Monohakobi Techno Forum 2020

船舶サイバーセキュリティ対策
2020年11月27日

株式会社MTI 船舶物流技術グループ
柴田 隼吾

Monohakobi Techno Forum 2020

目次

１．はじめに２．IMOや各船級の議論
３．船舶運航のリスク管理
４．船舶サイバーレジリエンス向上
５．まとめ© 2020. MTI Co., Ltd. All rights reserved.

1

Monohakobi Techno Forum 2020

目次

１．はじめに２．IMOや各船級の議論
３．船舶運航のリスク管理
４．船舶サイバーレジリエンス向上
５．まとめ© 2020. MTI Co., Ltd. All rights reserved.

2

Monohakobi Techno Forum 2020

１．はじめに✓ ICT技術の発展により、船舶のインターネット常時接続が普及✓ 運航データの陸上モニタリングなど、船陸間のデータ共有が急増✓ 一方で、機器高度化や常時接続に伴い、外部からのマルウェア感染、不正アクセスといったサイバー攻撃に晒されるリスクが高まる✓ これら背景のもと、2017年6月の国際海事機関（IMO）第98回
海上安全委員会（MSC98）において、船主・運航者はサイバーリスク管理に関して、ISMコードに基づき、*安全管理システム(SMS)に記載 することを“推奨”するガイドラインが採択される。
※2021年１月以降の最初の年次検査までに👇“Recomandatory”© 2020. MTI Co., Ltd. All rights reserved.

3

Monohakobi Techno Forum 2020

１．はじめに
船舶サイバーセキュリティで守るべき対象は、安全運航を支える ”OT機器”※OT機器を守る＝操船乗っ取りや運航不能を防止するために、船の各ファンクションを正常に保つこと。
■その他にも守るべき対象はさまざま：
例） IT機器や、そこに含まれる情報：損傷、改変、悪用からの保護
船陸間通信：傍受、なりすまし、通信妨害からの保護 など■船舶に対するサイバー攻撃とは：・攻撃は、メール添付や、不正URL、USBメモリ経由が主流
・OTシステムの乗取り/機能停止以外にも、データ漏洩、破壊、改ざん
攻撃例：マルウェア、ランサムウェア、GPS信号なりすまし© 2020. MTI Co., Ltd. All rights reserved.

4

Monohakobi Techno Forum 2020

１．はじめにIT機器

OT機器（Information Technology）（Operation Technology）

メールPC、Biz-PC、プリンタ
および情報ネットワーク など

航海機器・エンジン機関
および制御ネットワーク など

サイバーセキュリティ
３大要素

機密性
[Confidentiality]

・ 情報の漏洩防止が重要

完全性・データや情報の改ざん防止
・情報整合性の保持が重要

・ 物理制御の正常動作が重要
・ 物理的な安全性が最優先
・ リスクの影響が物理的危険に直結する可能性が高い・システムの一時的な停止が運用要件により容認できる・運用のリアルタイム性が低い
・緊急対応の重要性は低い

・ 制御の継続稼働性が重要
・ 機器再起動は運航状況により許容できない・ 緊急対応ができることが重要[Integrity]

可用性（継続性）[Availability]・ データ漏洩の影響度は低い例）個人、顧客、取引情報保護 例）機器設定値
データ暗号化
運航状態データ© 2020. MTI Co., Ltd. All rights reserved.

5

Monohakobi Techno Forum 2020

１．はじめに船舶OT機器への攻撃イメージ© 2020. MTI Co., Ltd. All rights reserved.

6

Monohakobi Techno Forum 2020

海事分野でのOT攻撃インシデント事例①ハッキングによる操船乗取り✓ 2017年2月キプロスからジブチに向かう、ある8,250TEUのコンテナ船が約10時間にわたり操船システムを乗っ取られる。

✓ “突然、船長が操縦できなくなった 。ナビゲーションシステ
ムは完全にハッキングされていた”と、関係者は語った。
✓ 外部から加わったIT の専門家と連携し何時間も対応し、なんとか攻撃をブロックすることが出来た。
✓ 攻撃者は海賊であり、船を襲いやすい場所に誘導する目的だったとの見方もあるが、原因はいまだ不明。
出典) https://safetyatsea.net/news/2017/shipping-must-confront-onboard-systems-cyber-vulnerabilities/© 2020. MTI Co., Ltd. All rights reserved.

