ES-C2M2の活用について（制御システムのセキュリティマネジメント成熟度自己評価の勧め）

2020年2月14日
独立行政法人 情報処理推進機構
セキュリティセンター セキュリティ対策推進部 脆弱性対策グループ
研究員（CISSP, エネルギー管理士）
木下 弦
Copyright © 2019 情報処理推進機構

AGENDA⚫ 米国の標準活用状況⚫ 制御システムセキュリティに関するIPAの取組み⚫ ES-C2M2の活用について

Copyright © 2019 情報処理推進機構

2⚫ 米国の標準活用状況⚫ 制御システムセキュリティに関するIPAの取組み⚫ ES-C2M2の活用について

Copyright © 2019 情報処理推進機構

3

各種標準をセキュリティレベルの改善に活用
米国の事例調査より⚫ 経済産業省「平成26年度電気施設技術基準国際化調査(電気設備）」 サイバーセキュリティ対策に関する調査報告より•

米国における電力会社のセキュリティ標準、ガイドライン活用方法：「コンプライアンス（NERC CIP Standard ※）で最低限のセキュリティ を確保した上で、ガイドラインを活用 し、必要なセキュリティレベルへの向上 を図り、社内ポリシーに反映する」※NERC CIP Standardは、2003年の大停電を踏まえて、電力の安定供給を念頭において作成された主に大規模発電施設及び送電施設を対象としたサイバーセキュリティに関する標準(標準であり規制でもある：違反には罰金が科される)

セキュリティレベルを向上させるガイドラインとして
米電力業界ではこの３つが活用されている• NIST IR 7628
• NIST Framework (NIST CSF)
• ES-C2M2

Copyright © 2019 情報処理推進機構

4米電力業界における標準・ガイドライン位置付け⚫ 米電力業界には約3000の事業者が存在するが、規模の大小問わず、自己評価ツールとして浸透している（経済産業省平成26年度電気施設技術基準国際化調査（電気設備）サイバーセキュリティ対策に関する調査報告）⚫ 米国電力業界コンプライアンスは、NERC CIPがベースライン（業法に基く罰則規定を含んだ基準）として制定されている⚫ レベル向上のためのガイドラインとして、 ES-C2M2 ・ NIST IR 7628 ・ NIST CSF がある
マネジメント手法のガイドライン
サイバーセキュリティ対策を改善するためのマネジメント手法を記載したガイドライン

具体対策向けガイドライン
各システムの重要度をリスクベースで判定し、現実的な対策を行う対策ガイドライン

ベースライン（義務・罰則あり）
チェックリストで最低限のセキュリティ要件を満たしているかを確認する業界標準

Copyright © 2019 情報処理推進機構

リスク対応 PDCA（A⇒P）のため
セキュリティマネジメント成熟度を評価し、向上すべき部分を把握

ES-C2M2NIST IR
7628

NERC CIP

NIST
CSF

成熟度の補強や、自ら強化したい
セキュリティ要件に対し、具体的対策手法を参照可能

最低限のコンプライアンス

5標準・ガイドラインの概要
#

規格/基準

作成者

基準の概要

NERC

１

NERC CIP ※1（Version5）

米国電力事業(発電、送電、配電)が業法に基き準拠すべき標準。
12エリア42項目 233細則の規準から構成され、違反に対する罰金規定がある。

DoE ※3２

ES-C2M2 ※2（Ver1.1：2014）

米国電力企業のセキュリティマネジメントの成熟度を測定するモデル。
10分類37項目312細則の項目に対して4段階評価を実施。

NIST

３

NIST IR 7628
（R1：2014/9 ）スマートグリッド（スマートメータ、需給制御システム等を含む）の電力制御システムのセキュリティ要件に関する NIST 内部レポート。
19エリア197項目の要件から構成。

NIST CSF ※4

NIST

米大統領令により NIST で策定された、リスクベース・アプローチに基く業界標準
およびベストプラクティスをまとめた自主参加型のフレームワーク。
識別(ID)， 防御(PR)， 検知(DE)， 対応(RS)， 復旧(RC) の 5機能に対して23カテゴリ/108サブカテゴリごとにプラクティスの参考情報がピックアップされている。

4※1 NERC CIP：
※2 ES-C2M2：※3 DoE：※4 NIST CSF：

North American Electric Reliability Corporation （北米電力信頼性評議会）が発行した Critical Infrastructure Protection Standard （重要インフラ防護標準）
Electricity Subsector Cybersecurity Capability Maturity Model Program （電力分野用セキュリティマネジメント成熟度モデル）
Department of Energy（米国エネルギー省）
National Institute of Standards and Technology（米国国立標準技術研究所）によるCyberSecurity Framework

