Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency Response Team Coordination
Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan
Computer Emergency Response Team Coordination Center, cn=Japan
Computer Emergency Response Team Coordination Center
日付 : 2018.03.12 10:53:15 +09'00'

制御システムにおけるサイバーリスクマネジメント態勢の確立と事例紹介
KPMGコンサルティング株式会社
サイバーセキュリティアドバイザリー
マネージャー
保坂 範和

目次
01

制御システムの現状と課題

02

制御システムにおけるサイバーリスクマネジメント態勢

03

海外・国内の事例紹介

04

まとめ© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

2

01
制御システムの現状と課題

重要インフラへのサイバー攻撃
攻撃事例１
サイバー攻撃による大規模停電
2016年 ウクライナ

攻撃事例２
ランサムウェアによる工場の操業停止
2017年 日本

制御システム安全神話崩壊

インターネット

攻撃者

公開ウェブサーバ、メールサーバ、DNSサーバ等

情報系ネットワーク

攻撃
範囲
拡大

攻撃事例３
サプライチェーンを狙ったサイバー攻撃
2017年 日本

制御系ネットワーク© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

重要インフラ4前提として押さえるべきOTとITの違い
優先すべき目的・論点や、対策実装の前提条件や制約、推進主体が情報系システムと異なる。
制御系システム
セキュリティの優先順位

情報系システム

継続的な安定稼働（可用性）や機密情報の漏えい防止（機密性）
安全確保

セキュリティの対象

モノ（設備・製品）
サービス（連続稼働）

情報

システム更新のライフサイクル

10～20年

3～5年

システム稼働時間

24時間365日（再起動は原則許容されない）

サービス提供時間外

システム運用管理

計装部門
設備管理部門

情報システム部門と言われているが、実態は・・・？
© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

5生産現場担当者の認識（現実とのギャップ）〇〇工場
OA系ネットワーク

Aプラント（生産設備管理担当の所掌範囲）
制御情報ネットワーク

SW
各計算系システム

制御情報ネットワーク
MES

HMI

HMI

制御ネットワーク

各計算系システム

HMI

エンジニアリングPC

PLC

HMI

FCS

SIS

MES

OPC

HMI

制御ネットワーク

SW
PLC

SW

新たに見出された課題

OPC

Bプラント

エンジニアリングPC
SW

PLC

PLC

© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

FCS

SIS

6政府による重要インフラ業界への働きかけ
 制御システムのサイバーセキュリティ人材育成と中心とした事業を推進する「産業サイバーセキュリティセンター」を発足（2017.4.1）

IPA 経済産業省による事業の一環として「制御システムのセキュリティリスク分析ガイド」を公開（2017.10.2）

 「重要インフラの情報セキュリティ対策に係る第4次行動計画」を公表（2017.4.18）
重要インフラの情報セキュリティ対策に係る第4次行動計画

NISC

安全基準などの整備および浸透情報共有体制の強化

障害対応体制の強化

リスクマネジメントおよび対処態勢の整備© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

防護基盤の強化7電力業界の変化に伴うサイバーセキュリティ動向＜業界個別の取組例＞
事業環境の変化に伴うサイバーリスクの高まりと、政府・業界における取り組みが進む
電力自由化
スマートグリッドの進展
2020年
東京オリンピック 多様なプレーヤーが電力システムに接続
 コスト低減のためのシステムオープン化

従来のセキュリティ水準の維持が困難であり、電力安定供給への支障や情報漏えい等のリスクが顕在化

 2018年度末までに全国約8000万台の電力量計の半数以上がスマートメーター化

海外では電力システムのオープン化に伴うサイバー攻撃の被害が増加

 2012年ロンドンオリンピックでは開会式の停電を狙うサイバー攻撃が発生

2020年の東京オリンピックではより高度かつ大規模なサイバー攻撃に備える必要性

2016年に国内発のガイドラインとして立て続けに策定

スマートメーターシステム
セキュリティガイドライン

電力制御システム
セキュリティガイドライン© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

8電力システムに係るサイバーセキュリティ関連基準・ガイド＜業界個別の取組例＞
汎用制御システム

電力システム
共通

電力制御システム

原子力発電

組織システムNIST
IEC
SP62443 800
-82

NEI
08-09
10-04
13-10
他

電力制御システム
セキュリティガイドライン

スマートメーター
システム NIST
セキュリ IRティ
7628
ガイド
ライン

IEEE
1686

コンポーネント

要素技術(暗号化プロトコル他)

