産業用制御システム セキュリティガイドを読むためにNIST（アメリカ国立標準情報技術研究所）SP 800-82 Ver.2：産業用制御システム（ICS：Industrial Control Systems）
セキュリティガイドへの導入

2018年12月25日
一般社団法人 日本電機工業会 技術部（注）本文書は、NIST SP 800-82 Ver.2＊（和英併記版）を読むために、その背景と概要について、筆者の理解の範囲内でまとめたものです。正確な内容及び完全な内容について調べる場合は、Web上に掲載された原本を参照ください。NISTSP 800-82は，米国国立標準技術研究所（NIST）の著作権物です。
＊原文 http://dx.doi.org/10.6028/NIST.SP.800-82r2

和訳(JPCERT/CCのWebページ) https://www.jpcert.or.jp/ics/information02.html

Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

１. NIST SP800-82とはNIST SP800-82とは、アメリカ政府機関に産業用制御システム（ICS）を納入する際に、納入業者が守るべきセキュリティポリシーを示した文書

民間向けでも参照される

ITシステムNIST SP800-82
セキュリティポリシーのリスト（NIST SP800-82
第2版ICSオーバーレイ）
～DMZ

ICS
（産業用制御システム）

連邦情報強化法と大統領命令に従うためのセキュリティポリシー

ICS
を納入（産業用制御システム）

セキュリティポリシーを反映した上で政府機関へ納入

アメリカ
政府機関

ITシステムとICSの関係図

Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

22.産業用制御システム の中核「SCADA」「DCS」「PLC」とはSCADA : Supervisory control and dataaquisition systems
互いに離れた地域に設置されたプラントを１カ所から監視制御するシステム

広義の制御システム

中央監視室
SCADA

遠隔地の監視制御

PLC : Programmable
logic controllers
主にデジタル・離散系を監視制御するシステムに使用するコントローラ。
DCSの子局としても使用。

狭義の制御システム
狭義の制御システム

遠隔地
DCS

PLC

狭義の制御システム

PLC

遠隔地
PLC

NIST
SP800-82：
SCADA、DCS、PLCの設定について記載あり。

DCS : Dstributed control systems
主にアナログを監視制御するシステムに使用するコントローラ。PLCの親局としても使用。
Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

3

3.米国政府組織内のNISTの位置付け
米国政府機関サイバーセキュリティについて所管

政府の調達システムの仕様を規定

出典：
IoT関連のNIST発行
文書の分野
2015年11月
IPA/SEC
ソフトウェアG
資料より

表. NISTが発行している幅広い分野の文書
発行済みの文書が記述する範囲

NIST

Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

44. 米国の主な制御システムセキュリティガイドラインとの関連
米国の主な制御システムセキュリティガイドライン（出典：IPA発行 「重要インフラの制御システムセキュリティとITサービス」
NIST SP800-82 ←本規格
・産業用制御システム（ICS）のセキュリティガイド。SCADA、DCS、PLCその他のシステム設定

NIST SP800-53

・連邦政府向け情報システムのセキュリティコントロールを選択するためのガイドライン

ANSI/ISA 99.00.01 : ANSI（米国国家規格協会）、ISA（the International Societyof Automation）発行
・用語、概念とモデル

NERC Cyber Security Standards : NERC（北米電力信頼度協議会）発行
・電力分野の事業者向けガイドライン

NIST

ISAーSP99
NIST、ISA、IECはセキュリティガイドライン作成の上で協力関係がある

IEC TC65/WG10（IEC 62443シリーズ発行）
NIST、ISA、IECの協力関係（出典：IPA発行 「重要インフラの制御システムセキュリティとITサービス」
Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

55. NIST SP 800-82 の概要◆NIST SP 800-82 Ver.2（2015年2月発行）の記載内容（１）産業用制御システム（ICS）の概要（２）ITシステムと比較してのICSの特徴、脅威と脆弱性（３）ICSセキュリティプログラム（準備・対策のプログラム）（４）ITシステムとICSの接続方法：ネットワークアーキテクチャ（５）ICSにおけるセキュリティの維持、管理の方法+（６）付録G：NIST SP800-82 第2版ICSオーバーレイ
アメリカの政府機関に納入するICSシステムのセキュリティに関して実施が必要な項目のリストを「高・中・低の3ランク」← NIST SP800-82の中心的な内容に分けて記載◆ JPCERT/CC（国内のサイバーセキュリティに関する団体）のWebページに和英併記版のNIST SP 800-82 Ver.2が掲載され、ダウンロードが可能。
https://www.jpcert.or.jp/ics/information02.html
Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