Copyright © 2019 情報処理推進機構

6⚫ 米国の標準活用状況⚫ 制御システムセキュリティに関するIPAの取組み⚫ ES-C2M2の活用について

Copyright © 2019 情報処理推進機構

7

制御システムのインシデント対応の指針
制御システムはインシデント発生時、設備損傷や危険を伴う（安全確保の必要が生じる）ケースがあるため、事業継続リスクとインシデント対応をBCPで考える必要がある⚫NISC「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」
重要インフラサービスの安全かつ持続的な提供の実現を図る観点：「機能保証の考え方」を踏まえ、サービスの提供に必要な情報システムのセキュリティを確保し、サイバー攻撃等による重要インフラ
サービス障害の発生を可能な限り減らすとともに、障害発生の早期検知や、障害の迅速な復旧を図ることが重要• 機能保証の考え方 （「重要インフラの情報セキュリティ対策に係る第４次行動計画」からの抜粋）- 重要インフラサービスは、それ自体が国民生活及び社会経済活動を支える基盤となっており、その提供に支障が生じると国民の安全・安心に
直接的かつ深刻な負の影響が生じる可能性がある。このため、各関係主体は、重要インフラサービスを安全かつ持続的に提供するための取組（機能保証）が求められる。
- なお、本行動計画において、「機能保証」とは、各関係主体が重要インフラサービスの防護や機能維持を確約することではなく、各関係主体が重要インフラサービスの防護や機能維持のためのプロセスについて責任を持って請け合うことを意図している。すなわち、各関係主体が重要
インフラ防護の目的を果たすために、情報セキュリティ対策に関する必要な努力を適切に払うことを求める考え方である。

⚫ IEC62443(2010)
4.3.2.5 Business Continuity Plan (事業継続計画)

Copyright © 2019 情報処理推進機構

8

IPAは制御システムのリスク分析を支援～セキュリティリスク分析の重要性を訴えてきた～
中国、春秋時代の軍事戦略家、孫武の兵法書『孫子』に示された名句に「彼を知り己を知れば百戦殆うからず」がある。サイバー攻撃時代において、敵＝脅威（攻撃者を含む）、
己＝自組織と置き換えてみると、セキュリティ対策において効果的な施策を実施するための教えとなる。

セキュリティリスク分析は、己を知り、敵を知れば、百戦危うからずを実践する、サイバーセキュリティ時代の兵法である。

「リスク分析」：以下を評価指標に、事業リスクを明確にするプロセス① 評価対象（資産や事業）の価値（重要性）、想定される被害の規模・影響② 評価対象に対して想定される脅威とその発生の可能性③ 想定される脅威が生じた際の受容可能性（評価対象の脆弱性、対策不備）

リスク分析の重要性と有効性
・ 実効的なリスクの低減の実現
・ 効果的なセキュリティ投資の実現（追加対策、有効なテスト箇所の抽出）・ PDCAサイクルの確立とセキュリティの維持向上を継続するためのベース
Copyright © 2019 情報処理推進機構

9制御システムのセキュリティリスク分析ガイド
第２版 ガイド本編と別冊、活用の手引き⚫ 自組織でリスクアセスメントを実施し、セキュリティ対策を向上するための実践的な分析手法の解説書- リスク分析の全体像の理解向上と取り組みを促進- リスク分析を具体的に実施するための手順や手引き- ２通りの詳細リスク分析の手法（資産ベース、事業被害ベース）を解説

2018年10月15日 第２版公開
ガイド本編

別冊

活用の手引き

380頁

94頁

36頁

⚫ リスク分析のための素材を提供⚫ リスク分析結果の活用例の提示- リスク低減の対策強化策の検討方法- セキュリティテストの解説
https://www.ipa.go.jp/security/controlsystem/riskanalysis.html からダウンロード可能

リスクアセスメント （ISMSの定義から引用）
リスク特定

リスク分析

リスク評価

リスク発見・認識のプロセス

リスク特質理解とリスクレベル決定

リスクが対応・受容可能かを決定

Copyright © 2019 情報処理推進機構

リスクマネジメント

10リスクマネジメント支援の補強「情報セキュリティマネジメントとPDCAサイクル」

制御システムにおけるセキュリティマネジメントに関してのガイドライン補強① PLAN：

セキュリティポリシーの策定／マネジメントシステムの確立② DO：
リスクアセスメントの実施／リスクへの対応／管理策の導入と運用③ CHECK： セキュリティの評価（セキュリティレベルの評価）
マネジメントシステムの確立④ ACT：
見直し・改善（セキュリティレベルの改善）
PLAN
（計画）

