Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2010.03.09 10:14:19 +09'00'

制御システムセキュリティ評価ツールの紹介

2010年 2月9日
JPCERT コーディネーションセンター
情報流通対策グループ
成田 広樹

本日のアジェンダ

SSAT ( SCADA Self Assessment Tool ) の紹介
CSET ( Cyber Security Evaluation Tool ) の紹介
SSAT と CSET の比較
質疑応答

Copyright® 2009 JPCERT/CC All rights reserved.

2SSAT ( SCADA Self Assessment Tool )SSAT とは？
CPNI が開発した SCADA を導入している制御システム向けの自己評価ツール
特徴は？
SCADA に特化している評価ツール
導入・操作が容易評価は短期間で実施可能
和訳参考資料が豊富
Copyright® 2009 JPCERT/CC All rights reserved.

3

SSAT ( SCADA Self Assessment Tool )セキュリティ基準は CPNI が公開しているグッド・プラクティス・ガイド「 プロセス・制御と SCADA セキュリティ 」
 グッド・プラクティスはいくつかのガイドに分かれている 最新版(2009/10 ver 2.0)はファイアウォールと人事セキュリティ基準を追加

Copyright® 2009 JPCERT/CC All rights reserved.

4

SSAT ( SCADA Self Assessment Tool )Copyright® 2009 JPCERT/CC All rights reserved.

5

SSAT ( SCADA Self Assessment Tool )質問の紹介１
択一式 (はい、いいえ、一部 など）
SCADA/テレメトリシステムからの、電子メールやインターネット・アクセスは、どのような要件でも禁止していますか?
御社はSCADA/テレメトリワークステーションにアンチウィルスソフトを導入していますか？
記述式
｢いいえ｣または｢一部｣を選択したなら、何らかのウィルス対策をしていますか？

Copyright® 2009 JPCERT/CC All rights reserved.

6

SSAT ( SCADA Self Assessment Tool )質問の紹介２
択一式 (はい、いいえ、一部 など）
御社は業務用パソコンにアンチウィルスソフトを導入していますか？
機器を SCADA ネットワークに接続する前に、それらがウィルスやワームに感染していないことを確認する手順を文書化していますか？
記述式
システム/アプリケーションに最新のパッチを適用していないなら、何らかの対応をしていますか？

Copyright® 2009 JPCERT/CC All rights reserved.

7

SSAT ( SCADA Self Assessment Tool )評価結果
グットプラクティスガイドの準拠率を３段階で評価
関連資料の URL を用意

Copyright® 2009 JPCERT/CC All rights reserved.

8

CSET ( Cyber Security Evaluation Tool )CSETとは？
DHS と INL が共同開発した制御・情報システムのサイバーセキュリティ自己評価
ツール
特徴は？
制御・情報システムの自己評価ツール
複数のセキュリティ基準をサポート
ネットワーク構成図を基にした評価
Windows アプリケーション
Copyright® 2009 JPCERT/CC All rights reserved.

9

CSET ( Cyber Security Evaluation Tool )複数のセキュリティ基準をサポート
NERC CIP-002 – 009
NIST SP800-53 Rev.0 – 3
NIST SP800-82 Rev.0
ISO/IEC 15408 Rev.3.1
DoDI 8500.2
Global Assessment
Enterprise Evaluation

Copyright® 2009 JPCERT/CC All rights reserved.

10

CSET ( Cyber Security Evaluation Tool )Copyright® 2009 JPCERT/CC All rights reserved.

11

CSET ( Cyber Security Evaluation Tool )Copyright® 2009 JPCERT/CC All rights reserved.

12

CSET ( Cyber Security Evaluation Tool )質問の紹介１
以下の項目で、どのファイアウォールイベントログを記録していますか？
あてはまるすべてをチェックしてください。
ファイアウォールの起動時と停止時
ファイアウォールの故障時
ログイン時セキュリティ要件の変更時
内部時間の変更時
設定の変更、変更違反、許可されていないコマンド実行時
特に記録していない

Copyright® 2009 JPCERT/CC All rights reserved.

13

CSET ( Cyber Security Evaluation Tool )質問の紹介２
データベースサーバのセキュリティ管理を行うユーザに許可されている、業務を選んでください。 あてはまるすべてをチェックしてください。
データへのアクセス業務
システム構成業務
生成機能検査
認証業務
プロトコルセキュリティ業務
暗号業務
上記のどれも担っていない

Copyright® 2009 JPCERT/CC All rights reserved.

14

CSET ( Cyber Security Evaluation Tool )評価結果
回答と改善案の表示
関連資料へのリンク
評価結果をレポート出力

Copyright® 2009 JPCERT/CC All rights reserved.

15

SSATとCSETの比較

SSAT

比較内容

CSET

SCADA システムの自己評価

目的制御システム全般の自己評価

CPNI のセキュリティ基準のみ

セキュリティ基準

複数のセキュリティ基準を用意

Excel の導入

導入

複数のアプリケーション導入

使い・見慣れたフォーム

操作性

独自のフォーム

和訳されているものが多い

資料

和訳されているものが少ない

短期間
簡素な結果
粗い

Copyright® 2009 JPCERT/CC All rights reserved.

評価期間
結果
評価の粒度

長期間
詳細な結果
細かい16

質疑応答

質疑応答

Copyright® 2009 JPCERT/CC All rights reserved.

17