66. ITとICSの比較（その１）ICS（産業用制御システム）の特徴
IT
（情報）
システム

情報のやり取りICS（産業用制御システム）図．情報（IT）システム と産業用制御システム（ICS)◆物理量を制御する
安全が優先する◆多数のネットワークが混在している◆コントローラの使用年数が長い
10～15年
古いシステムが混在する◆システムを停止するのが困難な場合が多い◆ソフトウェアのアップデートが困難な場合が多い
・システムとしての動作確認が必要
・システムを停止できないため◆独自のOS、独自の通信方式を持つ機器がある◆ITシステムと情報のやり取りが必要

出典：SP 800-82 Ver.2

Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

7

7. ITとICSの比較（その２）表．情報（IT）システム と産業用制御システム（ICS)の比較 出典：SP 800-82 Ver.2

Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

88. ICSセキュリティアーキテクチャ
ICSセキュリティアーキテクチャの概要～ ITとICS間のネットワークの分離～

ITシステム（注）

ファイアウォール

境界でITとICSのネットワークを分離

通常、ICSの運転データ、履歴をIT側に上げる要求がある

ファイアウォールICS

図．ICSセキュリティアーキテクチャ
出典：SP 800-82 Ver.2◆境界（ITとICS間）の保護
・DMZ、ファイアウォールの使用◆ファイアウォール・システムの目的に沿った機能を持つ
ファイアウォール
◆論理的なネットワークの分離
・IPネットワークのアドレス構成を区別◆ファイアウォール、DMZ、ルータの組み合わせ及びその機能から、システムの目的の沿った方式をセキュリティを選定
・単独のファイアウォールによる方式
・ファイアウォールとルータによる方式
・ファイアウォールとDMZによる方式
・2台のファイアウォールとDMZによる方式（左図はこの方式の例）（注）DMZ：直訳で「非武装地帯」。ネットワーク間の通信をDMZを経由する通信のみに限る。この方式により、許可されていない通信をカットして、ホワイトリスト（許可されたもののリスト）にある通信に限って、通信ができるようになる。

Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

99. ICSへのセキュリティ対策の実施
NIST SP800-53の管理策（18分野）

組織の入力
法律、指示書、ポリシー
ガイダンスの戦略的目標・目標優先順
位およびリソース可用性、サプライチェーンに対する考慮事項

図．リスク管理体制業務
出典：SP 800-82 Ver.2

以下の管理策について、システムの要求に合わせてセキュリティのレベルを設定し、管理する。

◆アクセス制御（AC）◆意識及び訓練（AT）◆監査及び説明責任（AU）◆セキュリティ評価及び権限付与（CA）◆不測事態計画（CP）◆構成管理（CM）◆識別及び認証（IA）◆インシデント対応（IR）◆保守（MA）◆メディア保護（MP）◆物理境界上の保護（PE）◆プランニング（PL）◆人員のセキュリティ（PS）◆リスク評価（RA）◆システム及びサービスの取得（SA）◆システム及び通信保護（SC）◆システム及び情報の保全（SI）◆プログラム管理（PM）

Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

1010. NIST SP 800-82 第2版ICSオーバーレイ（付録G）◆目的
政府機関業務・資産の情報セキュリティを確保するため、を2014年連邦情報強化法（FISMA）、大統領指示（PPD-21）、大統領命令13636に従い、最低要件を含んだ規格、およびガイドラインをNISTが作成した。

◆NIST SP 800-82 第2版ICSオーバーレイとはNIST SP800-53 付録F （IT向けのセキュリティ対策のリスト）を元にして、ICSに対応するため、「NISTSP 800-82 第2版 ICSオーバーレイ」として拡張し、ICS特有の事項を記載してまとめたリストである。各項目について、セキュリティレベル（低・中・高）により、実施しなくてはならないかどうかを示す。「選定」と記載された項目は、実施が必要。
「空白」で示された項目は実施不要。

◆オーバーレイ（リスト）に記載の項目176項目のセキュリティの管理項目のリストになっている（次ページ以降にその項目を示す）。

出典：SP 800-82 Ver.2
Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

11

11. NIST SP 800-82 オーバーレイ 項目一覧（その１）

出典：SP 800-82 Ver.2Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

1211. NIST SP 800-82 オーバーレイ 項目一覧（その2）

出典：SP 800-82 Ver.2
Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

13

11. NIST SP 800-82 オーバーレイ 項目一覧（その3）◆それぞれの項目に詳細の記述がある。以下は、AC-1の例
AC-1（アクセス制御ポリシー・手順）の詳細記述の例
セキュリティのレベル（低・中・高）いずれも「選定」となっており、本項目を満足する必要がある。

ICSに特有な内容を記載

出典：SP 800-82 Ver.2
Copyright © 2018The Japan Electrical Manufacturers' Association All Rights Reserved.

14