NERC
CIP

スマートグリッド

ISO/IEC
29192

IEEE 2030
IEC 61850
IEC 62351【凡例】

業界基準・ガイド

国際基準・ガイド© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

9電力事業者における関連規制・スタンダードの適用例＜業界個別の取組例＞© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

10

02
制御システムにおけるサイバーリスクマネジメント態勢

重要インフラ事業者にとっての課題
社会的責任の観点

サイバーセキュリティに関する説明能力の向上✓サイバーセキュリティに関する責任所在の明確化✓CIOや情報セキュリティ責任者に限定しない全社的な意識向上✓全社的に自社の事業アセットとサイバー攻撃に対する脆弱性・リスクの的確な認識

効果的かつ効率的なサイバーセキュリティ対策の推進
事業競争力の観点✓今後整備が進む関連規制・スタンダードへの迅速なキャッチアップと積極的姿勢での活用✓老朽化が進むレガシーアセットへの対応も含めた、アセットへの投資管理、ライフサイクル管理の態勢構築© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

12重要インフラ事業者にとってのセキュリティリスク

出展 : 重要インフラ産業におけるサイバーセキュリティ対策の要諦と方向性，KPMGジャパン<https://assets.kpmg.com/content/dam/kpmg/pdf/2016/03/jp-cyber-security-infrastructure.pdf>© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

13

セキュリティ対策で重要性を増す構成管理
米国における原子力発電プラントの構成情報管理とサイバーセキュリティ対策

出所：「重要インフラ産業におけるサイバーセキュリティ対策の要諦と方向性」（KPMGジャパン）

セキュリティ対策の網羅性と効率性を担保するためには、構成情報を自社で管理できる態勢の構築が不可欠© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

14

企業間連携が求められるサプライチェーン攻撃への備え
ユーザ企業とベンダー企業を横断したサプライチェーンのガバナンス

出所：「重要インフラ産業におけるサイバーセキュリティ対策の要諦と方向性」（KPMGジャパン）

USB攻撃の実例も存在する中、保守や更改などベンダーとの接点においてもセキュリティ対策が必要© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

15

サイバーセキュリティ経営で求められるリスク管理© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

16制御系サイバーセキュリティの高度化ライフサイクル✓ 脅威シナリオ分析✓ セキュリティポリシー策定（基本方針・対策基準 など）✓ リスクアセスメント実施（第三者による客観的評価）✓ 対策設計・教育計画策定

リスク分析・評価

予防策の検討・実装
的確なリスク認識✓ 資産の棚卸調査✓ 資産情報台帳管理✓ KPI モニタリング✓ インシデント対応訓練✓ サイバーセキュリティ教育

資保
産護の対特象定

脅威影響度

有効性評価と改善

脆弱性

インシデント対応✓ 対策導入・教育展開

セキ監ュ
視リ
テ
ィ

体制構築と人材教育

SOC体制の確立

CSIRT体制の確立© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

17

サイバーセキュリティへの対策状況を把握するフレームワーク
CMA(Cyber Maturity Assessment) for ICS
法令とコンプライアンス
関連法令や国際認証基準への準拠度合い

リーダーシップとガバナンス
経営者がセキュリティリスクを理解し、責任を負っているか

運用と技術特定されたリスクを低減させるために導入されている対策のレベル

人的要因
セキュリティに対する従業員の意識、スキル、知識といった組織風土

事業継続と危機管理
セキュリティインシデントに対する組織の準備状況およびその対応能力

情報リスクマネジメント
情報資産に対するリスク管理手法が定義され、それに則って情報資産が管理されているか© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

18

制御システム向けセキュリティリスク分析
保護資産の分析
重要な事業・サービスの選定事業・サービスへの影響度分析

事業・サービスを支える業務フロー
分析

業務フローに係る資産の特定事前準備✔システム構成図（リスク分析用）✔データフロー図✔資産一覧と重要度✔事業被害レベル✔脅威✔対策状況

リスク分析結果
資産ベースのリスク分析✔資産の列挙・グループ化✔資産と重要度の評価✔脅威と対策候補の列挙✔脅威レベルの評価

セキュリティ
対策状況の確認

対策レベル
/脆弱性
レベル評価

リスク値の評価

事業被害ベースのリスク分析
事業被害の絞り込み

攻撃シナリオの策定

攻ツリーの作成

脅威レ
ベル、事業被害レベルの評価

セキュリ
ティ対策
状況の確
認

対策レベ
ル/脆弱性レベルの評価✔システム構成図（リスク分析用）✔データフロー図✔資産一覧と重要度✔事業被害レベル✔脅威✔対策状況✔資産ごとのリスク値✔攻撃ツリーのリスク値

