JPCERT Coordination Center

デジタル署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, serialNumber=AATL20231109322437, o=JPCERTCoordination Center, cn=JPCERT Coordination Center, email=office@jpcert.or.jp
日付 : 2024.02.02 08:53:02 +09'00'

ICSセキュリティポリシーの現場への浸透および具体化に関する支援検討
参天製薬株式会社
Digital&IT本部 Global Cybersecurity Manager 正木 文統
JPCERTコーディネーションセンター
制御システムセキュリティ対策グループ 堀 充孝

アジェンダ本講演の目的取り組みの背景・課題
文書の概要
対談：今回の活動についておわりに

1© 2024 JPCERT/CC本講演の目的
自組織のICSセキュリティポリシー（以下、「ポリシー」という。）
を策定後、実効性をもって対策を浸透させるには非常に時間がかかる— ICSの現状に合わせた対策を検討— 対策の実施に向けた製造現場の関係者との調整

そうした状況の中、製造現場の関係者に向けて次の点をまとめた— ICSにおける実際のセキュリティリスクとは何なのか— 対処すべき方法としてどのような方法があるのか現場への浸透をより効率的に実施するための手引きを作成するに至った背景および文書の概要などについて紹介
2© 2024 JPCERT/CC

取り組みの背景・課題3© 2024 JPCERT/CC

JPCERT/CCから見える背景・課題（1）
ポリシーを作成している組織は多く見られる— 一方、複数のICSユーザー組織から「製造現場への浸透には苦慮している」と伺う

制御システムセキュリティカンファレンス2023のアンケート結果— 作成されたポリシーの「全ての項目が順守されている」とする回答者は2割以下— アンケート結果からも、各組織が対応に苦慮している様子が伺える
制御システムセキュリティカンファレンス2023のアンケート設問
貴組織での制御システムの運用において、貴組織の制御システムセキュリティポリシーやガイドラインで規定されている項目が順守されていますか？

4© 2024 JPCERT/CC

JPCERT/CCから見える背景・課題（2）ICSセキュリティ関連の標準やガイドライン（IEC62443シリーズやNIST SP800-82、NIST CSFなど）は概念的な内容が多い— 製造現場の実態を踏まえ、 ICSユーザー自身でルールや手順の落とし込みが必要

ポリシーに沿ったルールや手順の作成にはIT技術に詳しくない工場関係者との連携・協力が不可欠
製造現場にルールを落とし込む上でIT/OTセキュリティ担当者および工場関係者がどのようなアクションを取るべきかを記した文書は、これまで示されていない

5© 2024 JPCERT/CC

参天製薬株式会社から見える課題（1）
これまでの制御システムセキュリティカンファレンスでの講演
年

講演タイトル2021

制御セキュリティポリシー導入における課題と解決のヒント

主な内容✓ セキュリティポリシー策定の背景✓ ポリシー策定のステップ✓ 各ステップにおける課題と解決策✓ ポリシーを現場に実装するにあたっての課題と2023

どうする？これからの制御セキュリティ対応策✓ 更なるセキュリティ向上に向けてのチャレンジ6© 2024 JPCERT/CC

参天製薬株式会社から見える課題（2）
これまでの講演で伝えてきたこと— ICSセキュリティ対策を現場で実施するためにはさまざまな場面で障壁があり、対策の理由やどこまで実施すれば良いのかを現場の皆さんに理解してもらいながら、自分事として捉えて実施してもらう（本当の意味での浸透をしていく）には非常に時間がかかるポリシーを現場に浸透し、具体化する上での課題— ポリシー自体は概念的、抽象的な内容が多く、具体化に時間がかかる— 会社独自のプロセスや環境が原因で、リスクの把握とそれに合わせた対策検討が難しい— 現場で関係者が共通解を持つには時間も労力もかかる

7© 2024 JPCERT/CC

課題のまとめ
ポリシーの製造現場への浸透には労力がかかる
さまざまな製造現場の担当者にポリシーの重要性を理解してもらう!
ICS運用者!

!

工場設備担当者

工場管理者

!
経営陣

!
IT担当者

セキュリティ担当者

ポリシーに基づくルールを日々の運用の中に取り入れる
ポリシーを順守するために誰がどのように関わるべきかを明らかにする
利用申請

ICS運用者

申請内容確認工場設備担当者

承認・貸与依頼

セキュリティ担当者

貸与

IT担当者

ICS運用者

工場のセキュリティ担当者は兼務が多く、ICSセキュリティ対策にあまり工数を割けない— 情報システム部門との兼務、設備部門（計装部門）との兼務 など
8© 2024 JPCERT/CC

解決に向けたICSユーザー組織への支援検討
課題解決に向けた支援の方向性
ICS運用者がポリシーを順守する際の必要事項をまとめた文書を作るより製造現場の実態に即した具体的な内容にする各組織で必要な要素※を取捨選択できるようにし、セキュリティ担当者の工数を削減する※管理対象、実施すべきルールなどそれぞれの知見を持ち寄る
9© 2024 JPCERT/CC