7

Monohakobi Techno Forum 2020

海事分野でのOT攻撃インシデント事例②GPS信号の改ざん(スプーフィング）✓ 黒海付近で、数年間で1万件以上のGPS位置情報の改ざん発生✓ 1000隻以上の商船の航行に影響✓ 2019年3月 米国シンクタンク(C4ADS)は、これはロシア軍によるGPS信号なりすまし行為が原因であると報告

出典：Above US ONLY STARS, The Center for Advanced Defense Studies
米国高等国防研究センター（C4ADS）, 2019年3月発行© 2020. MTI Co., Ltd. All rights reserved.

8

Monohakobi Techno Forum 2020

目次

１．はじめに２．IMOや各船級の議論
３．船舶運航のリスク管理
４．船舶サイバーレジリエンス向上
５．まとめ© 2020. MTI Co., Ltd. All rights reserved.

9

Monohakobi Techno Forum 2020 凡例：

２．各ガイドライン・認証①運用（船会社）に関するもの
設計・建造（造船所）に関するもの
設計・建造（メーカー）に関するもの

これまでの流れ
2016
IMO
IACS
BIMCO

各 ABS
国船 BV級

20172018201920202021⚫ SMSでの“推奨”化
サイバーリスク管理【1月～】⚫ 12 Recommendation⚫ N.166に 統合【4月】⚫ UR E-22 Rev.2発行【6月】
一部公開【11月】⚫ N.166修正版公開【7月】
改訂 ⚫ ガイドライン⚫ ガイドライン⚫ ガイドライン
改訂
改訂⚫ ガイドライン
第1版発行【1月】
第3版発行【12月】
第2版発行【7月】
第4版発行？
⚫ MSC-FAL.1/Circ.3の承認【6月】⚫ MSC.428(98) の採択【6月】⚫ CS Notation 発行【7月】⚫ CS Ready Notation
発行【6月】⚫ CS for Equipment
Manufacturers 発行【10月】⚫ SYSCOM発行【10月】 ⚫ CYBER MANAGED⚫ SYSCOM発行【10月】 Notation発行【12月】⚫ CYBER SECURE
Notation発行【12月】⚫ CYBER (MANAGED)(SECURE) Notation発行⚫ CYBER (MANAGED)(SECURE) Prepared
Notation発行【9月】⚫ CP-0231改訂【3月】⚫ Cyber Secure
Notation発行【2月】⚫ Cyber Secure (Essential)(Advanced)Notation発行⚫ CP-0231発行【1月】⚫ RP: Cyber Security
Resilience Management発行 ⚫ Cyber Secure (basic)
Notation発行【7月】【12月】⚫ Cyber Secure (advanced)
Notation発行【7月】⚫ Cyber Security Maturity Framework発行【7月】
LR⚫ Cyber Secure (basic)Notation発行【7月】⚫ 型式認証 Network-related devices 発行【9月】⚫ ShipRight発行【12月】⚫ マネジメントガイドライン発行【3月】
NK⚫ マネジメント認証【12月】⚫ デザインガイドラ⚫ デザインガイドライイン発行【2月】
ン第2版発行【7月】⚫ ソフトウェアガイドライン発行【5月】© 2020. MTI Co., Ltd. All rights reserved.
10

DNVGL

Monohakobi Techno Forum 2020

２．各ガイドライン・認証②
それぞれを整理すると、

凡例： 船級・各国船級
Security by Design

Security Management

フェーズ

舶用機器製造

船舶建造

船舶運用

主担当

舶用機器メーカ

造船所

船社

要件(Plan)

改善(ACT)

