JPCERT Coordination Center

電子署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=Japan
Computer Emergency Response TeamCoordination Center, cn=JPCERT Coordination
Center, email=office@jpcert.or.jp
日付 : 2021.03.04 13:21:11 +09'00'

制御セキュリティポリシー導入における課題と解決のヒント
2021年2月12日
参天製薬株式会社
情報システム本部 グローバル情報セキュリティチーム

正木 文統

Copyright© 2020 Santen All rights reserved.

0目次◼ 本資料でお伝えしたいこと◼ 参天の会社概要◼ 参天における制御セキュリティポリシー策定の背景◼ セキュリティポリシーに関するステップ◼ 各ステップにおける課題と解決策◼ その他の取組みと参考情報

Copyright© 2020 Santen All rights reserved.

1本資料でお伝えしたいこと
制御セキュリティポリシー導入、浸透のヒント◼ 想定している聴講者(※もちろんこの限りではございません)⚫ 情報システム部のセキュリティ担当者(専任でない場合も含む)⚫ 工場側のセキュリティ担当者やシステム管理者⚫ セキュリティベンダーの皆様(ユーザー側の課題をご認識いただけると幸いです。)◼ 本資料の内容を確認することで⚫ ポリシー策定で気にするべきポイントについて知ることが出来る⚫ ポリシーを浸透させるための注意点を事前に知ることが出来る⚫ 参考にすべき情報について知ることが出来る

Copyright© 2020 Santen All rights reserved.

2

会社概要
本社

工場／研究所

参天製薬株式会社〒530-8552
大阪市北区大深町4 番20 号 グランフロント大阪 タワーA
TEL / 06-6321-7000
事業内容

医薬品および医療機器の研究開発・製造・販売

創

1890年

業

資本金
従業員数（連結）代表者

8,366 百万円
4,108 名(国内1,994名/海外2,114名)

奈良研究開発センター
能登工場、滋賀プロダクトサプライセンター
蘇州工場

3工場

主な子会社／営業拠点

主な子会社
日 本
米国
欧州アジア
営業拠点

3社
7社
10社
11社
世界80以上黒川 明(代表取締役会長)

谷内 樹生(代表取締役社長兼CEO)
株式上場市場

東証一部 (証券コード：4536)

資本金/従業員数/主な子会社･営業拠点：2020年3月末時点

Copyright© 2020 Santen All rights reserved.

3

参天における制御セキュリティポリシー策定の背景

サイバー攻撃による製造及び供給停止リスクの増加

関連会社のランサムウェア感染による出荷停止の実被害あるべきルールと対策が必要

Copyright© 2020 Santen All rights reserved.

4

セキュリティポリシーに関するステップ

①作成

②導入

③浸透

規程及び細則の作成

ルールの説明
役割分担

ルールの適用ルールに合わせた運用

Copyright© 2020 Santen All rights reserved.

5

各ステップにおける課題と解決策

Copyright© 2020 Santen All rights reserved.

6

制御セキュリティにおける優先順位が異なる

制御セキュリティ

情報セキュリティ

可用性

機密性

完全性

完全性

機密性

可用性

①作成

常に意識
Copyright© 2020 Santen All rights reserved.

7

制御セキュリティのどこから手を付けるべきか
先にリスクアセスメントをする

ベンダーに手を借りる

依頼先のベンダーはコンサル

or セキュリティベンダー

ガイドラインに準拠する

or 準拠しない

優先順位はor

①作成

しない

or

借りない

まずポリシー策定

or

まずリスク対策実施

自社に合った手順
Copyright© 2020 Santen All rights reserved.

8

ITとOTの観点の違い
OT

②導入

IT

1. セキュリティに関する情報不足
2. セキュリティ担当者不在
3. プロセスは変えたくない
4. 24/365システム止めたくない
5. IT担当者との交流が少ない

1. 制御システムに関する情報不足
2. OTシステムの担当者不在
3. プロセスを変えて欲しい
4. システムを止めて対策したい
5. OT担当者との交流が少ない

OT/IT担当者でWorkshop実施
Copyright© 2020 Santen All rights reserved.

9

関係者が多い

C-Level

部門長

工場長

②導入

マネージャー作業者各階層にそれぞれ説明

Copyright© 2020 Santen All rights reserved.

10

工場ごとに担当者が異なる

能登工場

滋賀工場

②導入

蘇州工場

(滋賀プロダクトサプライセンター)

説明や打合せは3工場合同
Copyright© 2020 Santen All rights reserved.

11資産情報がバラバラ

MES

品質管理システム

出荷管理システム③浸透

NW機器設定NW Segment

情報を1カ所に集約

Copyright© 2020 Santen All rights reserved.

12守れないルールの存在

プロセス変更

例外ルール

代替策

③浸透

待つ

可用性第一
無理しない
記録を残す
Copyright© 2020 Santen All rights reserved.

13日本の安全神話(番外編)

防犯カメラ

身分確認

日本

・作業見張られている・怠けていないか監視・トラブル起きていないか

・身分を確認するのは失礼
・免許証、パスポートを見せることはあまりない

海外・トラブルが起きていないか
・自分の無罪証明

・身分は確認必須
・パスポート等で確認

Copyright© 2020 Santen All rights reserved.

③浸透14その他の取組みと参考情報

Copyright© 2020 Santen All rights reserved.

15

制御セキュリティに関するその他の取組み◼ セキュリティリスクアセスメント結果に従い対策実施◼ 3rd Party のセキュリティリスクアセスメント⚫ まずは重要なサプライヤーから⚫ アセスメント範囲は順次拡大予定◼ 制御セキュリティ製品の検証・比較⚫ Networkトラフィック解析⚫ OT向け脆弱性検査ツール◼ 制御セキュリティ教育検討◼ ポリシー準拠状況の監査◼ DXに向けた準備

Copyright© 2020 Santen All rights reserved.

16

制御セキュリティに関して参考にしている情報◼ JPCERT/CC⚫ 制御システムセキュリティ情報提供用メーリングリスト
https://www.jpcert.or.jp/ics/ics-community.html⚫ 過去の制御システムセキュリティカンファレンスの講演資料- 制御セキュリティインシデントの発生状況と関連情報- ガイドラインに関する最新動向- セキュリティ対策の取組み事例⚫ 制御システムセキュリティに関するまとめページ
https://www.jpcert.or.jp/ics/◼ IPA⚫ 「制御システムのセキュリティリスク分析ガイド第2版」⚫ 制御システムのセキュリティに関するまとめページ
https://www.ipa.go.jp/security/controlsystem/index.html

Copyright© 2020 Santen All rights reserved.

17

Copyright© 2020 Santen All rights reserved.

18