ、特に制御システムのセキュリティに対する脅威となるインシデントはセキュリティインシデントと呼ばれる。以下の説明では、セキュリティインシデントを「インシデント」とも呼ぶ。
【０００３】
インシデントに対応するための製品として、例えば、ＳＩＥＭ（Security Information-and Event Management）がある。ＳＩＥＭは、制御システム内の装置、機器のログを収集し、インシデントの有無を解析する機能を有している。インシデントの発生を検知したり、インシデントが制御システムに与える影響の有無を解析したり、解析結果による対処（以下、これらを「インシデント対応」と呼ぶ）を行ったりするためには、解析担当者に高度なセキュリティ知識が必要である。そして、制御システムにおいて、ＳＩＥＭを使ったインシデント対応は、制御システムの監視及び制御を担当している現場保守員が行うことが想定されている。
【０００４】
しかし、現場保守員は、必ずしも十分なセキュリティ知識を有していないため、発生したインシデントの内容を理解したり、システム異常とインシデントを区別したり、制御システム稼動への影響の有無を判断したりする作業に時間を要していた。また、現場保守員は、従来のマニュアルと異なる操作が必要となるＳＩＥＭを使いこなせないことも多かった。結果的に、現場保守員だけでは、インシデント対応に時間がかかり、誤って対応することもあった。また、ＳＩＥＭは、主に外部からの攻撃に起因するインシデントのみ対応しており、内部での攻撃の分析には対応していない。このため、ＳＩＥＭを用いることで制御システム内の特定の装置、機器が原因ということは判明するものの、例えば、制御システム内での現場保守員やエンジニアの不正操作に起因するインシデントは特定することが困難であった。
【０００５】
そこで、セキュリティ知識が少ない現場保守員が制御システムのインシデント対応をするための技術として、制御システムと、セキュリティ専門家が常駐している監視センターとをネットワークで接続する方法が特許文献１に開示されている。この特許文献１には、監視対象システムからのイベントを予測する局所予測モデルを用いて、監視対象システムの異常状態を検知し、その異常状態に至る過程を分析し、その分析結果を保守員やエンジニアに提示するイベント分析システムについて開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１６−９９９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
現場保守員がインシデントに対処する際、現地サイトの設備毎に予め用意されたマニュアルの手順通りに行われることが求められる。一方、保守拠点にいるエンジニアがインシデントに対処する方法は、マニュアルの手順と異なることが多い。この結果、特許文献１に開示されたイベント分析システムによる分析結果を現場保守員に提示するだけでは、現場保守員によるインシデントへの対処が完了するまでには時間がかかっていた。
【０００８】
本発明はこのような状況に鑑みて成されたものであり、例えば、現場保守員が使い慣れた制御システムにより、検知したインシデントに対処することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係るセキュリティ監視システムは、設備の動作を制御する制御システムと、制御システムに接続され、制御システムを利用する現場保守員の制御システム内への入退場を監視及び制御するフィジカルセキュリティシステムと、制御システムにネットワークで接続され、制御システムを利用する現場保守員の制御システム内への入退場を監視・制御するフィジカルセキュリティシステムと、制御システムにネットワークで接続され、制御システムにて発生するインシデントを管理するインシデント管理サーバと、を備える。
制御システムは、設備にて発生するアラートを検知する制御装置と、制御システムにて発生するアラートを検知するセキュリティ機器と、制御システムを監視し、制御システムに発生したインシデントに対処するシステム監視装置と、制御装置又はセキュリティ機器から収集したアラートを異常シナリオと比較し、制御システムにてインシデントが発生したことを検知すると、インシデントの内容を含む異常データをシステム監視装置に送信するセキュリティ監視装置と、を備える。
フィジカルセキュリティシステムは、入退管理装置や監視カメラ装置と、そのフィジカルセキュリティ履歴データを管理するフィジカルセキュリティサーバを備える。
システム監視装置は、異常データを解析して、システム監視装置で対処可能なインシデントについて対処を行い、システム監視装置で対処不能なインシデントについてセキュリティ監視装置に対処を指示する。セキュリティ監視装置は、システム監視装置からの指示に従って分析したインシデントについて対処を行う。
インシデント管理サーバは、セキュリティ監視装置を通じて収集するアラート、異常データ及びフィジカルセキュリティ履歴データを分析して、現場保守員に対し、システム監視装置及びセキュリティ監視装置にて対処しきれなかったインシデントへの対処を指示する。
【発明の効果】
【００１０】
本発明によれば、現場保守員は、制御システムでインシデントに対処するだけでなく、制御システムで対処しきれなかったインシデントであっても、インシデント管理サーバにより指示された対処に従って短時間で対処することが可能となる。
上記した以外の課題、構成及び効果は、以下の実施の形態の説明により明らかにされる。
【図面の簡単な説明】
【００１１】
【図１】本発明の一実施の形態に係るセキュリティ監視システムの全体構成例を示すブロック図である。
【図２】本発明の一実施の形態に係る制御システムを構成する各装置の内部構成例を示すブロック図である。
【図３】本発明の一実施の形態に係るサブシステムの構成例を示すネットワーク構成図である。
【図４】本発明の一実施の形態に係る計算機のハードウェア構成例を示すブロック図である。
【図５】本発明の一実施の形態に係るセキュリティ監視装置が有する異常データの構成例を示す説明図である。
【図６】本発明の一実施の形態に係るセキュリティ監視装置が有する履歴データの構成例を示す説明図である。
【図７】本発明の一実施の形態に係るセキュリティ監視装置が、制御装置及びセキュリティ機器からアラートを収集し、フィジカルセキュリティサーバから履歴データを収集し、システム監視装置に異常データを通知する手順を示すフローチャートである。
【図８】本発明の一実施の形態に係るシステム監視装置のデータ表示・操作部に表示されるシステム監視画面の表示例を示す説明図である。
【図９】本発明の一実施の形態に係るシステム監視装置が、セキュリティ監視装置から受信した異常データを解析する手順を示すフローチャートである。
【図１０】本発明の一実施の形態に係る現場保守員がセキュリティ監視装置を操作して実施する原因分析とその対処を行うためのインシデント一覧画面とインシデント原因分析画面の表示例を示す説明図である。
【図１１】本発明の一実施の形態に係るセキュリティ監視装置のインシデント分析、インシデント対処の手順を示すフローチャートである。
【図１２】本発明の一実施の形態に係るセキュリティ監視装置が、アラート、異常データ及びフィジカルセキュリティ履歴データを、監視センターのインシデント管理サーバに送信する手順を示すフローチャートである。
【図１３】本発明の一実施の形態に係るインシデント管理サーバにて表示されるインシデント分析画面の表示例を示す説明図である。
【図１４】本発明の一実施の形態に係る履歴データ表示結果の表示例を示す説明図である。
【図１５】本発明の一実施の形態に係るセキュリティ専門家が実施する根本分析、根本対処策検討の手順を示すフローチャートである。
【図１６】本発明の一実施の形態に係るセキュリティ専門家が実施する根本分析、対処策事例活用による根本対処策検討の手順を示すフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明を実施するための形態例について、添付図面を参照して説明する。本明細書及び図面において、実質的に同一の機能又は構成を有する構成要素については、同一の符号を付することにより重複する説明を省略する。
【００１３】
