Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency Response TeamCoordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan
Computer Emergency Response Team Coordination Center, cn=Japan
Computer Emergency Response Team Coordination Center
日付 : 2015.03.11 16:53:39 +09'00'

制御システムセキュリティカンファレンス2015
制御システムのセキュリティ確保へ向けて～横河電機グループの取り組み～
2015/2/12
横河電機（株）IAプラットフォーム事業本部
共通技術開発センター

Copyright © Yokogawa Electric Corporation<February 12, 2015>-1-

Agendaはじめに– 講演者自己紹介– 横河電機グループ紹介

横河電機グループが経験した脆弱性情報公開– 弊社脆弱性情報公開の事例紹介– 脆弱性情報公開により実感した課題– 脆弱性情報公開の課題に対する弊社対応

制御システムセキュリティとは– 制御システムの現状– 制御システムの課題– 制御システムベンダーから見たお客様の課題– 課題に対する横河電機グループのソリューション

制御システムベンダーの課題
まとめCopyright © Yokogawa Electric Corporation<February 12, 2015>-2-

はじめに自己紹介– 井上 健(いのうえ たけし）
– 1983年横河電機入社– 1983-2006 ソフトウェア開発環境の研究、測定器のソフ
トウェア開発効率改善– 2007-現在： 横河電機株式会社 IAプラットフォーム事
業本部 共通技術開発センター長– 業務内容: 横河電機のIA分野の、開発改善・品質改善• 開発改善（プロセス、共通化、プラットフォーム開発、教育）• 品質改善（テスト効率化、セキュリティを守る）• 要素技術開発• 規格認証（防爆申請業務など）
Copyright © Yokogawa Electric Corporation<February 12, 2015>-3-

横河電機グループ紹介*）Yokogawa Corporate Profile2014年6月発行より事業– 事業規模：売上高 ３，８８５億円（連結、2013年度実績）– 事業内容：制御事業（売上高比率86.6％）、計測機器事業（7.1％）、その他（6.3％）• 石油、鉄鋼、電力、ガス、化学、紙パルプ、水環境、医薬品、食品、半導体、自動車、電機– 事業展開：本社

関連会社：国内１５社 海外 70社（2014年3月末現在）

Copyright © Yokogawa Electric Corporation<February 12, 2015>-4-横河電機グループ紹介*）Yokogawa Corporate Profile2014年6月発行より

製品– 生産システム、コントローラ、フィールド機器、記録計・データロガー、環境機器、その他
サービス– ソリューションの提供、保守運用サービス、教育・トレーニング、コンサルティング

記載されている製品名は横河電機株式会社の登録商標および商標です。
Copyright © Yokogawa Electric Corporation<February 12, 2015>-5-横河電機グループが経験した脆弱性情報公開

Copyright © Yokogawa Electric Corporation< February 12, 2015 >-6-

弊社脆弱性情報公開の事例紹介

2014年3月7日 横河電機グループは初めてアドバイザリー
脆弱性情報を公開する事案を体験
レポートを発行

弊社Web
で情報公開

記載されている製品名は横河電機株式会社の登録商標および商標です。
Copyright © Yokogawa Electric Corporation<February 12, 2015>-7-

弊社脆弱性情報公開の事例紹介
脆弱性発見から情報公開までの流れ

発見者

⑤公開情報
③調整
②脆弱性情報ICS-CERT

CERT/CC

⑤公開情報
③連絡

③調整
②脆弱性
情報

JPCERT/CC

⑤公開情報

お客様

③調整
①脆弱性情報YOKOGAWA②脆弱性情報④公開情報

Copyright © Yokogawa Electric Corporation<February 12, 2015>-8-

弊社脆弱性情報公開の事例紹介
上位系 Client

Business PC

今回の脆弱性の影響範囲はこの層の製品
ビジネスネットワーク

FW
OPCサーバー
制御系ネットワーク
EWS

HMI

コントローラ機器管理

コントローラ

複数製品に影響
ソフトウェア資産の共有・再利用

伝送器・流量計など
Copyright © Yokogawa Electric Corporation<February 12, 2015>-9-脆弱性情報公開により実感した課題

