Japan Computer Emergency Response Team Coordination
Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response TeamCoordination Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2017.03.22 17:43:51 +09'00'

制御システムセキュリティ
アセスメント

一般社団法人JPCERTコーディネーションセンター
制御システムセキュリティ対策グループ
落合 一郎

目次
様々な「アセスメント」
制御システムセキュリティアセスメントに使える基準とツール
JPCERT/CCの制御システムセキュリティアセスメント
実施実績と効果 (速報)1

Copyright©2017 JPCERT/CC All rights reserved.

様々な「アセスメント」

2

Copyright©2017 JPCERT/CC All rights reserved.

内部・外部アセスメント
内部アセスメント—セルフ—社内監査部門

外部アセスメント—セキュリティ専門会社—監査専門会社
—ベンダ
—公的機関

3

Copyright©2017 JPCERT/CC All rights reserved.

内部・外部アセスメント
内部アセスメント

外部アセスメント

誰が行う

組織内の担当者
組織内の監査部門

組織外の専門家利点・重要な問題を深堀りできる・内部の者が気づきにくい問題点に光を当てられる・普段から気になっている問題点をもれなくカバーできる
欠点

4・手前味噌の評価で終り重要な問題点を見過ごす可能性がある

Copyright©2017 JPCERT/CC All rights reserved.

・脅威や対策の相場観を適切に判断できる・組織の内部事情への配慮の過剰や不足が結果が歪むことがある監査・アセスメント
監査とアセスメント

道具立てと実施手順は似通っている
大きな相違は実施目的—批判的監査
合格か不合格かを判定しその結果を第三者に知らしめる—指導的監査必要ないし望ましい改善点を見つけ出す—アセスメント
プロジェクトの方向性を決めるための予備的調査

5

Copyright©2017 JPCERT/CC All rights reserved.

監査・アセスメント
批判的監査

指導的監査

アセスメント

改善すべき点の発見

プロジェクトの細目を決めるための情報収集

制度ごとに決められている改善を意図している者が選ぶ収集すべき情報に応じて選ぶ

結果や指摘事項 合格するためにはの扱い是正処置が必要

マネジメントの中で参考情報として活用

プロジェクト計画の中に反映

何のため第三者に問題が無いことを示す
適合性の認証基準の選択

6

Copyright©2017 JPCERT/CC All rights reserved.

制御システムセキュリティ
アセスメントに使える基準とツール

7

Copyright©2017 JPCERT/CC All rights reserved.

様々なツール(チェックリストとして使える基準)
J-CLICS
Check List for Industrial Control Systems of Japan
SSAT（CPNI）SCADA Self Assessment Tool
NIST
SP800-53連邦政府情報システムにおける推奨セキュリティ管理策
SP800-82産業用制御システム(ICS)セキュリティガイド

CSET (ICS-CERT)
Cybersecurity Evaluation Tool
CSMS（IEC62443）
Cyber Security Management System
業界安全基準

8Copyright©2017 JPCERT/CC All rights reserved.

様々なツール
ネットワーク試験ツール—Nmap等

脆弱性スキャナー
ペネトレーション試験ツール— Metasploit等※ JPCERT/CCのアセスメントでは使用いたしません
9Copyright©2017 JPCERT/CC All rights reserved.

JPCERT/CCの制御システムセキュリティ
アセスメント10

Copyright©2017 JPCERT/CC All rights reserved.

目的目的
本アセスメントは、経済産業省からの委託事業として、日本の企業・組織の現状把握、関係構築を目的として実施し、アセスメントによって得られた結果や知見は匿名化したうえで、広く制御システム利用者の注意を喚起するためなどに活用する。
※個別の標準規格に基づいた評価や、発見された問題点や課題の具体的な改善策の提示などが必要な場合には専門のアセスメント・コンサルティングサービスの利用を推奨

11

Copyright©2017 JPCERT/CC All rights reserved.

概要
アセスメント基準（ベースラインアプローチ）
英国政府機関のCPNI (Centre for the Protection of NationalInfrastructure) が開発したSSAT を翻訳および日本向けに修正を行った日本版SSAT、または制御システムセキュリティのガイドラインとして用いられる米国のNIST文書に基づいたアセスメント
オンサイトアセスメント
JPCERT/CCの担当者がアセットオーナのサイトを訪れ、ヒアリングを行い、可能な範囲で証跡の確認を行う。
その後、結果をまとめレポートとして提出
対象
制御システムを利用する国内のアセットオーナ
メリット
現状のセキュリティの評価が行え、第3者評価による気付きを得ることができる。

12

Copyright©2017 JPCERT/CC All rights reserved.

2種類のアセスメント（SSATとTR）
SSAT：SCADA Self Assessment Tool
導入から運用までの全般のアセスメント

TR： Technical Review
ファイアウォールの設定内容等の技術面の詳細なアセスメント
アプローチ

SSAT
ベースライン

基準

日本版SSAT

分野

TR
ベースラインNIST SP800-53
NIST SP800-82
全般（デザイン、購買、技術的（設計、運用）導入、運用）

NIST SP800-53 連邦政府情報システムにおける推奨セキュリティ管理策
NIST SP800-82 産業用制御システム(ICS)セキュリティガイド

13

Copyright©2017 JPCERT/CC All rights reserved.

SSAT詳細
リスクと脅威の理解継続した統制の確立
セキュア・アーキテクチャーの実装
意識とスキルの改善
対応能力の確立
サードパーティリスクの管理
プロジェクト参画
調達

14

Copyright©2017 JPCERT/CC All rights reserved.