リスク値の評価© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

19

モニタリングと課題抽出によるセキュリティ戦略見直し①モニタリング②課題抽出・方針検討③方針見直し・高度化

モニタリング結果に基づき、強化
新たな戦略と方針に基づき施策を
サイバーセキュリティ経営ダッシュボードにより、各セキュリティ すべきセキュリティ領域を特定する。 実施する。
施策の実施状況・効果をモニセキュリティ
サタリングする。
リスク分析
監査
イ
抽出された課題（例）
バ・セキュリティ上の脅威が適切に検出
サプライ
グローバルーできていない（ログ監視の不備）
チェーン管理管理
セ・CSIRTが機能していない
キ（要員不足・手順の不備）
ュSOCのログ監視のリ
具体的なセキュリティ施策（例）
構築・強化
高度化ティ・SIEM導入、監視ルールの策定
CSIRTのセキュリティ
戦・SIEM運用の人員・教育計画の策定
構築・強化
教育略
サイバーセキュリティ経営ダッシュボード ・外部SOCの選定・導入
・インシデント報告・対処手順の整備と・SOC/CSIRTの要員確保・教育計画の策定
方・インシデント報告・対処手順の整備
ペネトレー
針
脆弱性管理
ションテストの見サイバーセキュリティ経営ガイドライン重要10項目の分類
ITセキュリティツール導入
直
リーダーシップの表明とサイバーセキュリティリスク
サイバー攻撃を受けた
リスクを踏まえた攻撃をし体制の構築
管理の枠組み決定
場合に備えた準備防ぐための事前対策© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

20

03
海外・国内の事例紹介

＜投影のみ＞© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

22

04
まとめ

まとめ
重要インフラに迫るサイバー脅威

重要インフラ事業者の課題✓サイバー攻撃の件数増加、手法高度化のトレンドの中で、重要インフラ産業においても脆弱性と脅威が高まっている✓重要インフラ産業におけるサイバーセキュリティ事故は、大規模な社会的混乱や人身事故など甚大な被害に帰結する危険性をはらむ✓重要インフラ事業者は、社会的責任の一翼を担う立場として説明能力を高める必要があり、経営層がサイバーセキュリティへの理解を深めることが急務となっている✓サイバーセキュリティをリスク管理の一領域として捉え、インフラ設備の投資判断、ライフサイクル管理を推進が求められる✓現状把握として、資産の棚卸調査、事業リスクの把握、システムリスク評価が急務

サイバーセキュリティ対策の要諦✓情報システムと制御システム、本社とプラント間などにおけるサイバーセキュリティ上の役割と責任範囲を明確にする✓サイバー人材の育成と外部専門家との連携態勢の確立が急務✓インフラ設備のみならず、サプライチェーンで関与するベンダーや、運用オペレーションで関与する組織・人も含めた俯瞰が必要© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative (“KPMGInternational”), a Swiss entity. All rights reserved.

24

お問合せ先KPMGコンサルティング株式会社
サイバーセキュリティアドバイザリー
kc-cybersecurity@jp.kpmg.com
TEL : 03-3548-5111（代表）kpmg.com/jp/kc
無断転写禁止ここに記載されている情報はあくまで一般的なものであり、特定の個人や組織が置かれている状況に対応するものではありません。私たちは、的確な情報をタイムリーに提供するよう努めておりますが、情報を受け取られた時点及びそれ以降においての正確さは保証の限りではありません。何らかの行動を取られる場合は、ここにある情報のみを根拠とせず、プロフェッショナルが特定の状況を綿密に調査した上で提案する適切なアドバイスをもとにご判断ください。

© 2018 KPMG Consulting Co., Ltd., a company established under the Japan Company Law and a member firm of the KPMG network of independent member firms affiliated with KPMGInternational Cooperative (“KPMG International”), a Swiss entity. All rights reserved.
The KPMG name and logo are registered trademarks or trademarks of KPMG International.

Document Classification: KPMG Confidential