図１は、セキュリティ監視システム１の全体構成例を示すブロック図である。本実施の形態では、現地サイトに構築され、設備１０１の動作を制御する制御システム１０と、保守拠点に構築された監視センター２０のインシデント管理サーバ２０１とがインターネット等のネットワークＮで接続され、制御システム１０と、フィジカルセキュリティシステム４０のフィジカルセキュリティサーバ４０１とがネットワーク１０８で接続されている。ここで、制御システム１０と監視センター２０を接続する場合には、ＶＰＮ（Virtual Private Network）装置を利用することで、情報漏洩を防止することが可能となる。
【００１４】
フィジカルセキュリティシステム４０は、制御システム１０にネットワーク１１３で接続され、現場保守員１０９やエンジニア１１２の制御システム１０内への入退場を監視及び制御する。フィジカルセキュリティシステム４０が備えるフィジカルセキュリティサーバ４０１は、入退管理装置１１０、監視カメラ１１１から取得したフィジカルセキュリティ履歴データ(以下、「履歴データ」と呼ぶ。)を管理する。
【００１５】
制御システム１０は、設備１０１、制御装置１０２、システム監視装置１０３、セキュリティ機器１０４、セキュリティ監視装置１０５、一方向中継装置１０６、現場データ管理サーバ１０７を備える。設備１０１、制御装置１０２、システム監視装置１０３、セキュリティ機器１０４、セキュリティ監視装置１０５は、ネットワーク１０８で接続されている。
【００１６】
設備１０１は、例えば、水処理場のポンプやバルブ、発電所のタービンである。
制御装置１０２は、設備１０１を監視し、設備１０１の動作を制御するコントローラ、制御サーバ、保守端末等を総称した装置である。制御装置１０２は、設備１０１にて発生したアラートを検知すると、アラートログを含むアラートをセキュリティ監視装置１０５に送信する。
【００１７】
システム監視装置１０３は、制御システム１０を監視し、制御システム１０に発生したインシデントに対処する。このため、システム監視装置１０３は、制御装置１０２とネットワーク１０８の状態（異常発生中、稼動中など）を収集し、制御装置１０２とネットワーク１０８の状態を、後述する図８に示すシステム監視画面３０に表示する。例えば、制御システム１０を利用する現場保守員１０９は、システム監視装置１０３を操作して制御システム１０の状態を監視及び制御することで、制御システム１０の稼動を維持している。そして、現場保守員１０９は、設備１０１等に発生したインシデントに対し、マニュアル等を参照して対処する。一方、現場保守員１０９だけでは対処できないインシデントが発生していれば、現場保守員１０９は、監視センター２０にいるセキュリティ専門家２０２にインシデントの対処を依頼し、セキュリティ専門家２０２により指示される対処を行う。
【００１８】
セキュリティ機器１０４は、制御システム１０にて発生するセキュリティ上のアラートを検知し、制御システム１０に発生し得るインシデントを事前に防御する。セキュリティ機器１０４がセキュリティ上のアラートを検知すると、アラートログを含むアラートをセキュリティ監視装置１０５に送信する。セキュリティ機器１０４として、例えば、ファイアウォール、侵入検知システム（ＩＤＳ：Intrusion Detection System）、侵入防御システム（ＩＰＳ：Intrusion Prevention System）が用いられる。セキュリティ機器１０４により、外部からの不正アクセスの多くを検知し、遮断することが可能である。
【００１９】
セキュリティ監視装置１０５は、制御装置１０２又はセキュリティ機器１０４から収集したアラートを、インシデントの振る舞いを表す異常シナリオ１０５３（後述する図２を参照）と比較する。セキュリティ監視装置１０５は、制御システム１０にてインシデントが発生したことを検知すると、インシデントの内容を含む異常データ１０５５（後述する図２を参照）をシステム監視装置１０３に送信する。
【００２０】
システム監視装置１０３は、異常データ１０５５を解析して、システム監視装置１０３で対処可能なインシデントについて対処を行う。システム監視装置１０３は、後述する図８に示すシステム監視画面３０を表示する。このため、現場保守員１０９は、システム監視装置１０３を操作して、マニュアル等に従って制御システム１０に発生したインシデントに対処することが可能である。ただし、システム監視装置１０３は、システム監視装置１０３で対処不能なインシデントについてセキュリティ監視装置１０５に対処を指示する。
【００２１】
上述したようにフィジカルセキュリティシステム４０は、制御システム１０の出入口に設置された入退管理装置１１０及び監視カメラ１１１から履歴データを収集・管理するフィジカルセキュリティサーバ４０１を備えている。入退管理装置１１０は、カードリーダ、生体認証などにより制御システム１０への現場保守員１０９やエンジニア１１２の入出を制御することが可能である。監視カメラ１１１は、制御システム１０に入出する現場保守員１０９やエンジニア１１２の様子を撮影する。フィジカルセキュリティシステム４０は、制御システム１０の構成により、制御システム１０とは別に構成されてもよいし、制御システム１０内に含めて構成されてもよい。
【００２２】
セキュリティ監視装置１０５は、システム監視装置１０３からの指示に従って分析したインシデントについて対処を行う。セキュリティ監視装置１０５は、後述する図１０に示すインシデント一覧画面７１、インシデント原因分析画面７２を表示する。このため、現場保守員１０９は、セキュリティ監視装置１０５を操作して、マニュアル等に従って制御システム１０に発生したセキュリティ上のインシデントに対処することが可能である。
【００２３】
一方向中継装置１０６は、制御システム１０からインシデント管理サーバ２０１に向けて送信されるデータの中継を許可し、インシデント管理サーバ２０１から制御システム１０に向けて送信されるデータの中継を不許可とする。つまり、一方向中継装置１０６は、制御システム１０の内部から外部に向けて一方向に送信されるデータだけを監視センター２０に中継可能とする。一方向中継装置１０６として、例えば、ルータ、ファイアウォール等が用いられる。一方向中継装置１０６により、ネットワークＮを通じて行われる制御システム１０内への不正アクセスを防ぐことができる。
【００２４】
現場データ管理サーバ１０７は、インシデント管理サーバ２０１がアクセス可能な位置に設けられ、アラート、異常データ１０５５（後述する図２を参照）及び履歴データ１０６０−１（後述する図６を参照）を蓄積する。異常データ１０５５には、インシデント（アラート）の発生時刻、インシデントが発生した装置、インシデントレベル、インシデントの内容等が含まれる。履歴データ１０６０−１には、入出時刻、退出時刻、利用者ＩＤ、氏名等が含まれる。現場データ管理サーバ１０７は、セキュリティ監視装置１０５の送信プログラムにより、セキュリティ監視装置１０５が収集したアラート等の現場データを一方向中継装置１０６を介して受信する。現場データ管理サーバ１０７が管理する現場データとは、例えば、制御システム１０にて発生したアラート、異常データ１０５５及び履歴データ１０６０−１を総称したものである。
【００２５】
ここで、制御システム１０は、監視及び制御する設備１０１の数が増えると、設備１０１、制御装置１０２、システム監視装置１０３、セキュリティ機器１０４のセット（以下、「サブシステム」と呼ぶ）を含む場合がある。この場合には、このサブシステム毎にセキュリティ監視装置１０５を設置してもよいし、複数のサブシステムを統合してセキュリティ監視装置１０５を設置してもよい。
【００２６】
監視センター２０は、制御システム１０にて発生するインシデントを管理するインシデント管理サーバ２０１を備える。監視センター２０に常駐しているセキュリティ専門家２０２によりインシデント管理サーバ２０１が操作される。インシデント管理サーバ２０１は、専用プログラムにより、セキュリティ監視装置１０５を通じて現場データ管理サーバ１０７に蓄積されたアラート、異常データ及び履歴データ１０６０−１を収集する。また、インシデント管理サーバ２０１は、図１に示した制御システム１０とは別の制御システムで発生したインシデント、及びインシデントへの対処策を蓄積する。そして、セキュリティ専門家２０２は、現場データ管理サーバ１０７から収集したアラート、異常データ及び履歴データ１０６０−１だけでなく、別の制御システムで発生したインシデント、及びインシデントへの対処策等に基づいて、インシデントを分析することができる。
【００２７】