この部分の補強
マネジメントシステムの維持・改善

この部分の補強
Copyright © 2019 情報処理推進機構

ACT
（改善）

体制構築・リスク把握・対策策定・維持改善のサイクル

CHECK
（点検）
マネジメントシステムの監視・評価

マネジメントシステムの
導入・運用

DO
（実施）

IPA公開資料「情報セキュリティマネジメントとPDCAサイクル」
より

11

⚫ 制御システムセキュリティに関するIPAの取組み⚫ 米国の標準活用状況⚫ ES-C2M2の活用について

Copyright © 2019 情報処理推進機構

12

ES-C2M2
IPAで翻訳・資料作成
作成物

概要

１

チェックシート

10ドメイン37目標312プラクティスの項目を日本語化
4段階評価を実施して評価結果をドーナツチャートで表示

２

解説書

チェックシートの使用方法、基準の概要、用語の定義等の解説ドキュメント

対象バージョン

Ver1.1：2014

Copyright © 2019 情報処理推進機構

作成者

DoE

補足

Ver1.1 ベース（Ver2.0への対応は現時点では未定）

13

ES-C2M2
略号

ドメインと目標の概要

DomainObjectiveドメイン

1. Establish Cybersecurity Risk Management Strategy

RM

1 Risk Management

2. Manage Cybersecurity Risk

1. リスク管理

3. Management Activities
1. Manage Asset Inventory

ACM

2 Asset, Change, andConfiguration Management

2. Manage Asset Configuration
3. Manage Changes to Assets

2. 資産、変更および構成管理

4. Management Activities
1. Establish and Maintain Identities

IAM
TVM

3 Identity and Access
Management
4 Threat and Vulnerability
Management

2. Control Access
3. Management Activities

1. Identify and Respond to Threats
2. Reduce Cybersecurity Vulnerabilities
3. Management Activities

3. アイデンティティおよび
アクセスの管理4. 脅威および脆弱性管理

1. Perform Logging

SA

5 Situational AwarenessISC

6 Information Sharing andCommunications

IR

7 Event andIncident Response,
Continuity of Operations

2. Perform Monitoring
3. Establish and Maintain a Common Operating Picture (COP)

5. 状況認識

4. Management Activities
1. Share Cybersecurity Information
2. Management Activities

6. 情報共有・
コミュニケーション

1. Detect Cybersecurity Events

2. Escalate Cybersecurity Events and Declare Incidents
3. Respond to Incidents and Escalated Cybersecurity Events
4. Plan for Continuity

7. イベント・インシデント
対応と業務継続

5. Management Activities

EDM

8 Supply Chain andExternal Dependencies
Management

1. Identify Dependencies
2. Manage Dependency Risk
3. Management Activities

8. サプライチェーンおよび
外部依存性管理

1. Assign Cybersecurity Responsibilities
2. Control the Workforce Life Cycle

WM

9 Workforce Management

3. Develop Cybersecurity Workforce

9. 要員管理

4. Increase Cybersecurity Awareness
5. Management Activities
1. Establish Cybersecurity Program Strategy

CPM

10 Cybersecurity Program
Management

2. Sponsor Cybersecurity Program
3. Establish and Maintain Cybersecurity Architecture
4. Perform Secure Software Development

10. サイバーセキュリティ
プログラム管理5. Management Activities

Copyright © 2019 情報処理推進機構

10 ドメイン目標
1. サイバーセキュリティリスク管理戦略の策定
2. サイバーセキュリティリスク管理
3. 管理アクティビティ
1. 資産インベントリ管理
2. 資産構成の管理
3. 資産の変更管理
4.管理アクティビティ
1.アイデンティティの確立および維持
2. アクセス制御
3. 管理アクティビティ
1. 脅威の特定と対応
2. サイバーセキュリティ脆弱性の低減策
3. 管理アクティビティ
1. ログの取得
2. モニタリング
3. 共通状況認識 （COP）の策定と維持
4. 管理アクティビティ
1. サイバーセキュリティ情報の共有
2. 管理アクティビティ
1. サイバーセキュリティイベントの検出
2. サイバーセキュリティイベントのエスカレーションとインシデントの宣言
3. インシデントとエスカレーションされたサイバーセキュリティイベントへの対応
4. 業務継続計画
5. 管理アクティビティ
1. 依存関係の特定
2. 依存リスクの管理
3. 管理アクティビティ
1. サイバーセキュリティにおける責任の割り当て
2. 要員ライフサイクルの管理
3. サイバーセキュリティ要員の育成
4. サイバーセキュリティ意識の向上
5. 管理アクティビティ
1. サイバーセキュリティプログラム戦略の策定
2. サイバーセキュリティプログラムのスポンサーシップ
3. サイバーセキュリティアーキテクチャの策定と維持
4. セキュアなソフトウェア開発
5. 管理アクティビティ

37 目標 （ 312 プラクティス ）14ES-C2M2 ドメインの構成
C2M2モデルの10ドメインに共通する構成• 各ドメインには複数の“目標（Objectives）”が存在し、• 各“目標”には複数の“プラクティス（Practices）”が存在する
モデル
ドメイン

C2M2には10のドメインが存在アプローチ目標（各ドメインに1つ以上、ドメインごとに数は異なる）

MIL1のプラクティス
MIL2のプラクティス
MIL3のプラクティス
管理目標（すべてのドメインに1つずつ）

MIL2のプラクティス
MIL3のプラクティス“目標”は、ドメイン毎に規定されるドメイン固有の“アプローチ目標”と、
全ドメインでほぼ共通の“管理目標”（管理アクティビティ）で構成される
Copyright © 2019 情報処理推進機構