アセスメント項目（SSAT) 1/2
リスクと脅威の理解
統制
ネットワークアーキテクチャー
ファイアウォール
リモートアクセス
侵入検知
侵入テスト
ワイヤレス
ウイルス対策セキュリティパッチ
システム強化
パスワードとアカウント
15

Copyright©2017 JPCERT/CC All rights reserved.

アセスメント項目（SSAT) 2/2
転入・転出の管理
接続手順
バックアップ物理セキュリティ
意識とスキルの改善
対応能力の確立
サードパーティリスク管理
プロジェクト参画
調達16

Copyright©2017 JPCERT/CC All rights reserved.

TR 詳細NIST SP800-53 技術管理策—AC(20) アクセス制御(Access Control)—AU(11) 監査および責任追跡性(Audit and Accountability)—IA(7) 識別および認証(Identification and Authentication)—SC(23) システムおよび通信の保護(System andCommunications Protection)

NIST SP800-82 産業制御システム(ICS)セキュリティ—ネットワークアーキテクチャー—セキュリティ管理策

17

Copyright©2017 JPCERT/CC All rights reserved.

アセスメント項目（TR）
オフィスネットワークとの接続
ファイアウォール・DMZ
ネットワーク機器
セキュリティ対策
データヒストリアン
ベンダ向けリモートアクセス
バックアップ
アクセス制御ログ監視構成管理システムハードニング

18

Copyright©2017 JPCERT/CC All rights reserved.

アセスメントの流れ
JPCERT/CC

アセットオーナー

申込書
NDA締結
事前打ち合わせ

1週間程度

事前確認
シート

1か月

オンサイト
アセスメント

レポート作成評価レポート
結果説明
打ち合わせ

19

Copyright©2017 JPCERT/CC All rights reserved.

事前確認
シート入力

評価レポートイメージ

20

Copyright©2017 JPCERT/CC All rights reserved.

JPCERT/CCの制御システムセキュリティ
アセスメントの実績と効果 (速報)

21

Copyright©2017 JPCERT/CC All rights reserved.

2016年度実施状況
PA系
実施済：3社（SSAT×２、TR × １）
年度末までに実施予定：4社

22

Copyright©2017 JPCERT/CC All rights reserved.

PA系、BA系

発見事項例（１）：SSAT・TR
ファイアウォール
—アセスメント結果
ファイアウォールを使用されている組織がありました。
データは中継サーバ経由でオフィスネットワーク側に送られている組織がありました。
ファイアウォールの設定・運用は外部ベンダに委託して実施されている組織がありました。

発見事項
・DMZが作られていない組織がありました。
・委託している外部ベンダの運用状況が確認されていない組織がありました。

23

Copyright©2017 JPCERT/CC All rights reserved.

発見事項例（２）：SSAT
物理セキュリティ—アセスメント結果
制御室への入退室制限は、問題なく行われている事が確認できました。

発見事項
・入退室の記録／監査は行っていない組織がありました。

24

Copyright©2017 JPCERT/CC All rights reserved.

発見事項例（３）：SSAT
対応能力の確立—アセスメント結果
CSIRTを作って組織的な対応ができている組織がありました。

発見事項
・どのような手順書が必要なのか不明との組織がありました。

25

Copyright©2017 JPCERT/CC All rights reserved.

よくできていた項目-運用・ポリシー：SSAT
統制
セキュリティのポリシーは、全社的、または事業所向けとして定められていた組織がありました。
意識とスキルの改善
Eラーニングを用意し、制御システムに関わる管理職、新人に対する教育を実施している組織がありました。

26

Copyright©2017 JPCERT/CC All rights reserved.

よくできていた項目-技術的：SSAT・TR
ファイアウォールの設置
制御ネットワークとオフィスネットワークは接続され、運転データの転送が行われていましたが、制御ネットワークとの境界にはファイアウォールが設置されている組織がありました。
リモート接続の管理
リモート接続の存在と目的等は文書化され、また必要な時にのみ接続する運用がされている組織がありました。

27

Copyright©2017 JPCERT/CC All rights reserved.

よくできていた項目-全般：SSAT
組織的なセキュリティ運用体制
制御システムセキュリティに関して全社的な取り組みが行われ、制御システムも理解したITの責任者が全体の責任者となり、ポリシーから手順書等、CSIRT活動含めた施策が非常によくできていた組織がありました。

28

Copyright©2017 JPCERT/CC All rights reserved.

アセスメントを受けていただいた組織の所感客観的な評価が得られて良かった。
大きな問題がないことが確認できて良かった。
普段、意識していなかったが、指摘により必要性を理解できた項目があった。
社外の専門組織によるアセスメントを受けることにより、関係者の情報セキュリティの意識高揚ができた。
今後、多くの組織でアセスメントを実施していただき、統計データはベンチマーク評価のデータとして提供していただきたい。

今後も、実施実績を増やし、より有効なものとしていきます29

Copyright©2017 JPCERT/CC All rights reserved.

アセスメントを受けていただいた組織の所感
施設の現状を考えると、あまり必要性を感じない要求事項があった。
このような点を考慮した評価レポートをご提供いたします
情報系の技術を適用することが評価の前提となっているようなので、より制御系の制約に適合する評価がされるとよりよいと思われる。

制御系の制約を考慮した評価レポートをご提供するとともに、今後要求事項の改善をしていきます30

Copyright©2017 JPCERT/CC All rights reserved.

お問合せ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：pr@jpcert.or.jp— Tel：03-3518-4600— https://www.jpcert.or.jp/

インシデント報告— Email：info@jpcert.or.jp— https://www.jpcert.or.jp/form/

制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form

31

Copyright©2017 JPCERT/CC All rights reserved.

ご静聴ありがとうございました

32

Copyright©2017 JPCERT/CC All rights reserved.