そして、セキュリティ専門家２０２により分析された、インシデントの分析結果に基づいてインシデントの根本対処がインシデント管理サーバ２０１に設定される。その後、セキュリティ専門家２０２は、インシデントの分析結果に基づき、現場保守員１０９に対し、システム監視装置１０３及びセキュリティ監視装置１０５にて対処しきれなかったインシデントへの対処を指示する。対処しきれなかったインシデントには、例えば、システム監視装置１０３及びセキュリティ監視装置１０５では検出できなかったインシデントも含まれる。このため、セキュリティ専門家２０２は、インシデント管理サーバ２０１を操作して、アラート及びインシデントを分析することにより顕在したインシデントだけでなく、潜在しているインシデントについても検出し、現場保守員１０９に対処を指示できる。
【００２８】
なお、一方向中継装置１０６により、データの送信方向が制御システム１０の内側から外側に制限される。このため、インシデント管理サーバ２０１は、後述する図１３に示すインシデント対策レポートを現場保守員１０９に送ることで、現場保守員１０９にインシデントへの対処を指示する。なお、インシデント対策レポートは、例えば、電話、ＦＡＸ、電子メール、ネットワークＮとは別の経路から現場保守員１０９に送られる。
【００２９】
図２は、制御システム１０を構成する各装置の内部構成例を示すブロック図である。図２では、設備１０１の記載を省略する。
【００３０】
制御装置１０２は、データ収集・解析部１０２１、アラート記憶部１０２２、アラート送信部１０２３を有している。
データ収集・解析部１０２１は、設備１０１で発生したアラートを取得する。制御装置１０２で発生するアラートは、例えば、制御システム１０の他装置より制御装置１０２に対してログイン処理を何度も試みていること、特定のポートにパケットを送信し続けられていること等を現場保守員１０９に報知するものである。
アラート記憶部１０２２は、データ収集・解析部１０２１により取得されたアラートを記憶する。
アラート送信部１０２３は、アラート記憶部１０２２に記憶されたアラートをセキュリティ監視装置１０５に送信する。
【００３１】
システム監視装置１０３は、データ受信・解析部１０３１、異常判断部１０３２、アラート記憶部１０３３、データ表示・操作部１０３４を有している。
データ受信・解析部１０３１は、セキュリティ監視装置１０５から通知された異常データ１０５５を解析する。
異常判断部１０３２は、セキュリティ監視装置１０５から通知された異常データ１０５５の解析結果に基づいて制御システム１０に発生したインシデントが、システム異常又はセキュリティ異常のいずれであるかを判断する。
アラート記憶部１０３３は、異常判断部１０３２が異常を検知したことにより発生したアラートを記憶する。
データ表示・操作部１０３４は、後述する図８に示すシステム監視画面３０を表示し、現場保守員１０９による操作を受け付ける。
【００３２】
セキュリティ機器１０４は、データ送受信部１０４１、異常検知部１０４２、アラート記憶部１０４３、コマンド送信部１０４４を有している。
データ送受信部１０４１は、制御システム１０にて発生したセキュリティ上のアラートをセキュリティ監視装置１０５に送信する。また、データ送受信部１０４１は、セキュリティ監視装置１０５からインシデントに対処するための指示（後述する図１１に示す原因装置の切り離し指示、攻撃対象のネットワーク隔離指示等）を受信する。
異常検知部１０４２は、制御システム１０にて発生したセキュリティ上の異常を検知し、アラートを発生する。
【００３３】
アラート記憶部１０４３は、異常検知部１０４２が異常を検知して発生したアラートを記憶する。セキュリティ機器１０４が発生するアラートは、例えば、制御システム１０内の装置により不正なパケットの送受信が行われたこと、不正な機器（不揮発メモリ等）が制御装置１０２に接続されたこと等を現場保守員１０９に報知するものである。
コマンド送信部１０４４は、例えば、セキュリティ監視装置１０５により指示された装置又はネットワークに対して、原因装置の切り離し、又はネットワークの隔離のためのコマンドを送信する。
フィジカルセキュリティサーバ４０１は、データ収集部４０１１、データ記憶部４０１２、データ送信部４０１３を有している。
データ収集部４０１１は、入退管理装置１１０及び監視カメラ１１１から履歴データを収集する。
データ記憶部４０１２は、データ収集部４０１１が取得した履歴データを記憶する。
データ送信部４０１３は、データ記憶部４０１２に記憶された履歴データをセキュリティ監視装置１０５に送信する。
【００３４】
セキュリティ監視装置１０５は、データ送受信部１０５１、アラート記憶部１０５２、履歴データ記憶部１０６０、アラート解析・判断部１０５４、異常シナリオ１０５３、データ表示・操作部１０５６、異常通知部１０５７、アラート通知部１０５８、対処指示部１０５９を有している。
【００３５】
データ送受信部１０５１は、制御装置１０２及びセキュリティ機器１０４からアラートを受信する。
アラート記憶部１０５２は、データ送受信部１０５１が制御装置１０２から受信したアラートを記憶する。
【００３６】
異常シナリオ１０５３は、インシデントの前兆となる制御システム１０内の装置のふるまいを示すデータである。例えば、制御システム１０内の装置に対して、不正アクセス、不正な攻撃が行われたり、ウィルスが感染したりすると、装置が停止する前に、インシデントの前兆となる特定の動きをすることがある。このような装置に生じる特定の動きが異常シナリオ１０５３として保存されている。
【００３７】
アラート解析・判断部１０５４は、データ送受信部１０５１により収集され、アラート記憶部１０５２に記憶されるアラートを解析する。この際、アラート解析・判断部１０５４は、異常シナリオ１０５３を参照し、アラートと、異常シナリオ１０５３を比較する。そして、アラートと、異常シナリオ１０５３が一致した場合に、アラート解析・判断部１０５４は、インシデントが発生したことを判断することができる。
【００３８】
異常データ１０５５は、アラート解析・判断部１０５４により解析されたアラートの解析結果を示すデータである。この異常データ１０５５は、後述する図７に示すようにアラート（インシデント）の発生時刻、対象装置、インシデントレベル、インシデント説明により構成される。
【００３９】
データ表示・操作部１０５６は、後述する図１０に示すインシデント一覧画面７１、インシデント原因分析画面７２に、異常データ１０５５の内容等を表示すると共に、インシデント発生時は、セキュリティ機器１０４に対し対処指示を送信する。
【００４０】
異常通知部１０５７は、アラート解析・判断部１０５４によりインシデントが発生したと判断された場合に、システム監視装置１０３に異常データ１０５５、及び履歴データ記憶部１０６０から読出した履歴データ１０６０−１（後述する図６を参照）を通知する。
アラート通知部１０５８は、現場データ管理サーバ１０７にアラートを通知する。このアラートは、現場データ管理サーバ１０７に蓄積される。
対処指示部１０５９は、データ送受信部１０５１を通して、セキュリティ機器１０４に対処指示を送信する。
【００４１】
履歴データ記憶部１０６０は、上述した履歴データ１０６０−１を記憶する。
【００４２】
現場データ管理サーバ１０７は、アラート受信部１０７１、アラート記憶部１０７２を有している。
アラート受信部１０７１は、一方向中継装置１０６によりセキュリティ監視装置１０５から中継されたアラートを受信する。
アラート記憶部１０７２は、アラート受信部１０７１が受信したアラートを記憶する。
【００４３】
図３は、サブシステムの構成例を示すネットワーク構成図である。
上述したように制御システム１０には、設備１０１、制御装置１０２及びセキュリティ機器１０４をセットとしたサブシステムが構成される場合がある。図３に示すサブシステム１０ａ，１０ｂは、ネットワーク１０８に接続されている。例えば、サブシステム１０ａ，１０ｂの稼働時間は、９時から１７時までとし、システム監視装置１０３によるシステム監視時間は、２４時間であるとする。
【００４４】
サブシステム１０ａには、サブネットワーク１０８ａ１に、制御サーバ１０１ａ１、コントローラ１０１ｂ１，１０１ｂ２、セキュリティ機器１０４ａ１が接続されている。図中ではコントローラ１０１ｂ１，１０１ｂ２を、それぞれ「コントローラ１」、「コントローラ２」と表記しており、以下の説明においても「コントローラ１」、「コントローラ２」として説明する。
【００４５】
また、サブシステム１０ｂには、サブネットワーク１０８ａ２に、制御サーバ１０１ａ２、コントローラ１０１ｂ３，１０１ｂ４、セキュリティ機器１０４ａ２が接続されている。図中ではコントローラ１０１ｂ３，１０１ｂ４を、それぞれ「コントローラ３」、「コントローラ４」と表記しており、以下の説明においても「コントローラ３」、「コントローラ４」として説明する。