発見者およびCERT機関との連絡と調整• 公開内容・公開日の調整• 複数関係者への連絡と調整

複数製品における対応の調整• 社内のコミュニケーションパス• 対応の統一

お客様への対応• 販売・サービス等、社内関係者の経験不足

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 10 -

脆弱性情報公開の課題に対する弊社対応
発見者およびCERT機関への連絡と調整• 公開情報・公開日の調整をJPCERT/CCに絞り、JPCERT/CCに発見者や他のCERT機関との調整をお願いした。

複数製品における対応の調整• 社内PSIRTが中心となり、関係者間の調整を行った。
• 対応基準の見直しを行い、対応のベースラインを決めた。

お客様への対応• 販売、サービス等への脆弱性通知の中に考え方や対応の仕方などを記載した。
Copyright © Yokogawa Electric Corporation<February 12, 2015>- 11 -

制御システムセキュリティとはCopyright © Yokogawa Electric Corporation< February 12, 2015 >- 12 -

制御システムの現状
【社会】

【攻撃者】

サイバー攻撃への不安

攻撃しやすくなってきている。
◆攻撃手法・目的が多様化◆攻撃ツールがインターネットで公開◆物がネットワークでつながる時代
攻撃者【ベンダー】

攻撃者

セキュアな製品、ソリューションの提供が求められている。

社会【制御システム】
制御システム
制御システムベンダー
Copyright © Yokogawa Electric Corporation< February 12, 2015 >- 13 -

サイバー攻撃の脅威にさらされている。

制御システムの課題
上位系Client

Business PC①ネットワーク越しの攻撃

攻撃者

ネットワークを経由して、対象機器に影響を与える攻撃/情報搾取を実施。
・DoS / DDoS攻撃
・マルウェア感染・情報漏えい・データ改ざん

ビジネス
ネットワーク
上位系システム
制御系
Ethernet
HMI

コントローラOPCサーバー他システムへEWS②端末への直接攻撃USBメモリ等のメディアを使用するなどして、対象機器に直接攻撃。
・マルウェア感染
・データ改ざん

機器管理

コントローラ

③端末からの情報搾取
端末から直接メディアを使用して、情報を搾取
・情報漏えいCopyright © Yokogawa Electric Corporation<February 12, 2015>- 14 -

制御システムベンダーから見たお客様の課題
プラントのセキュリティ確保の重要性が認識されていない。
• リスクが認識できていない。
• どう取り組めばいいかわからない。

プラントのセキュリティ確保・維持ができていない。
• セキュリティポリシーがない。
• セキュリティマネジメントシステムがない。
• どこに脆弱性・危険性があるのかわからない。

セキュリティ対策をすぐに適用できない。
• プラントを止めることができない。

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 15 -

課題に対する横河電機グループのソリューション
セキュリティライフサイクルによる継続的な改善

復旧支援
セキュリティインシデントに備え，ダウンタイムを最小にする施策
提案と復旧支援対策導入・強化
制御システムにおける脅威や脆弱性に対する技術的な対策導入
導入支援
サイバーセキュリティリスクを共有し，最適なセキュリティライフサイクルを提案

運用支援
セキュリティ対策の継続的な運用，維持を支援しつつ，ユーザトレーニングも実施

管理支援
新たに見つかった脅威に対し，セキュリティ対策を見直し，最適なセキュリティ対策を提案
Copyright © Yokogawa Electric Corporation< February 12, 2015 >- 16 -

課題に対する横河電機グループのソリューション
セキュリティポリシー/運用継続体制

セキュリティポリシー/運用継続体制

ネットワーク境界セキュリティ

セキュリティインシデントから守る意識を構築
・セキュリティリスクの教育・技術面、運用面、管理面を含めたポリシー

内部ネットワークセキュリティ
エンドポイント
セキュリティ

ネットワーク境界セキュリティ
制御システムとの接続点でセキュリティ対策
・接続点は最小限に・接続点にセキュリティ対策機器を導入

内部ネットワークセキュリティ
被害を拡大させないための要素整理

・機器の使用用途や重要度による区分化
・万が一に備えたネットワーク分割

エンドポイントセキュリティ
機器ごとに守るための技術的対策導入

・脆弱性対策による弱点補強 ・アンチウイルスソフトウェアによる脅威の駆除 ・定期的なウイルス検査・ホワイトリスティングによるプログラムの動作制限 ・USBポートロックによる脅威侵入口の封鎖
Copyright © Yokogawa Electric Corporation<February 12, 2015>- 17 -