個社が実施

船技協が実施実施(Do)

検証(Check)

IACS No.166 “Recommendation on Cyber Resilience”(2020.4)

IMO MSC-FAL.1/Circ.3 (2017)
BIMCOガイドライン (2018.11)

各国船級による舶用機器向け

各国船級による新造船向け

ガイドライン・認証

ガイドライン・認証

各国船級 船主向け

船技協 舶用機器向け
ガイドライン作成中 (2020年度)

船技協 CyberResilient Ship

船技協 サイバーリスク管理

ガイドライン発行 (2020.3)

テンプレート発行 (2019.3)

舶用機器メーカ向けガイドライン等に基づき、Cyber-Resilient shipガイドラ
イン等に基づき、CSMSテンプレートに基づき、各機器メーカが対応実施

造船所・船社が対応実施

船舶機器・システムに対する検証・テスト手法の整備が必要

船舶全体のシステムや、各ファンクションのサイバー耐性をガイドライン認証検証する手法の整備が必要

各船社がSMSでの対応を実施 (2021年1月～）
2021年1月以降の最初の適合証書の年次検査で実施
運航時におけるサイバーインシデントへの対応演習*船技協 ：(一財)日本船舶技術研究協会© 2020. MTI Co., Ltd. All rights reserved.

11

Monohakobi Techno Forum 2020

目次

１．はじめに２．IMOや各船級の議論
３．船舶運航のリスク管理
４．船舶サイバーレジリエンス向上
５．まとめ© 2020. MTI Co., Ltd. All rights reserved.

12

Monohakobi Techno Forum 2020

３．船舶運航におけるリスク管理
船舶
安全運航

安全で環境にやさしい運航を実現

安全管理システム(SMS)SOLAS条約 国際安全管理(ISM)コードに則った安全管理システム(SMS)

サイバー
リスク管理

サイバーリスク管理はSMSに含めて実施することが推奨される①特定(Identify)
サイバーリスク管理アプローチ：②防御(Protect)
NIST(*1) Cybersecurity Framework“5つの対応カテゴリ” に整理し改善する ③検知(Detect)
ことが多くのガイドラインでも推奨されている④対応(Respond)*1 NIST＝アメリカ国立標準技術研究所⑤復旧(Recover)© 2020. MTI Co., Ltd. All rights reserved.

13

Monohakobi Techno Forum 2020

３．船舶運航におけるリスク管理
船舶
安全運航
安全管理システム(SMS)①特定 Identify
リスクアセスメント②防御/③検知Protect/Detect

サイバー
リスク管理

技術的対応
運用的対応

脅威/脆弱性の特定影響度分析
ユーザの教育レベル評価
物理的保護

ネットワーク保護システム保護
異常監視運用ルール④対応/⑤復旧
Respond/Recover

対応と復旧

アクセス権限変更履歴管理教育 (船/陸)対応復旧計画※船技協 “SMSテンプレート”(2019.3) および、BIMCOガイドライン第３版(2018.11)の内容をもとに各要件をMTIで整理したもの© 2020. MTI Co., Ltd. All rights reserved.

対応組織

14

Monohakobi Techno Forum 2020

NYK運航船における、サイバーリスク管理認証取得

LNG船 PACIFIC MIMOSAClassNK サイバーマネジメント認証取得✓ 2019年12月
日本海事協会による初めてのCSMS認証✓ 運航船のサイバーセキュリティ管理手順に関する任意認証

日本郵船プレスリリース：https://www.nyk.com/news/2019/20191216_01.html© 2020. MTI Co., Ltd. All rights reserved.

15

Monohakobi Techno Forum 2020

目次

１．はじめに２．IMOや各船級の議論３．船舶運航のリスク管理
４．船舶サイバーレジリエンス向上
５．まとめ© 2020. MTI Co., Ltd. All rights reserved.