【００４６】
現場保守員１０９は、システム監視装置１０３を通じて、ネットワーク１０８に接続されたサブシステム１０ａ，１０ｂ内の装置、サブネットワーク１０８ａ１，１０８ａ２の状況を監視している。例えば、コントローラ１にインシデントが発生して、サブシステム１０ａ内の装置を攻撃したり、サブシステム１０ｂ内の装置を攻撃する場合がある。このとき、システム監視装置１０３には、攻撃を行っていたり、不審な動作を行っていたりする装置と、この装置が含まれるサブシステムの状況が表示される。そして、システム監視装置１０３を操作する現場保守員１０９は、インシデントの発生元である装置をサブシステムから切り離す制御を行うことが可能となる。
【００４７】
次に、セキュリティ監視システム１の各装置を構成する計算機Ｃのハードウェア構成を説明する。
図４は、計算機Ｃのハードウェア構成例を示すブロック図である。
【００４８】
計算機Ｃは、いわゆるコンピュータとして用いられるハードウェアである。計算機Ｃは、バスＣ４にそれぞれ接続されたＣＰＵ（Central Processing Unit：中央処理装置）Ｃ１、ＲＯＭ（Read Only Memory）Ｃ２、ＲＡＭ（Random−ａccess Memory）Ｃ３を備える。さらに、計算機Ｃは、表示部Ｃ５、操作部Ｃ６、不揮発性ストレージＣ７、ネットワークインターフェイスＣ８を備える。
【００４９】
ＣＰＵ Ｃ１は、本実施の形態例に係る各機能を実現するソフトウェアのプログラムコードをＲＯＭ Ｃ２から読み出して実行する。ＲＡＭ Ｃ３には、演算処理の途中に発生した変数やパラメーター等が一時的に書き込まれる。表示部Ｃ５は、例えば、液晶ディスプレイモニタであり、計算機Ｃで行われる処理の結果等を表示する。操作部Ｃ６には、例えば、キーボード、マウス等が用いられ、現場保守員１０９又はセキュリティ専門家２０２が所定の操作入力、指示を行うことが可能である。システム監視装置１０３、セキュリティ監視装置１０５及びインシデント管理サーバ２０１には、表示部Ｃ５及び操作部Ｃ６が設けられる。しかし、制御装置１０２、セキュリティ機器１０４、一方向中継装置１０６及び現場データ管理サーバ１０７には、表示部Ｃ５及び操作部Ｃ６が設けられなくてもよい。
【００５０】
不揮発性ストレージＣ７としては、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フレキシブルディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリ等が用いられる。この不揮発性ストレージＣ７には、ＯＳ（Operating System）、各種のパラメーターの他に、計算機Ｃを機能させるためのプログラムが記録されている。ＲＯＭ Ｃ２、不揮発性ストレージＣ７は、ＣＰＵ Ｃ１が動作するために必要なプログラムやデータ等を記録しており、計算機Ｃによって実行されるプログラムを格納したコンピュータ読取可能な非一過性の記録媒体の一例として用いられる。このため、ＲＯＭ Ｃ２、不揮発性ストレージＣ７には、このプログラムが永続的に格納される。
【００５１】
ネットワークインターフェイスＣ８には、例えば、ＮＩＣ（Network Interface Card）等が用いられ、端子が接続されたＬＡＮ（Local−ａrea Network）、専用線等を介して各種のデータを装置間で送受信することが可能である。
【００５２】
図５は、セキュリティ監視装置１０５が有する異常データ１０５５の構成例を示す説明図である。
図５の上に示す異常データ１０５５は、時刻１０５５−１、対象装置１０５５−２、インシデントレベル１０５５−３、インシデント説明１０５５−４により構成される。
【００５３】
時刻１０５５−１は、制御装置１０２及びセキュリティ機器１０４から送信されたアラートの発生時刻、すなわちインシデントの発生時刻を格納する。対象装置１０５５−２は、インシデントの発生元のＩＰ（Internet Protocol）アドレスを格納する。インシデントレベル１０５５−３は、インシデントの深刻度により決めたレベルを格納する。インシデント説明１０５５−４は、インシデントの説明文を格納する。
【００５４】
異常データ１０５５により、例えば、アラートの発生時刻が「２０１７年１月３０日１５時３０分５０秒」の時に、ＩＰアドレスとして「１９２．１６８．１．５５」が付与された装置に対して、インシデントレベルが「３」のインシデントが発生したことが示される。そして、このインシデントの内容は、ＩＰアドレスとして「１９２．１６８．１．５５」が付与された装置に不正装置が接続されたことを示している。
【００５５】
図５の下に示すインシデントレベル定義データは、インシデントレベル毎にインシデントの内容と、定義を格納したものである。このインシデントレベル定義データは、例えば、システム監視装置１０３のデータ受信・解析部１０３１に格納されている。インシデントレベル定義データは、インシデントレベル１０５５−３、インシデント１０５５−３−１、システムとしての定義１０５５−３−２により構成される。
【００５６】
インシデントレベル１０５５−３は、異常シナリオ１０５３と、制御装置１０２又はセキュリティ機器１０４から取得され、アラート記憶部１０５２に格納されたアラートとを比較して導出されるインシデント１０５５−３−１により一意に決定される。例えば、インシデントレベル「１」は、軽いインシデント（軽故障）であることを示し、インシデントレベル「２」、「３」は、より重いインシデント（重故障）であることを示す。また、本実施の形態では、インシデントレベルとして「１」〜「３」の３種類を定義したが、さらに多くの種類のインシデントレベルが定義されてもよい。
【００５７】
システムとしての定義１０５５−３−２は、セキュリティ監視装置１０５からシステム監視装置１０３に送信される異常データ１０５５をシステム監視装置１０３で認識するためのデータである。システムとしての定義１０５５−３−２には、例えば、「警告」、「異常」等が格納される。
【００５８】
図６は、セキュリティ監視装置１０５が有する履歴データ１０６０−１の構成例を示す説明図である。
履歴データ１０６０−１は、入出時刻１０６０−１−１、退出時刻１０６０−１−２、利用者ＩＤ１０６０−１−３、氏名１０６０−１−４により構成される。
入出時刻１０６０−１−１は、現場保守員１０９及びエンジニア１１２が制御システム１０に入出した時刻であり、退出時刻１０６０−１−２は、現場保守員１０９及びエンジニア１１２が制御システム１０から退出した時刻である。利用者ＩＤ１０６０−１−３は、現場保守員１０９及びエンジニア１１２に一意に貸与されたＩＤカードのＩＤであり、氏名１０６０−１−４は、そのＩＤカード又はＩＤに対応付けられたユーザの氏名である。
【００５９】
図７は、セキュリティ監視装置１０５が、制御装置１０２、セキュリティ機器１０４からアラートを収集し、フィジカルセキュリティサーバ４０１から履歴データ１０６０−１を収集し、システム監視装置１０３に異常データ１０５５を通知する手順を示すフローチャートである。なお、制御装置１０２、セキュリティ機器１０４及びフィジカルセキュリティサーバ４０１は、セキュリティ監視装置１０５に対して、同様の手順でアラート、履歴データ１０６０−１を送信する。ここでは、制御装置１０２がアラートを送信し、フィジカルセキュリティサーバ４０１が履歴データ１０６０−１を送信する処理について説明し、セキュリティ機器１０４がアラートを送信する処理の説明は省略する。
【００６０】
まず、制御装置１０２のデータ収集・解析部１０２１において、アラートを取得し、フィジカルセキュリティサーバ４０１のデータ収集部４０１１にて履歴データ１０６０−１を収集する（Ｓ１）。次に、制御装置１０２のデータ収集・解析部１０２１は、セキュリティ監視装置１０５に未送信のアラートが有るかどうかをチェックする。フィジカルセキュリティサーバ４０１のデータ収集部４０１１のデータ送信部４０１３は、セキュリティ監視装置１０５に未送信の履歴データ１０６０−１が有るかどうかをチェックする（Ｓ２）。未送信のアラートが有れば（Ｓ２のＹＥＳ）、アラート送信部１０２３がセキュリティ監視装置１０５にアラートを送信する（Ｓ３）。また、未送信の履歴データ１０６０−１が有れば（Ｓ２のＹＥＳ）、データ送信部４０１３がセキュリティ監視装置１０５に履歴データ１０６０−１を送信する（Ｓ３）。未送信のアラート及び履歴データ１０６０−１が無ければ（Ｓ２のＮＯ）、データ収集・解析部１０２１は、再度、アラートの取得を待ち、データ収集部４０１１は、再度、履歴データ１０６０−１の取得を待つ。