15

ES-C2M2
プラクティスと評価レベルMIL(Maturity Indicator Level）
MIL (Maturity Indicator Level）：✓成熟度指標レベル（MIL0～３の4段階）✓目標に対して実施すべきプラクティスがMIL毎（MIL1:51,
MIL2:126, MIL3:135）に合計312個リストアップされている※MIL１のプラクティスはコストをかけずに実装できるよう設計されている(例）ドメイン「IAM」
ドメイン

目標

MIL1
1.アイデンティティの確立および維持（1. Establish andMaintain Identities） MIL2

✓プラクティスの個別評価（4段階）：
青字は達成、赤字は未達の評価となる「完全実装（Fully Implemented）」「大部分実装（Largely Implemented）」「一部分実装（Partially Implemented）」「未実装（Not-Implemented）」✓MILの評価：
MILはドメイン毎に集計して評価。
ドメインのあるMILのプラクティスを全て実施したら該当MILは「達成」評価となる
右図例だと：
IAMの目標1のMIL1プラクティスa～c(IAM-１a～c)
および目標2のMIL1プラクティスa～c(IAM-2a～c)の全て達成でMIL1、どれか一つでも未達成だとMIL0の評価となる（目標3は「MIL1にプラクティスなし」なので影響しない）
Copyright © 2019 情報処理推進機構

ES-C2M2 プラクティス一覧
MIL プラクティス

MIL3

MIL1

アイデンティティ 2. アクセス制御(2. Control Access)およびMIL2
アクセスの管理
Identity andAccessMIL3Management
(IAM)
MIL1

MIL2

3. 管理アクティビ
ティ(3. Management
Activities)
MIL3

a. アイデンティティが、資産へアクセスを必要とする担当者およびその他エンティティ （例：サービス、デバイス） にプロビジョニングされている （なお、本要件は共有アイデンティティを除外するものではない）
b. クレデンシャル(credential)が資産へのアクセス権を必要とする担当者およびエンティティに発行されている （例：パスワード、スマートカード、証明書、キー）
c. 不要になったアイデンティティは抹消されている
d. アイデンティティのレポジトリが定期的にレビューされ、更新され、正当であることが保証されている（例：アイデンティティがまだアクセス権を必要としていることを保証）
e. クレデンシャル(credential)が定期的にレビューされることで、資格情報が正しい個人またはエンティ
ティに紐付いていることが保証されている
f. 不要になったアイデンティティは組織で定義した制限期間内に抹消されている
g. クレデンシャル(credential)の要件は組織のリスク基準を基にしている （例：リスクの高いアクセスに対しては多要素認証のクレデンシャル要）（RM-1c）a. リモートアクセスも含めてアクセス要件が定められている （アクセス要件は資産と紐付けられ、資産にアクセス権を許可されるエンティティの種別、許可されるアクセスの範囲、および認証パラメータについて指針(guide)が与えられている）
b. 要件に基づきアインデンティティにアクセス権が付与されている
c. 不要になったアクセス権が無効化されている
d. アクセス要件が最小権限と職務分掌の原則に基いている
e. アクセス制御に対する要求が資産オーナーによりレビューされ承認されている
f. root権限、管理者アクセス、緊急アクセス、および共有アカウントには、追加の精査とモニタリングが行われている
g. アクセス権限が組織で定義した頻度でレビューされ、正当であることが保証されている
h. 資産へのアクセス権は、ファンクションに対するリスクに基づき資産オーナーにより付与されている
i. サイバーセキュリティイベントの兆候を示す指標として異常なアクセスの試みがモニターされている
MIL1にプラクティスなし
a. 文書化したプラクティスに従いアイデンティティが確立、維持され、アクセス制御が行われているb. アクセス権およびアイデンティティ管理アクティビティの利害関係者が特定され、関与している
c. アクセス権とアイデンティティの管理アクティビティをサポートするための適切なリソース （人、資金、およびツール） が提供されている
d. アクセス権とアイデンティティの管理アクティビティの情報源となる標準および（/または）ガイドラインが特定されているe. 文書化されたポリシーまたは他の組織的指示により、アクセス権とアイデンティティの管理アクティビ
ティに指針が与えられている
f. アクセス権とアイデンティティの管理ポリシーには、特定された標準および（/または）ガイドライン準拠のためのコンプライアンス要件が含まれている
g. アクセス権とアイデンティティの管理アクティビティが定期的にレビューされ、ポリシーに準拠していることが保証されている
h. アクセス権とアイデンティティの管理アクティビティ実施のための責任と権限が担当者に与えられている
i. アクセス権とアイデンティティの管理アクティビティを実施する担当者は、任じられた責務を遂行するために必要なスキルと知識を備えている