16

Monohakobi Techno Forum 2020

４．船舶サイバーレジリエンス向上

国際船級協会連合(IACS) 2020年4月発行
Recommendation on Cyber Resilience(No.166)

Recommendation on Cyber Resilience , IACS
Apr.2020(Corr.1 July 2020) ,57 Pages© 2020. MTI Co., Ltd. All rights reserved.

目次
１章. イントロダクション
２章. スコープ
３章. 参照ガイドライン・規格
４章. 単語の定義
５章. 設計・製造のゴール
６章. 機能要件
７章. 技術要件
８章. 検証要件
付録. A～C
http://www.iacs.org.uk/download/10714
17

Monohakobi Techno Forum 2020

IACS Recommendation on Cyber Resilienceの構成
具体的ゴールサブゴール

機能要件

技術要件

検証要件

5章

5章

6章

7章

8章

機器・システム・インベントリ作成(機器リスト)インベントリ提出

ネットワーク
構成図作成

ネットワーク
構成図提出

リスク評価実施

リスク評価結果提出①特定Identify
ライフサイクルを通じて、サイバー攻撃耐性のある船舶の設計・建造②保護
Protect③検知
Detect④対応
Respond⑤復旧
Recover© 2020. MTI Co., Ltd. All rights reserved.

データ特定

リスク特定・・・・・・・・・
以降、この技術要件の概要をご説明します。
18

Monohakobi Techno Forum 2020

①特定 (Identify) の技術要件
基本設計書
ネットワーク構成図

リスク評価レポート

インベントリ(機器リスト)ITネットワーク

Rader

Firewall/Gateway

ECDIS

型番
シリアル番号

OTネットワーク
航海系ネットワーク
VDR

GPS

AIS

データの特定/分類書

Rader

ECDIS

機関系ネットワーク
モニター

Engine D/L

ソフトウェアのバージョンファームウェアのバージョン

OS
ネットワークサービス
ポート
プロトコル
IPアドレス

MACアドレスセンサー© 2020. MTI Co., Ltd. All rights reserved.

19

Monohakobi Techno Forum 2020

②保護(Protect)～復旧(Recover) の技術要件
凡例 保護(Protect) 検知(Detect):システムの保護

リモートアクセス管理:インシデント検知

対応(Respond) 復旧(Recover):インシデント対応

ポートブロック(物理/論理)ITネットワークアクセス制御(物理/論理)Firewall/Gateway

送受信先
フィルタリング

侵入検知・
侵入防御
ネットワーク
分離・分割
ファイア
ウォール設置:状態復旧

OTネットワーク

アンチウイルス

航海系ネットワーク
VDR

GPSAIS

Rader

ECDIS

機関系ネットワーク
モニター

Engine D/L

侵入検知・
侵入防御
マニュアル制御用
インターフェース
データ/ソフトウェ
アバックアップセンサー© 2020. MTI Co., Ltd. All rights reserved.

20

Monohakobi Techno Forum 2020

③それぞれの役割とフロー

凡例：
船級の確認・認証船舶のフロー
荷主
船主・運航者

サイバーセキュリティ
要求の提示
サイバーセキュリティ
要求の提示

運航時のサイバーリスク管理
船舶引き渡し

造船所

舶用機器
メーカ

文書のフロー

・要求に基づき新造設計・設計に基づきインテグレート・試験の実施

要求に基づいた機器・システム調達© 2020. MTI Co., Ltd. All rights reserved.