【００６１】
次に、セキュリティ監視装置１０５のアラート解析・判断部１０５４において、制御装置１０２から送信されたアラート、フィジカルセキュリティサーバ４０１から送信された履歴データ１０６０−１を取得・解析する（Ｓ４）。そして、アラート解析・判断部１０５４は、アラート及び履歴データ１０６０−１を異常シナリオ１０５３と比較し、インシデントが有るか否かをチェックする（Ｓ５）。アラート及び履歴データ１０６０−１を異常シナリオ１０５３と比較する方法は、例えば、アラート及び履歴データ１０６０−１の変化が、異常シナリオ１０５３に規定されている変化と一致するか否かにより行われる。
【００６２】
アラート解析・判断部１０５４は、インシデントが無いと判断すると（Ｓ５のＮＯ）、再度アラート及び履歴データ１０６０−１の取得を待つ。一方、アラート解析・判断部１０５４は、インシデントが有ると判断すると（Ｓ５のＹＥＳ）、異常通知部１０５７は、システム監視装置１０３に異常データ１０５５を通知する（Ｓ６）。
【００６３】
図８は、システム監視装置１０３のデータ表示・操作部１０３４に表示されるシステム監視画面３０の表示例を示す説明図である。システム監視画面３０は、システム監視装置１０３のデータ表示・操作部１０３４の一機能として実装される。
【００６４】
システム監視画面３０は、表示時刻３１、凡例情報３２、システム監視領域３３などを表示する。システム監視領域３３には、監視・操作端末、保守端末、システム監視装置がネットワーク１（図３に示したネットワーク１０８）に接続される様子が示される。また、システム監視領域３３には、制御サーバとコントローラ１、コントローラ２、セキュリティ機器１０４がネットワーク２（図３に示したサブネットワーク１０８ａ１）に接続される様子が示される。なお、システム監視領域３３に表示される、監視・操作端末、保守端末、制御サーバ、コントローラ１，２は、いずれも図１に示した制御装置１０２の一例である。そして、システム監視装置１０３は、監視・操作端末、保守端末、制御サーバ、コントローラ１，２、セキュリティ機器１０４から発生する各種のアラート、入退管理装置１１０等から発生する履歴データ等に基づく異常データを収集し、各装置の状態（重故障、軽故障、ネットワーク異常、その他異常など）をシステム監視画面３０に表示する。
【００６５】
システム監視装置１０３を操作する現場保守員１０９は、システム監視画面３０を見て、アラートが発生した装置にどのような異常が生じているか確認する。そして、現場保守員１０９が、例えば、制御サーバを示すアイコンをクリックすると、図８の下に示す詳細情報３４が表示される。以下の説明において、あるアイコンをクリックしたことにより、画面が表示される様子を破線矢印で表す。詳細情報３４には、異常の種類、異常が発生した装置名、異常の内容が表示される。これにより、現場保守員１０９は、異常の詳細を知ることができ、異常に対処することができる。
【００６６】
図９は、システム監視装置１０３が、セキュリティ監視装置１０５から受信した異常データ１０５５を解析する手順を示すフローチャートである。図９において、セキュリティ監視装置１０５は、図７の結合子Ｂに結合され、システム監視装置１０３は、図７の結合子Ｃに結合されている。
【００６７】
まず、システム監視装置１０３において、データ受信・解析部１０３１は、セキュリティ監視装置１０５から通知された異常データ１０５５を解析する。そして、データ受信・解析部１０３１は、インシデントレベル定義データを参照し、異常データ１０５５のインシデントレベル１０５５−３に応じて、異常データ１０５５に、システム監視装置１０３の異常を示す情報を割当てる（Ｓ１１）。システム監視装置１０３の異常を示す情報として、例えば、軽故障、重故障がある。
【００６８】
次に、データ表示・操作部１０３４は、異常を示す情報が割当てられた異常データ１０５５に基づいて、システム監視画面３０の表示内容を更新する（Ｓ１２）。これにより、各装置のアイコンに、各装置で検知された異常を示す情報（例えば、凡例情報３２）が表示される。
【００６９】
そして、現場保守員１０９は、システム監視画面３０の表示内容に基づいて制御システム１０にシステム異常が発生したか否かを判断する（Ｓ１３）。ここで、制御システム１０に発生する異常を「システム異常」と呼ぶ。システム異常は、例えば、設備１０１で発生したインシデントを表しており、現場保守員１０９がマニュアル等を用いて従来通りに対処することが可能な異常である。現場保守員１０９は、システム異常が発生したと判断した場合（Ｓ１３のＹＥＳ）、システム監視画面３０を通じてシステム異常への対処を行う（Ｓ１４）。
【００７０】
一方、現場保守員１０９は、システム異常以外の異常、すなわちセキュリティ異常が発生したと判断した場合（Ｓ１３のＮＯ）、セキュリティ監視装置１０５での対処を行う。セキュリティ異常とは、セキュリティ監視装置１０５による対処が必要とされる異常である。このため、現場保守員１０９は、後述する図１１に示すようにセキュリティ監視装置１０５にてセキュリティ異常への対処を行う。
【００７１】
図１０は、現場保守員１０９がセキュリティ監視装置１０５を操作して実施する原因分析とその対処を行うためのインシデント一覧画面７１とインシデント原因分析画面７２の表示例を示す説明図である。インシデント一覧画面７１は、現場保守員１０９がセキュリティ監視装置１０５の実行プログラムを起動することで、表示される。
【００７２】
図１０の上に示すインシデント一覧画面７１は、セキュリティ監視装置１０５が特定したインシデントの発生元と、インシデントが発生した範囲を表示する画面である。インシデント一覧画面７１は、インシデント発生時刻を示す発生時刻、インシデント発生箇所を示す発生箇所、発生したインシデントのレベルを示すインシデントレベル、発生したインシデントの内容を表示する。インシデント発生時刻は、設備１０１又はセキュリティ機器１０４で発生したアラートの発生時刻に等しいが、異なる時刻としてもよい。
【００７３】
また、インシデント一覧画面７１の右上には、原因分析ボタン７１１が表示される。現場保守員１０９が原因分析ボタン７１１をクリックすると、インシデントの内容に応じて、図１０の左下又は右下に示すインシデント原因分析画面７２のいずれかが表示される。インシデント原因分析画面７２は、現場保守員１０９がインシデントの原因分析を行うために用いられる。
【００７４】
インシデント原因分析画面７２には、インシデントが発生した装置（「対象装置」と呼ぶ）を選択するためのドロップダウンリストが表示される。現場保守員１０９がドロップダウンリストから対象装置７２１−１を選択すると、インシデントの推移領域７２１−２、７２２−２のいずれかがインシデント原因分析画面７２に表示される。インシデント原因分析画面７２にインシデントの推移領域７２１−２，７２２−２のいずれが表示されるかは、実際に発生するインシデント、この例では攻撃によって異なる。そして、インシデント原因分析画面７２を通じて行われるインシデントの原因分析の結果に基づいて、セキュリティ監視装置１０５からセキュリティ機器１０４にインシデントへの対処が指示される。
【００７５】
インシデントの推移領域７２１−２は、対象装置が同一ネットワークに攻撃する様子を示したものである。対象装置が同一ネットワークに攻撃するとは、例えば、図３に示したサブシステム１０ａのコントローラ１が、同一のサブネットワーク１０８ａ１に接続されたコントローラ２に攻撃することである。コントローラ１では、１６件のインシデントが発生していることが示される。そして、コントローラ１が接続されるサブネットワーク１０８ａ１に接続され、攻撃されている装置は、コントローラ１と同じ丸アイコンで示される。インシデントの推移領域７２１−２が表示された場合、現場保守員１０９が原因装置を切り離すボタン７２１−３をクリックして対処する。これにより、セキュリティ機器１０４にて、インシデントが発生した原因となった装置（「原因装置」と呼ぶ）がネットワークから切り離され、原因装置による同一ネットワークの他装置への攻撃を防ぐことができる。
【００７６】
インシデントの推移領域７２２−２は、対象装置が他ネットワークに攻撃する様子を図示したものである。対象装置が他ネットワークに攻撃するとは、例えば、図３に示したサブシステム１０ａのコントローラ１が、他のサブシステム１０ｂのサブネットワーク１０８ａ２に接続されたコントローラ４に攻撃することである。コントローラ１が接続されるサブネットワーク１０８ａ１とは異なるサブネットワークに接続され、攻撃されている装置は、コントローラ１とは異なる四角アイコンで示される。インシデントの推移領域７２２−２が表示された場合、現場保守員１０９がネットワークを隔離するボタン７２１−４をクリックして対処する。これによりセキュリティ機器１０４にて、原因装置が攻撃対象としているネットワークが隔離され、原因装置による他ネットワークへの攻撃を防ぐことができる。