16

ES-C2M2でマネジメント成熟度を把握⚫ MIL（Maturity Indicator Level）に関して✓ （DoE提唱）MIL2,MIL3 の達成等を強制するものではなく、個々の事業者が対策の必要性(脅威）と効果を考え、各社の判断基準※1を定めて改善を行うためのモデル
✓

※１(例)

クレデンシャルの要件は組織のリスク基準を基にしている(IAM-1g)、現在および将来のオペレーションのニーズをサポートするサイバーセキュリティ要員管理目標が策定され、維持されている（WM-3e)＜引用はいずれもMIL3プラクティス＞⚫ ES-C2M2の活用で、サイバーセキュリティのリスクマネジメントにおける観点に漏れがないかの視点でも自己評価が可能⚫ MIL評価を視覚的に把握可• ドーナツチャート（ドメイン各MIL達成状況を表示）
ドーナツチャート中心の数字（24）は当該ドメインにおける MIL1 から
MIL3 までのプラクティス評価総数（MIL1＋MIL2＋MIL3）「完全実装」「大部分実装」「一部実装」「未実装」各評価数の小計を個別記載 ただし、この表示も MIL1から MIL3 までの累計数字
薄い緑（大部分実装：4つのプラクティスが大部分実装されている）
Copyright © 2019 情報処理推進機構

17

ES-C2M2

チェックシートの概要（

例：ドメイン「IAM」）

ES-C2M2
ドメイン

目標

MIL

MIL1

評価結果

プラクティスa. Identities are provisioned for personnel and other entities (e.g., services,a. アイデンティティが、資産へアクセスを必要とする担当者およびその他エンティティ （例：devices) who require access to assets (note that this does not preclude shared

サービス、デバイス） にプロビジョニングされている （なお、本要件は共有アイデンティティ 完全実装

identities)を除外するものではない）

b. Credentials are issued for personnel and other entities that require access to b. クレデンシャル(credential)が資産へのアクセス権を必要とする担当者およびエンティティに
assets (e.g., passwords, smart cards, certificates, keys)

発行されている （例：パスワード、スマートカード、証明書、キー）c. Identities are deprovisioned when no longer requiredc. 不要になったアイデンティティは抹消されている

d. Identity repositories are periodically reviewed and updated to ensure validity

d. アイデンティティのレポジトリが定期的にレビューされ、更新され、正当であることが保証(i.e., to ensure that the identities still need access)されている （例：アイデンティティがまだアクセス権を必要としていることを保証）

コメント

ドーナツチャート

評価結果を選択：（プルダウンメニュー）「未実装」「一部分実装」「大部分実装」「完全実装」

完全実装

完全実装

1.アイデンティティの確立および維持（1. Establish and Maintain

未実装

MIL3

Identities）
MIL2

e. Credentials are periodically reviewed to ensure that they are associated with e. クレデンシャル(credential)が定期的にレビューされることで、資格情報が正しい個人または
the correct person or entity

エンティティに紐付いていることが保証されている

0

未実装

7
f. Identities are deprovisioned within organizationally defined time thresholds
when no longer required

MIL3f. 不要になったアイデンティティは組織で定義した制限期間内に抹消されている

g. Requirements for credentials are informed by the organization’s risk criteria

g. クレデンシャル(credential)の要件は組織のリスク基準を基にしている （例：リスクの高い(e.g., multifactor credentials for higher risk access) (RM-1c)

アクセスに対しては多要素認証のクレデンシャル要）（RM-1c）a. Access requirements, including those for remote access, are determined(access requirements are associated with assets and provide guidance forwhich types of entities are allowed to access the asset, the limits of allowed
access, and authentication parameters)

8

完全実装

25
5

未実装

選択するとプラクティスが色付けされる

5

「未実装」

a. リモートアクセスも含めてアクセス要件が定められている （アクセス要件は資産と紐付けら

未実装

一部分実装

大部分実装

完全実装

れ、資産にアクセス権を許可されるエンティティの種別、許可されるアクセスの範囲、および 完全実装

「一部分実装」

認証パラメータについて指針(guide)が与えられている）

MIL1
b. Access is granted to identities based on requirementsb. 要件に基づきアインデンティティにアクセス権が付与されている

完全実装

c. Access is revoked when no longer requiredc. 不要になったアクセス権が無効化されている

大部分実装

d. アクセス要件が最小権限と職務分掌の原則に基いている

大部分実装

e. Access requests are reviewed and approved by the asset ownere. アクセス制御に対する要求が資産オーナーによりレビューされ承認されている

未実装

f. Root privileges, administrative access, emergency access, and sharedf. root権限、管理者アクセス、緊急アクセス、および共有アカウントには、追加の精査とモニ

accounts receive additional scrutiny and monitoring

タリングが行われている

d. Access requirements incorporate least privilege and separation of duties
principles
2. アクセス制御(2. Control Access)

アイデンティティおよMIL2「大部分実装」「完全実装」MIL2
0

4

びアクセスの管理
Identity and Access
Management

6
一部分実装

16

(IAM)
g. Access privileges are reviewed and updated to ensure validity, at anorganizationally defined frequency