制御システムベンダーの課題

Copyright © Yokogawa Electric Corporation< February 12, 2015 >- 18 -

制御システムベンダーの課題
製品セキュリティへの取り組みの重要性の社内啓蒙• 経営層から現場メンバーまで

最新情報の把握• 最新のお客様状況、脆弱性情報、セキュリティ技術情報の把握

お客様への最適なソリューション提供• セキュアな製品・サービスの提供• 予防のための製品・サービスの提供• インシデント被害の最小化、局所化、早期復旧のための製品・サービスの提供

お客様環境のセキュリティレベル維持• 脆弱性対応• 秘密情報管理• 変化するセキュリティリスクへの対応（変化に対応した業務基準・手順の見直し）
Copyright © Yokogawa Electric Corporation< February 12, 2015 >- 19 -

横河電機グループの取り組み
サイバー脅威への対応がお客様の重要な要件であると認識し、グループ共通の理念の下、取り組んでいます。

製品とサービスに関するサイバー脅威への取【理念】
理念り組み規程【基準】基準脆弱性対応基準、機能・組織別業務基準

手順
脆弱性対応手順、機能・組織別業務手順【手順】

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 20 -

横河電機グループの取り組み
セキュアな製品・サービスの提供のため、製品ライフサイクルを通して取り組んでいます。
企画

サービス

最適ソリューションの提案
セキュア製品の設計、実装、セキュア性確保
最適ソリューションの提供

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 21 -

要員の教育・啓蒙

エンジニ
アリング

納品物のセキュア性確保

危機管理

販売

セキュア製品の設計、実装

基準・手順・業務の見直し

製造

秘密情報管理設計

最新情報把握、最適ソリューションの企画

横河電機グループの取り組み
横河電機グループは、お客様へ正確な脆弱性情報・対策情報を迅速にお届けするための体制を整理し、取り組んでいます。
発見者
脆弱性情報
脆弱性情報

受付機関
IPA
脆弱性情報

調整機関

脆弱性情報

JPCERT/CC

各国調整機関CERT/CCなど

公開情報

公開情報公開情報

公開情報

受付窓口
調整組織
脆弱性情報

調整

調査依頼

調査体制

該非情報

脆弱性情報

公開情報・対策情報
製品関係者

開発

製品関係者
製品関係者

開発
設計

脆弱性対応体制

横河電機
Copyright © Yokogawa Electric Corporation<February 12, 2015>- 22 -

対応策情報

お客様脆弱性情報横河電機グループの取り組み

脆弱性対応基準・手順の見直し• 脆弱性発現時の対応と責任• 各職務（企画、設計、製造、販売、エンジ、サービス）における対応と責任• 脆弱性発現時の対応基準• 対応責任の所在、責任のエスカレーション• 情報提供基準（提供方法とタイミング）• 対策提供基準（提供内容、提供方法）• 脆弱性発現時の対応手順（フロー）• 各職務でのアクティビティとインプット、アウトプット

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 23 -

まとめ

Copyright © Yokogawa Electric Corporation< February 12, 2015 >- 24 -

まとめ
お客様
プラントのセキュリティ確保・維持
ソリューション提供による支援
横河電機グループ
製品・サービスのセキュリティに対する取り組み
制御システムベンダーの課題解決

脆弱性対応の課題

制御システムの課題

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 25 -

お客様の課題まとめ

横河電機グループは、制御システムのセキュリティ確保にむけて、お客様と共に取り組んでいきます。

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 26 -

ご清聴有難うございました

Copyright © Yokogawa Electric Corporation<February 12, 2015>- 27 -