【００７７】
図１１は、セキュリティ監視装置１０５のインシデント分析、インシデント対処の手順を示すフローチャートである。図１１において、セキュリティ機器１０４は、図７の結合子Ａに結合され、セキュリティ監視装置１０５は、図９の結合子Ｄに結合されている。
【００７８】
まず、現場保守員１０９は、セキュリティ監視装置１０５を操作して、不図示のセキュリティ監視画面を起動し（Ｓ２１）、インシデント一覧画面７１を表示する（Ｓ２２）。インシデント一覧画面７１は、セキュリティ監視画面から遷移してセキュリティ監視装置１０５に表示される画面である。
【００７９】
次に、現場保守員１０９は、インシデント一覧画面７１に表示されているインシデントレベルにより、深刻なインシデントが発生しているか否かを確認する（Ｓ２３）。深刻なインシデントとは、例えば、高いインシデントレベル（「３」）のインシデントである。
【００８０】
現場保守員１０９は、深刻なインシデントが発生していないと判断すると（Ｓ２３のＮＯ）、ステップＳ２２に戻り、インシデント一覧画面７１の監視を継続する。一方、現場保守員１０９は、深刻なインシデントが発生していると判断すると（Ｓ２３のＹＥＳ）、原因分析ボタン７１１をクリックし、インシデント原因分析画面７２を表示する（Ｓ２４）。
【００８１】
次に、現場保守員１０９は、インシデント原因分析画面７２において、インシデント発生の原因が特定装置にあるか否かを確認する（Ｓ２５）。特定装置とは、例えば、セキュリティ監視装置１０５によりインシデントの発生が検知されたときに、インシデントの発生原因の可能性が高いと考えられる制御システム１０内の装置である。ステップＳ２５の時点では、特定装置が原因装置であるかは不明である。
【００８２】
特定装置にインシデント発生の原因がある場合、以降の処理で特定装置をネットワーク１０８から切り離すか否かが判断される。一方、特定装置にインシデント発生の原因がない場合、例えば、ネットワーク１０８内を流れるデータに異常が生じただけである場合、以降の処理でネットワーク１０８から特定装置を切り離す必要はない。
【００８３】
このため、現場保守員１０９は、インシデント発生の原因が特定装置にないと判断した場合（Ｓ２５のＮＯ）、本処理を終了する。なお、ステップＳ２４に戻り、現場保守員１０９が、インシデント原因分析画面７２の確認を継続してもよい。
【００８４】
一方、現場保守員１０９は、インシデント発生の原因が特定装置にあると判断した場合（Ｓ２５のＹＥＳ）、セキュリティ監視装置１０５は、同一ネットワーク内への攻撃か否かを確認する（Ｓ２６）。同一ネットワーク内への攻撃でないと判断した場合（Ｓ２６のＮＯ）、ステップＳ２９に移る。一方、同一ネットワーク内の攻撃であれば（Ｓ２６のＹＥＳ）、現場保守員１０９は、インシデント発生の原因となった特定装置、すなわち原因装置をネットワークから切り離すことで業務に影響があるか否かを確認する（Ｓ２７）。
【００８５】
例えば、図８のシステム監視領域３３に示したように、コントローラ１〜３がネットワーク２に接続されている場合に、ネットワーク２からコントローラ１を切り離してもコントローラ２，３により業務を継続できる場合がある。このため、現場保守員１０９は、コントローラ１を切り離しても業務に影響がなければ、このコントローラ１を切り離してよいと判断することができる。一方、現場保守員１０９は、コントローラ１を切り離すと業務に影響があると判断すれば、このコントローラ１をネットワーク２から切り離さないと判断することができる。
【００８６】
そして、原因装置を切り離すことで業務に影響があれば（Ｓ２７のＹＥＳ）、原因装置を切り離すことなく本処理を終了する。一方、原因装置を切り離しても業務に影響がなければ（Ｓ２７のＮＯ）、現場保守員１０９は、セキュリティ監視装置１０５からセキュリティ機器１０４に原因装置の切離しを指示する（Ｓ２８）。原因装置の切離し指示は、現場保守員１０９が、セキュリティ監視装置１０５に表示された、図１０に示した原因装置を切り離すボタン７２１−３をクリックすることで行われる。そして、セキュリティ機器１０４は、セキュリティ監視装置１０５からの指示に従って原因装置の切離しを実行する（Ｓ３３）。これにより、原因装置から他の装置に対する攻撃を行えなくする。
【００８７】
ステップＳ２６にてセキュリティ監視装置１０５が同一ネットワーク内の攻撃でないと判断した場合（Ｓ２６のＮＯ）、現場保守員１０９は、他ネットワークへの攻撃か否かを確認する。他ネットワークへの攻撃であれば（Ｓ２９のＹＥＳ）、現場保守員１０９は、攻撃対象である他ネットワークを隔離することが業務に影響あるか否かを判断する（Ｓ３０）。他ネットワークを隔離することが業務に影響があれば（Ｓ３０のＹＥＳ）、他ネットワークを隔離することなく本処理を終了する。
【００８８】
他ネットワークを隔離することが業務に影響なければ（Ｓ３０のＮＯ）、現場保守員１０９は、原因装置が攻撃している他ネットワークを隔離する指示をセキュリティ機器１０４に指示を出す（Ｓ３１）。他ネットワークを隔離する指示は、現場保守員１０９が、セキュリティ監視装置１０５に表示された、図１０に示したネットワークを隔離するボタン７２１−４をクリックすることで行われる。そして、セキュリティ機器１０４は、セキュリティ監視装置１０５からの指示に従って他ネットワークを隔離する（Ｓ３４）。これにより、他ネットワークを攻撃から守ることができる。そして、ステップＳ３１又はステップＳ２９のＮＯの後、現場保守員１０９がセキュリティ監視画面を終了させる（Ｓ３２）。
【００８９】
図１２は、セキュリティ監視装置１０５が、アラート、異常データ１０５５及び履歴データ１０６０−１を、監視センター２０のインシデント管理サーバ２０１に送信する手順を示すフローチャートである。
【００９０】
まず、セキュリティ監視装置１０５のアラート通知部１０５８は、アラート記憶部１０５２からアラートを取得する。異常通知部１０５７は、異常データ１０５５を取得し、履歴データ記憶部１０６０から履歴データ１０６０−１を取得する（Ｓ４１）。そして、アラート通知部１０５８は、監視センター２０に未送信のアラートがあるか否かをチェックし、異常通知部１０５７は、監視センター２０に未送信の異常データ１０５５及び履歴データ１０６０−１が有るか否かをチェックする（Ｓ４２）。
【００９１】
未送信のアラートがある場合（Ｓ４２のＹＥＳ）、セキュリティ監視装置１０５のアラート通知部１０５８が、アラート記憶部１０５２に記憶されているアラートを読込み、一方向中継装置１０６にアラートを送信する。また、未送信の異常データ１０５５及び履歴データ１０６０−１がある場合、異常通知部１０５７が一方向中継装置１０６に異常データ１０５５及び履歴データ１０６０−１を送信する（Ｓ４３）。一方、未送信のアラート、異常データ１０５５及び履歴データ１０６０−１が無い場合には（Ｓ４２のＮＯ）、ステップＳ４１に戻り、アラート通知部１０５８及び異常通知部１０５７は、データ送信待ちに入る。
【００９２】
次に、セキュリティ監視装置１０５から送信されたアラート、異常データ１０５５及び履歴データ１０６０−１は、一方向中継装置１０６にて、現場データ管理サーバ１０７に中継される（Ｓ４４）。一方向中継装置１０６から中継されたアラート、異常データ１０５５及び履歴データ１０６０−１は、現場データ管理サーバ１０７にて蓄積される（Ｓ４５）。
【００９３】
監視センター２０のインシデント管理サーバ２０１は、現場データ管理サーバ１０７からアラート、異常データ１０５５及び履歴データ１０６０−１を取得する時刻か否かを判定する（Ｓ４６）。アラート、異常データ１０５５及び履歴データ１０６０−１を取得する時刻とは、例えば、定時、又は３０分ごとの時刻としてよい。
【００９４】