MIL3

MIL1

h. Access to assets is granted by the asset owner based on risk to the function

2g. アクセス権限が組織で定義した頻度でレビューされ、正当であることが保証されている

大部分実装

4
h. 資産へのアクセス権は、ファンクションに対するリスクに基づき資産オーナーにより付与されている

i. Anomalous access attempts are monitored as indicators of cybersecurityi. サイバーセキュリティイベントの兆候を示す指標として異常なアクセスの試みがモニターさ

events

れている

No practice at MIL1

MIL1にプラクティスなし

a. Documented practices are followed to establish and maintain identities anda. 文書化したプラクティスに従いアイデンティティが確立、維持され、アクセス制御が行われcontrol accessている

b. Stakeholders for access and identity management activities are identified and b. アクセス権およびアイデンティティ管理アクティビティの利害関係者が特定され、関与してinvolved

いるc. Adequate resources (people, funding, and tools) are provided to supportc. アクセス権とアイデンティティの管理アクティビティをサポートするための適切なリソース

access and identity management activities（人、資金、およびツール） が提供されている

d. Standards and/or guidelines have been identified to inform access andd. アクセス権とアイデンティティの管理アクティビティの情報源となる標準および（/または）

identity management activities

ガイドラインが特定されている

e. Access and identity management activities are guided by documented

e. 文書化されたポリシーまたは他の組織的指示により、アクセス権とアイデンティティの管理

policies or other organizational directives

アクティビティに指針が与えられている

f. Access and identity management policies include compliance requirements

f. アクセス権とアイデンティティの管理ポリシーには、特定された標準および（/または）ガイ

for specified standards and/or guidelines

ドライン準拠のためのコンプライアンス要件が含まれている

g. Access and identity management activities are periodically reviewed tog. アクセス権とアイデンティティの管理アクティビティが定期的にレビューされ、ポリシーに

ensure conformance with policy

準拠していることが保証されている

h. Responsibility and authority for the performance of access and identity

h. アクセス権とアイデンティティの管理アクティビティ実施のための責任と権限が担当者に与management activities are assigned to personnel

えられているi. Personnel performing access and identity management activities have thei. アクセス権とアイデンティティの管理アクティビティを実施する担当者は、任じられた責務

skills and knowledge needed to perform their assigned responsibilitiesを遂行するために必要なスキルと知識を備えている

未実装
未実装

一部分実装

大部分実装

完全実装

未実装

• チャートはMIL1～MIL3累計表示（MIL3はMIL1,MIL2, MIL3の合計結果を表す）

一部分実装

MIL1

大部分実装

• チャート中心の数字（25）はIAMドメインのMIL1～MIL3 プラクティス
の総数

MIL2

0

大部分実装

1

6

未実装

3. 管理アクティビティ(3. Management Activities)