要求に基づいた機器・システム納入

文書引き渡し・収集した文書の管理
・船舶全体に係る文書作成

機器・システムに関する文書の提供

21

Monohakobi Techno Forum 2020

舶用機器や船舶のサイバーセキュリティに関する海外船級の主な認証取得状況

ご参考日付

船級取得メーカ(国名)2017年11月

DNV-GL

Kongsberg Maritime（ノルウェー）

同社のVPMS K-IMSが型式認証DNVGL-CP-0231を取得

2018年1月LR

Nantong COSCO KHI ShipEngineering （中国）

同社のコンテナ船が「Cyber AL3 SECURE PERFORM (EnergyManagement System)」を取得

2018年11月

ABS

現代重工業（韓国）

同社及び同社のVLCC船がCS-Ready Notationを取得

2019年2月

KRS

Songa Shipmanagement（英国）

同社がサイバーリスクマネジメントのCertificationを取得

2019年2月

DNV-GL

Naval Dome（イスラエル）

同社のエンドポイント防御システムが型式認証DNVGL-CP-0231のSL4（最高レベル）を取得

2019年6月

KRS

現代重工業（韓国）

同社のHyundai-ISCSがサイバーセキュリティの型式認証を取得

2019年7月

LR

大宇造船海洋（韓国）

同社のECDIS等を含む艦隊監視システムが「Digital AL3 SAFESECURITY」のAiPを取得

2019年8月

LR

現代重工業（韓国）

同社のネットワークセキュリティデジタルコンポーネントが型式認証を取得。

2019年11月

DNV-GL

現代重工業（韓国）

同社が建造中のLPG船がCyber Secure (Advanced) のAiPを取得

2019年11月

DNV-GL

サムスン重工業（韓国）

同社のSVESSEL®がCyber Secure(Advanced+）のAiPを取得2019年12月

LR

Wärtsilä（フィンランド）

同社の統合システムネットワークが「SAFE AL2」のAiPを取得

2020年 5月

BV

France LNG Shipping SAS(NYKとGeogas LNG SASの共同船舶保有会社) (フランス）

現代三湖重工業（韓国）にて建造した、同社の保有のLNG運搬船が、BV SYS-COM Notationを取得（LNG船では世界初の取得）© 2020. MTI Co., Ltd. All rights reserved.

認証内容

22

Monohakobi Techno Forum 2020

目次

１．はじめに２．IMOや各船級の議論
３．船舶運航のリスク管理
４．船舶サイバーレジリエンス向上
５．まとめ© 2020. MTI Co., Ltd. All rights reserved.

23

Monohakobi Techno Forum 2020

５．まとめ
管理会社

船会社
安全運航のためのサイバー
セキュリティ対策
・安全管理チーム・インシデント対応組織

SMSにおけるリスク管理

サイバー対応支援外部パートナーサイバー
セキュリティ
技術支援凡例：➡船舶運航のリスク管理に関係➡船舶設計・建造に関係➡機器設計・建造に関係© 2020. MTI Co., Ltd. All rights reserved.

報告

監査
指示

船舶

SMSにおけるリスク管理

造船所
サイバー
レジリエンス船建造・文書提供

船舶サイバーレジリエンス向上

機器サイバー対応・
文書提供

機器
サイバー要求機器メーカー

検査・認証

報告

船級協会

機器サイバー
レジリエンス向上

ガイドライン策定
検査と認証
24

Monohakobi Techno Forum 2020

船会社

５．まとめ

安全運航のためのサイバー
セキュリティ対策

管理会社
外部パートナーとの連携など、迅速なイ
SMSにおけるンシデント監視対応
リスク管理体制の構築が必要
サイバー対応支援外部パートナーサイバー
セキュリティ
技術支援

・安全管理チーム・インシデント対応組織

報告

監査
指示

船舶

SMSにおけるリスク管理

サイバー対応検査・検証の手法も船級の支援・連携が求められる
報告
検査・認証

凡例：
➡船舶運航のリスク管理に関係➡船舶設計・建造に関係➡機器設計・建造に関係© 2020. MTI Co., Ltd. All rights reserved.

船級協会

ガイドライン策定
検査と認証

造船所
サイバー
レジリエンス船 船舶ライフサイクルを
船舶サイバー
建造・文書提供
通じた対応が求められる
レジリエンス向上

機器サイバー対応・
文書提供

機器
サイバー要求機器メーカー

機器サイバー
機器においては、機器単体レジリエンス向上
ではなく、他機器との連携（ファンクション）を考慮した対応が必要とされる

25

Monohakobi Techno Forum 2020

ご清聴ありがとうございました。

© 2020. MTI Co., Ltd. All rights reserved.