そして、現場データ管理サーバ１０７からアラート、異常データ１０５５及び履歴データ１０６０−１を取得する時刻であれば（Ｓ４６のＹＥＳ）、インシデント管理サーバ２０１は、現場データ管理サーバ１０７にアラート、異常データ１０５５及び履歴データ１０６０−１の有無を問合せる。そして、インシデント管理サーバ２０１は、現場データ管理サーバ１０７からアラート、異常データ１０５５及び履歴データ１０６０−１を取得する（Ｓ４７）。このとき、インシデント管理サーバ２０１は、現場データ管理サーバ１０７に未取得のアラート、異常データ１０５５及び履歴データ１０６０−１が蓄積されているか確認し、未取得のアラート、異常データ１０５５及び履歴データ１０６０−１だけを現場データ管理サーバ１０７から取得する。そして、インシデント管理サーバ２０１は、自身が備える不図示の記憶部にアラート、異常データ１０５５及び履歴データ１０６０−１を格納する（Ｓ４８）。
【００９５】
一方、アラート、異常データ１０５５及び履歴データ１０６０−１を取得する時刻で無ければ（Ｓ４６のＮＯ）、インシデント管理サーバ２０１は、再びアラート、異常データ１０５５及び履歴データ１０６０−１を取得する時刻になるまで取得待ちに入る。なお、インシデント管理サーバ２０１は、現場データ管理サーバ１０７にアラート、異常データ１０５５及び履歴データ１０６０−１が蓄積された直後に、現場データ管理サーバ１０７からアラート、異常データ１０５５及び履歴データ１０６０−１を取得してもよい。
【００９６】
ここで、セキュリティ監視装置１０５とシステム監視装置１０３とセキュリティ機器１０４によりインシデントが発生する度にインシデントに対処しても、以下の（１）〜（５）に列挙した事態になる可能性がある。
（１）最近、インシデント発生が多い。
（２）特定装置を起点とした攻撃が多い。
（３）特定装置が頻繁に攻撃対象とされている。
（４）特定の攻撃が多く行われている。
（５）他サイトでも特定の攻撃が多い。
【００９７】
そのため、セキュリティ監視システム１では、セキュリティ監視装置１０５によるインシデント分析、対処を可能とするだけでなく、さらに、インシデント管理サーバ２０１を使ったセキュリティ専門家２０２による根本分析、根本対処策の検討をも可能とする。インシデント管理サーバ２０１は、セキュリティ監視装置１０５から取得したアラート、異常データ１０５５及び履歴データ１０６０−１を長期に渡り蓄積しているだけでなく、他の制御システム１０のデータも蓄積している。このため、セキュリティ専門家２０２は、インシデント管理サーバ２０１を使用して、セキュリティ専門家２０２自身が有する知識・ノウハウを用いて、発生したインシデントに対する広範囲、詳細な分析、対処策を検討することが可能となる。以下に、監視センター２０のセキュリティ専門家２０２で実施される根本分析、根本対処策検討を行うために用いるインシデント分析画面について説明する。
【００９８】
図１３は、インシデント管理サーバ２０１にて表示されるインシデント分析画面の表示例を示す説明図である。
【００９９】
インシデント分析画面１００１は、セキュリティ専門家２０２がインシデント管理サーバ２０１内の実行プログラムを起動することで、インシデント管理サーバ２０１に表示される。インシデント分析画面１００１は、セキュリティ専門家２０２がインシデントを分析するために用いられる。初めに、インシデント分析画面１００１にはサイト名１００２、対象装置１００３だけが表示される。
【０１００】
サイト名１００２には、制御システム１０に一意に付与されるサイト名（顧客名）が表示される。この例では、サイト名として「顧客１」が表示されている。
対象装置１００３には、セキュリティ専門家２０２がインシデントを分析しようとする装置（対象装置）を特定するための情報が表示される。対象装置を特定する情報として、例えば、装置に動的に付与されるＩＰアドレス、装置名称がある。
【０１０１】
セキュリティ専門家２０２が、インシデントの内容を確認するために選択した対象装置１００３に発生したインシデントに関する情報として、インシデント一覧１００４、インシデント推移領域１００５がインシデント分析画面１００１に表示される。インシデント一覧１００４は、制御システム１０で発生したインシデントの一覧表示したものであり、例えば、対象装置１００３で選択された制御サーバで発生したインシデントが示されている。
【０１０２】
インシデント一覧１００４には、セキュリティ専門家２０２が、対象装置１００３にて選択した装置においてインシデントが発生した時刻、インシデントレベル、インシデントの内容が表示される。インシデント一覧１００４により、例えば、時刻「２０１７年１月１０日１２時３５分４０秒」にインシデントレベルが「３」であるインシデントの内容が「特定装置から大量パケットが送信された」ことが分かる。
【０１０３】
インシデント推移領域１００５には、インシデント一覧１００４に表示されたインシデントレベルと、インシデントが発生した数とが表示される。図中の矢印は、インシデントの発生元と、発生元の影響によりさらに別のインシデントが発生したことを示す。インシデント推移領域１００５により、制御サーバにはインシデントレベルが「１」であるインシデントが１個発生し、インシデントレベルが「１」のインシデントの影響によりインシデントレベルが「３」のインシデントが１６個発生したことが示される。
【０１０４】
セキュリティ専門家２０２が、インシデント推移領域１００５のインシデント発生元に付加される、発生元で表示ボタン１００５−１をクリックすると、インシデントの推移を視覚化したインシデント推移領域１００６（発生元で表示）が表示される。インシデント推移領域１００６により、制御サーバに発生したインシデントの発生元が保守端末であることが分かる。そして、インシデント推移領域１００６により、１台の保守端末において、インシデントレベルが「１」のインシデントが１件発生し、インシデントレベルが「３」のインシデントが１０件発生したことにより、この保守端末がインシデントの発生元となったことが示されている。
【０１０５】
そして、インシデント推移領域１００６と共に、根本対処設定画面１００８が表示される。根本対処設定画面１００８は、インシデントの発生元に関する情報と、インシデントの発生元への根本対処を設定するために用いられる。根本対処設定画面１００８には、対象機器、根本原因、根本対処等の情報を設定可能なドロップダウンリストが表示される。セキュリティ専門家２０２は、インシデント推移領域１００５やインシデント推移領域（発生元で表示）１００６を参照し、根本対処設定画面１００８の設定ボタン１００８−１をクリックすることで、対象機器、根本原因、根本対処を設定する。例えば、保守端末に発生したインシデントの根本原因がウィルス感染であるため、ウィルス駆除を根本対処とする設定が行われる。
【０１０６】
また、セキュリティ専門家２０２が、インシデント推移領域１００６の右下にある事例検索ボタン１００７−１をクリックすると、類似している根本原因検索結果１００９−１がインシデント推移領域１００６の下に表示される。類似している根本原因検索結果１００９−１には、今回発生したインシデントの根本原因に類似する、過去に発生したインシデントの根本原因が表示される。そして、過去にどのような根本原因が採用され、根本対処設定画面１００８にて設定されたかを示す情報が示される。類似している根本原因検索結果１００９−１により、過去に「対象装置がウィルス感染していた」ことが根本原因として１０回採用され、設定されたことが示される。
【０１０７】
また、セキュリティ専門家２０２が、インシデント推移領域１００６の右下にある履歴データ表示ボタン１００７−２をクリックすると、図１４に示す履歴データ表示結果１００９−２が表示される。
【０１０８】
図１４は、履歴データ表示結果１００９−２の表示例を示す説明図である。
履歴データ表示結果１００９−２には、フィジカルセキュリティシステム４０のフィジカルセキュリティサーバ４０１から取得した履歴データ１０６０−１に基づいて、インシデント一覧１００４の時刻に近い履歴データ１０６０−１が表示される。つまり、履歴データ表示結果１００９−２には、インシデント一覧１００４で表示されているインシデントの発生時刻で履歴データ１０６０−１を検索した結果が表示される。そして、履歴データ表示結果１００９−２には、インシデントが発生した機器の近くに居たエンジニア１１２が表示される。セキュリティ専門家２０２は、履歴データとインシデント発生履歴を分析すれば、内部での攻撃があったかどうかが分かる。
【０１０９】
また、セキュリティ専門家２０２が、根本対処設定画面１００８にて根本対処を設定し、レポート出力ボタン１００８−２をクリックすると、レポート出力結果１０１０が出力される。レポート出力結果１０１０は、インシデント分析画面１００１内に表示されるだけでなく、紙等に印刷されてもよい。そして、レポート出力結果１０１０には、インシデントにどのように対処すべきかを示すインシデント対策レポートが表示される。これにより現地サイトの現場保守員１０９は、セキュリティ専門家２０２により検討されたインシデントの根本原因及び根本対処を知ることができる。そして、現場保守員１０９は、レポート出力結果１０１０に従って、例えば、保守端末からウィルスを駆除する対処を行うことができる。