MIL3

Copyright © 2019 情報処理推進機構

5

完全実装

一部分実装

ドーナツチャート：そのドメインの各MIL（MIL1～MIL3）達成状況
を示す

未実装

一部分実装

大部分実装

完全実装

一部分実装

一部分実装

未実装

18

ES-C2M2 チェックシートのグラフィカルサマリー
10ドメインの評価結果一覧で、ドメインごとの評価バランスが一目でわかる（オリジナル同様）
MIL3

MIL3

MIL3

大部分実装

完全実装

未実装

一部分実装

MIL2

3

完全実装

未実装

大部分実装

完全実装

未実装

未実装

31
8

一部分実装

大部分実装

完全実装

未実装

大部分実装

一部分実装

19

9
1

未実装

一部分実装

MIL1

大部分実装

完全実装

未実装

一部分実装

MIL1

0

6

大部分実装

完全実装

未実装

一部分実装

0
4

6

11

完全実装

未実装

一部分実装

大部分実装

完全実装

未実装

一部分実装

大部分実装

大部分実装

MIL1

0

0
1

完全実装

未実装

一部分実装

6

MIL
評価

一部分実装

大部分実装

完全実装

未実装

一部分実装

大部分実装

完全実装

未実装

一部分実装

大部分実装

完全実装

未実装

大部分実装

大部分実装

完全実装

未実装

一部分実装

大部分実装

未実装

一部分実装

大部分実装

完全実装

未実装

一部分実装

完全実装

未実装

一部分実装

MIL2

MIL2

0

完全実装

未実装

完全実装

未実装

大部分実装

緑：完全実装完全実装

MIL2

薄緑：大部分実装

1

9

19

11

8

21

大部分実装

完全実装

未実装

一部分実装

0

大部分実装

完全実装

未実装

11

1

2

大部分実装

完全実装

未実装

濃赤：未実装

1

1

一部分実装

完全実装

4

6

2
一部分実装

大部分実装

MIL1

0

1

ピンク：一部分実装

一部分実装

MIL1

4
未実装

大部分実装

4

4

完全実装

一部分実装

19

5

一部分実装

1
1

31

7

22

大部分実装

1

3
完全実装

38

MIL1

12

2

一部分実装

大部分実装

19

MIL1

1

16
17

（凡例）

MIL3

4 1

4

2

2

0

一部分実装

5

11

28

2
未実装

未実装

6

MIL1

3

完全実装

MIL2

5

MIL3

1

30

26

6

4

MIL3

7

3

4

4

52

1

6

1

大部分実装

MIL2

0
2

6

未実装

0

一部分実装

MIL1

1

2

完全実装

5

12

6

6

5
完全実装

大部分実装

16

10

8

22

MIL2

4

MIL3

6

6

5

8

MIL2

5

16
1

一部分実装

1

完全実装

MIL2

2

MIL1

大部分実装

MIL3

5

8

3

11

5

5

0

2

33

0

5

MIL1

1

一部分実装

15
3

一部分実装

大部分実装

MIL2

13

未実装

25
3

4

4

11

10

MIL3

7

8

7
3

3

MIL2

12

26

7

5
一部分実装

MIL3

5

11

24

4

未実装

MIL3

4

4

大部分実装

完全実装

未実装

1

一部分実装

大部分実装

RM

ACM

IAM

TVM

SA

ISC

IR

EDM

WM

CPM

リ
ス
ク
管
理

資
産
・
変
更
お
よ
び
構
成
管
理

おア
よイ
びデ
アン
クテ
セィ
ステ
のィ
管
理

脅
威
お
よ
び
脆
弱
性
管
理

状
況
認
識

シ情
ョ報
ン共
有
・
コ
ミ
ュ
ニ
ケ
ー

対イ
応ベ
とン
業ト
務・
継イ
続ン
シ
デ
ン
ト

おサ
よプ
びラ
外イ
部チ
依ェ
存ー
性ン
管
理

要
員
管
理

プサ
ロイ
グバ
ラー
ムセ
管キ
理ュ
リ
テ
ィ

1

1

0

2

1

1

0

0

3

0

完全実装

濃赤（未実装）とピンク（一部分実装）がある場合、そのドメインの当該MILについては達成していないとみなす
上記の例では、各ドメインは以下の評価になる
MIL 3 のドメイン： WM
Copyright © 2019 情報処理推進機構

MIL 2 のドメイン： TVM

MIL 1 のドメイン： RM, ACM, SA, ISC

MIL 0 のドメイン： IAM、IR、EDM、CPM

19

ES-C2M2は自己評価ツール（汎用的に活用可能）－

PDCA改善活動のファーストステップに －⚫ リスクマネジメントのPDCAサイクル点検改善フェーズ活動支援• 自組織のリスクマネジメントの成熟度を分析・把握⚫ 成熟度評価から補強が必要な分野を特定し改善につなげる• 客観的に未成熟レベルのドメイン(分野)を把握• ドメインごとの改善活動を導入し、再評価をして効果測定ができる⚫ C2M2なら補強すべき具体的な方向性も把握できる• 未成熟レベル判定のプラクティス ⇒ 満たせば成熟度レベルアップ⚫ ES-C2M2とほぼ同じ内容で、ONG-C2M2（Oil&Gas）、B-C2M2（Building）があるが、ES-C2M2を他業種重要インフラ事業者や制御システム所有者が参照しても有用• 汎用的なツールとして活用が可能
Copyright © 2019 情報処理推進機構