製薬業界版を作成

一般製造業向けに調整

文書の概要10© 2024 JPCERT/CC

文書の方針想定読者— ICSユーザー組織における工場のセキュリティ担当者— ICSセキュリティポリシーが作成されている

目的：ポリシーを製造現場に浸透させるため、次の3つを支援する
さまざまな製造現場の担当者へのICSセキュリティに関する理解促進
ICS運用者がポリシーを順守するために必要なルールの作成
ICS運用者がポリシーを順守するために他の工場関係者が取るべきアクションの整理

11© 2024 JPCERT/CC

文書のスコープ①ポリシーの具体化を支援する②日々のICSの運用の中に組み込む⇒ プロシージャ中心⇒ 組織的対策、人的対策中心

事前対策
基本方針
（ポリシー）

組織的対策

主なカバー範囲

対策基準

人的対策

（スタンダード）

物理的対策
実施手順
（プロシージャ）12© 2024 JPCERT/CC

主なカバー範囲

技術的対策

事後対策

想定するシステム
Purdueモデルをベースに、参天製薬の現状やJPCERT/CCが各組織と実施した意見交換などを踏まえたチューニングを実施— 制御情報系のサーバーの一部がクラウド化されている— 自動倉庫、MES、LIMS、DCSへのリモートメンテナンスが可能になっている など

13© 2024 JPCERT/CC

文書の構成次の3つの文書を作成する

ICSセキュリティポリシーの現場への浸透および具体化の手引き

14© 2024 JPCERT/CC

登場人物ごとのアクションリスト（サンプル）

ICSセキュリティ意識向上テスト（サンプル）

ポリシーの現場への浸透および具体化の手引き
各管理項目について、次の流れに沿って説明

ICS運用者が直接関わる7つの管理項目が対象— 主な用途および使用例— 使用の際に想定されるリスク
外部記憶媒体持ち込みPCアカウント— ICS運用者が順守すべきルール— その他関係者が順守すべきルール— 順守すべきルールに基づく利用フロー— 例外ケースへの対応— 想定される被害シナリオと過去事例
アプリケーション

メール対応

無線LAN

クラウドサービス— 各管理項目に関する参考情報

各管理項目・ルールについては、各組織の事情にあわせて取捨選択する⇒ すべてのルールを実施することを求めるものではない
15© 2024 JPCERT/CC

参考：外部記憶媒体の管理不備による被害シナリオの例想定されるシステムに対する被害シナリオの例を各管理項目で図示
例：外部記憶媒体の管理不備によって発生する可能性がある被害シナリオ※今後内容は修正される可能性があります16© 2024 JPCERT/CC

登場人物毎のアクションリスト（サンプル）
ICS運用者がルールを順守する際の運用フローの構築の参考として— 誰（どの役割の人）が何をするのかを各管理項目ごとに整理— そのアクションを実施するかどうかの採否をステータスにて管理※今後内容は修正される可能性があります17© 2024 JPCERT/CC

意識向上テスト（サンプル）
e-Learningへの活用を想定してリスト形式のデータで提供予定— 問題数は約100問、各組織で問題を取捨選択することを想定— 一部、参照する文書を各組織で修正することを前提とした内容の解説がある※今後内容は修正される可能性があります18© 2024 JPCERT/CC

対談：今回の活動について
1. 文書作成の中で注力した点
2. 文書の活用のポイント
3. 文書を作成していく中で新たに見つかった課題

19© 2024 JPCERT/CC

1. 文書作成の中で注力した点
どうすれば使いやすい文書になるかの検討
文書の構成や文書の内容について

作成フェーズICSセキュリティポリシーの現場への浸透および具体化の手引き

20© 2024 JPCERT/CC

登場人物ごとのアクションリスト（サンプル）

ICSセキュリティ意識向上テスト（サンプル）

2. 文書の活用のポイント
各文書の活用方法
実施すべきルールの取捨選択について

活用フェーズICSセキュリティポリシーの現場への浸透および具体化の手引き

21© 2024 JPCERT/CC

登場人物ごとのアクションリスト
（サンプル）ICSセキュリティ意識向上テスト（サンプル）

3. 今後の展開について
本活動の今後参天製薬の新たな課題について
本文書ではカバーできていない部分について

22© 2024 JPCERT/CC

おわりに

23

© 2024 JPCERT/CC

まとめ「自組織でICSセキュリティポリシーを策定したものの、実効性が乏しいという課題がある」という方々に向けた支援活動を実施
実用性のある文書を目指し、JPCERT/CC＆参天製薬株式会社による共同執筆— レビューには製薬組織のセキュリティ担当者に参加していただき、より実務的に使えるようにした

ICSユーザー組織に広く利用してもらうため、最終的に一般製造業向けの文書をJPCERT/CCにて公表予定

24© 2024 JPCERT/CC

今後の予定について
今年度中に一般製造業向けの文書をJPCERT/CCにて公表予定
次年度は付録の追加や英語版の作成などを検討する予定

公表まで今しばらくお待ちください

25© 2024 JPCERT/CC

Thank you!

26

© 2024 JPCERT/CC