【０１１０】
（根本分析、対処策事例作成）
図１５は、セキュリティ専門家２０２が実施する根本分析、根本対処策検討の手順を示すフローチャートである。以下の処理は、セキュリティ専門家２０２がインシデント管理サーバ２０１を操作することにより実施される。
【０１１１】
まず、監視センター２０にいるセキュリティ専門家２０２が基本情報を入力する（Ｓ５１）。基本情報とは、例えば、制御システム１０を構成する装置の情報等である。
【０１１２】
次に、インシデント管理サーバ２０１は、インシデント分析画面１００１を表示する（Ｓ５２）。そして、セキュリティ専門家２０２は、インシデント分析画面１００１を利用してインシデント原因と対処策を検討する（Ｓ５３）。
【０１１３】
次に、セキュリティ専門家２０２は、インシデント分析画面１００１にインシデントの発生原因を入力し（Ｓ５４）、レポート出力ボタン１００８−２を押して、レポートを出力する（Ｓ５５）。現場保守員１０９は、出力されたレポートに基づいて、現地サイトに設けられた制御システム１０により実際に対処を行う（Ｓ５６）。
【０１１４】
そして、セキュリティ専門家２０２は、現地サイトにて対処が完了したか否かを判断する（Ｓ５７）。セキュリティ専門家２０２は、対処が完了したと判断すれば（Ｓ５７のＹＥＳ）、本処理を終了する。一方、セキュリティ専門家２０２は、対処が完了していないと判断すれば（Ｓ５７のＮＯ）、ステップＳ５１に戻って再びインシデントを分析する。
【０１１５】
図１６は、監視センター２０のセキュリティ専門家２０２が実施する根本分析、対処策事例活用による根本対処策検討の手順を示すフローチャートである。以下の処理についても、セキュリティ専門家２０２がインシデント管理サーバ２０１を操作することにより実施される。図１６に示すステップＳ６１，Ｓ６２は、上述した図１５に示すＳ５１，Ｓ５２と同様の処理であるため、詳細な説明を省略する。
【０１１６】
ステップＳ６２にて表示されたインシデント分析画面１００１は、今回発生したインシデントに類似する過去に発生したインシデントと、過去に行われた対処策とを表示する（Ｓ６３）。そして、セキュリティ専門家２０２は、インシデント分析画面１００１の表示内容に基づいて、インシデントの発生原因と対処策を検討し（Ｓ６４）、レポートを出力する（Ｓ６５）。現場保守員１０９は、出力されたレポートに基づいて、現地サイトに設けられた制御システム１０により実際に対処を行う（Ｓ５６）。
【０１１７】
その後、図１５のステップＳ５７と同様に、セキュリティ専門家２０２は現地サイトにて対処が完了したか否かを判断し（Ｓ６７）、対処が完了していれば本処理を終了し、対処が完了していなければ、ステップＳ６１に戻って再びインシデントを分析する。
【０１１８】
以上説明した一実施の形態に係るセキュリティ監視システム１では、制御システム１０にてインシデントが発生すると、制御装置１０２及びセキュリティ機器１０４にてセキュリティ監視装置１０５にアラートが送信される。また、フィジカルセキュリティサーバ４０１からセキュリティ監視装置１０５に履歴データ１０６０−１が送信される。セキュリティ監視装置１０５は、制御装置１０２及びセキュリティ機器１０４から収集したアラートと、フィジカルセキュリティサーバ４０１から収集した履歴データ１０６０−１とを異常シナリオ１０５３と比較し、インシデントの有無を検知する。そして、制御装置１０２に関わるインシデントであれば、システム監視装置１０３にインシデントの対処を指示し、セキュリティに関わるインシデントであれば、セキュリティ機器１０４にインシデントの対処を指示する。このように現場保守員１０９が使い慣れた制御システム１０で発生する他の異常検知と同様な手順でインシデントを検知することが可能となり、現場保守員１０９が制御システム１０で発生したインシデントに速やかに対処することが可能となる。また、どの装置又は機器によりインシデントに対処すべきか分かるため、現場保守員１０９は、使い慣れた制御システム１０を用いてインシデントに速やかに対処することができる。
【０１１９】
また、現場保守員１０９だけでは対処しきれなかったインシデントは、インシデント管理サーバ２０１を操作するセキュリティ専門家２０２により、過去に行われたインシデントへの対処に基づいて、インシデントが分析される。このように現場保守員１０９及びセキュリティ専門家２０２は、アラート、異常データ１０５５及び履歴データ１０６０−１を共有することができる。そして、セキュリティ専門家２０２から現場保守員１０９に有効な対処が指示される。セキュリティ専門家２０２により指示される対処は、現場保守員１０９が運用する制御システム１０にて行われる既存のシステム監視方法と同じか類似するものである。このため、現場保守員１０９は、セキュリティ専門家２０２により指示された方法により、インシデントに速やかに対処することができる。このように現場保守員１０９とセキュリティ専門家２０２が協調してインシデントに対処することが可能となる。
【０１２０】
また、インシデント管理サーバ２０１と現場データ管理サーバ１０７との間は、ＶＰＮ等のセキュアなネットワークＮにより接続される。また、セキュリティ監視装置１０５と現場データ管理サーバ１０７との間に設けられた一方向中継装置１０６が、制御システム１０外からの不正アクセスを防ぐ。このため、第三者から制御システム１０内の各装置に対する不正な処理の実行を防止することができる。
【０１２１】
なお、制御システム１０は、一方向中継装置１０６、現場データ管理サーバ１０７を備えなくてもよい。この場合、セキュリティ監視装置１０５は、アラームと異常データ１０５５及び履歴データ１０６０−１を、アラームが発生する度にインシデント管理サーバ２０１に送信すればよい。
【０１２２】
そして、本発明は上述した実施の形態に限られるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りその他種々の応用例、変形例を取り得ることは勿論である。
例えば、上述した実施の形態は本発明を分かりやすく説明するために装置及びシステムの構成を詳細かつ具体的に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されない。また、ここで説明した実施の形態の構成の一部を他の実施の形態の構成に置き換えることは可能であり、さらにはある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加、削除、置換をすることも可能である。
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１２３】
１…セキュリティ監視システム、１０…制御システム、２０…監視センター、３０…システム監視画面、４０…フィジカルセキュリティシステム、７１…インシデント一覧画面、７２…インシデント原因分析画面、１０１…設備、１０２…制御装置、１０３…システム監視装置、１０４…セキュリティ機器、１０５…セキュリティ監視装置、１０６…一方向中継装置、１０７…現場データ管理サーバ、１０８…ネットワーク、１０９…現場保守員、２０１…インシデント管理サーバ、２０２…セキュリティ専門家、４０１…フィジカルセキュリティサーバ、１００１…インシデント分析画面
【図１】
2018185712.tif 000003
【図２】
2018185712.tif 000004
【図３】
2018185712.tif 000005
【図４】
2018185712.tif 000006
【図５】
2018185712.tif 000007
【図６】
2018185712.tif 000008
【図７】
2018185712.tif 000009
【図８】
2018185712.tif 000010
【図９】
2018185712.tif 000011
【図１０】
2018185712.tif 000012
【図１１】
2018185712.tif 000013
【図１２】
2018185712.tif 000014
【図１３】
2018185712.tif 000015
【図１４】
2018185712.tif 000016
【図１５】
2018185712.tif 000017
【図１６】
2018185712.tif 000018