20

C2M2 / ONG-C2M2 / ES-C2M2 との差異比較
プラクティスにおける差異は「情報源」「報告先」等の記載のみ（ONG-C2M2はC2M2と全く同じ）
C2M2
ONG-C2M2
ES-C2M2
ES-C2M2プラクティス訳
a. Information sources to supporta. Information sources to supporta. Information sources to supporta. 脅威管理のアクティビティをサポート
TVM 1. 脅威の特定と対応（1. Identify andthreat management activities are
threat management activities are
threat management activities are
するための情報源が洗い出されている
Respond to Threats）
identified (e.g., US-CERT, various identified (e.g., US-CERT, various identified (e.g., ES-ISAC, ICS-CERT, （例：E-ISAC、ICS- CERT、US-CERT、
MIL1
critical infrastructure sector ISACs, critical infrastructure sector ISACs, US-CERT, industry associates,
業界団体、ベンダー、連邦による情報提ICS-CERT, industry associations,ICS-CERT, industry associations,vendors, federal briefings)
供の場）
vendors, federal briefings)
vendors, federal briefings)
2. サイバーセキュリティ
a. Information sources to supporta. Information sources to supporta. Information sources to supporta. サイバーセキュリティの脆弱性の発脆弱性の低減策
cybersecurity vulnerability discovery cybersecurity vulnerability discovery cybersecurity vulnerability discovery 見をサポートするための情報源が洗い（2. Reduce
are identified (e.g., US-CERT,
are identified (e.g., US-CERT,
are identified (e.g., ES-ISAC, ICS- 出されている （例：E-ISAC、ICS- CERT、
Cybersecurity
MIL1 various critical infrastructure sector various critical infrastructure sector CERT, US-CERT, industry
US-CERT、業界団体、ベンダー、連邦に
Vulnerabilities）
ISACs, ICS-CERT, industry
ISACs, ICS-CERT, industry
associations, vendors, federal
よる情報提供の場、内部評価）
associations, vendors, federal
associations, vendors, federal
briefings, internal assessments)
briefings, internal assessments)
briefings, internal assessments)b. Responsibility for cybersecurity
b. Responsibility for cybersecurity
b. Responsibility for cybersecurityb. サイバーセキュリティの報告義務のISC 1. サイバーセキュリティ
情報の共有
reporting obligations are assigned to reporting obligations are assigned to reporting obligations are assigned to 責任が職員に割り当てられている （内（1. Share
MIL1 personnel (e.g., internal reporting,personnel (e.g., internal reporting, personnel (e.g., internal reporting, 部報告、DOE Form OE-417、 E-ISAC、
Cybersecurity
ICS-CERT, law enforcement)
ICS-CERT, law enforcement)
DOE Form OE-417, ES-ISAC, ICS- ICS-CERT、法令など）
Information）
CERT, law enforcement)c. Reporting of escalatedc. Reporting of escalatedc. Reporting of escalatedc. エスカレーションされたサイバーセ
IR 3. インシデントとエスカ
レーションされたサイバー
cybersecurity events and incidents is cybersecurity events and incidents is cybersecurity events and incidents is キュリティイベントとインシデントの報告
セキュリティイベントへの
performed (e.g., internal reporting, performed (e.g., internal reporting, performed (e.g., internal reporting, が実施されている （内部報告、DOE
対応
ICS-CERT, relevant ISACs)
ICS-CERT, relevant ISACs)
DOE Form OE-417, ES-ISAC, ICS- Form OE-417、 E-ISAC、ICS-CERTな
MIL1（3. Respond to
CERT)
ど）Incidents andEscalated
Cybersecurity Events）

ドメイン

目標

MIL

※「ES-ISAC」は「E-ISAC」に名称変更した

Copyright © 2019 情報処理推進機構

21

各資料公開情報⚫ ES-C2M2（NERC CIP、NIST IR 7628の簡単な説明資料もある）

https://www.ipa.go.jp/security/controlsystem/usenergy.html⚫ NIST CyberSecurity Framework（NIST CSF）
およびNIST SP800-53
https://www.ipa.go.jp/security/publications/nist/index.html⚫ NIST SP800-82
https://www.jpcert.or.jp/ics/information02.html（2020年1月時点）
Copyright © 2019 情報処理推進機構

22

（参考）リスクマネジメントの方法論
IEC62443制御セキュリティの考え方
CSMS
IEC62443-2-1
セキュリティマネジメント
CSMS
Cyber Security Management System
国際標準IEC 62443-2-1で規定される
産業用制御システムのセキュリティマネジメントに対する
組織認証

SSA
IEC62443-3-3
セキュアなシステム

SSA
System Security Assurance
国際標準IEC 62443-3-3で規定される
産業用制御システムに対するセキュリティ要件に沿ったシステム認証EDSA
IEC62443-4-1, 62443-4-2
コンポーネントのセキュリティ

EDSA
Embedded Device Security Assurance
国際標準IEC 62443-4-1および4-2で規定される産業用制御システムのセキュリティに対するコンポーネント認証⚫ ベンダーの思想や体制などによってもセキュアなシステムを構築する手段や方法論に差が生じたり、対策機能の導入や、設定が難しかったりする制御システムは、セキュリティマネジメントを前提としたデプロイメントとオペレーションを必要とする

Copyright © 2019 情報処理推進機構

23

IEC62443参照アーキテクチャと分割アーキテクチャ（

DMZ構築と侵入されにくい構成の参考）

防御対策が難しい制御システムのセキュリティは①「リスクマネジメント」（分析したリスクへの対応をどのように行うか）②「インシデント対応体制整備」 （誰の権限／責任でリスク対応を行うか）③「セキュアなシステム構築」（できるだけ侵入に時間を要し、脅威を検知し易く、運用がし易い）が重要①の1st step に：• 「制御システムのセキュリティリスク分析ガイド」を活用②の参考に：• IEC62443-2-1 (CSMS)（①のマネジメント方法も含めて）③の参考に：• 標題のアーキテクチャ（以前は“Zone”“Conduit”と呼ばれた）• 詳細はIEC62443-2-1 Figure A.8 などにも記載がある（将来的にはIEC62443-3-2が発行される予定）※IEC62443の内容は著作権の関係で引用不可のため、各自で購入が必要
Copyright © 2019 情報処理推進機構

24

～最後に～⚫ 本件に関するお問い合わせ・・・
セキュリティセンター セキュリティ対策推進部
脆弱性対策グループ
isec-ics@ipa.go.jp

Copyright © 2019 情報処理推進機構

25