Japan Computer Emergency Response Team Coordination Center

重要インフラセキュリティフォーラム
2010年1月25日

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer
Emergency Response Team Coordination Center, cn=Japan Computer EmergencyResponse Team Coordination Center
日付 : 2010.02.01 10:24:02 +09'00'

重要社会インフラのための制御システム・セキュリティ強化に向けたガイ ド

JPCERTコーディネーションセンター

2目次 「重要社会インフラのための制御システム(PCS)のセキュリティ強化ガイド」について
 プロセス制御システム(PCS； Process Control Systems)
 PCSとは ITシステムとPCSの比較
 ITシステムとPCSの結合
 PCSのセキュリティの重要性

 推奨事項 推奨事項の説明に関する基本方針 PCSのセキュリティ強化に関する推奨事項
 まとめ

Copyright® 2010 JPCERT/CC All rights reserved.

重要社会インフラのための制御システム(PCS)のセキュリティ強化ガイド

 スウェーデンの緊急管理庁
が民間専門家の協力を得て開発• 緊急管理庁(SEMA; KBM)はその後，公衆非常庁(SCCV;MSB)に移管統合された
SCCV: Swedish Civil Contingencies
Agency
MSB: Myndigheten för samhäll ochberedskap

CPNI(英)の制御システム・ガイドラインがベース• NIST(米)のSP800-82

 JPCERT/CCがSEMAの許可を得て邦訳し公開
Copyright® 2010 JPCERT/CC All rights reserved.

4

制御システムとは(PCS； Process Control Systems)

Copyright® 2010 JPCERT/CC All rights reserved.

5

PCSとは

 重要社会インフラをはじめとする様々な分野では、コンピュータベースのシステムが物理的プロセスの監督・制御を行っている
 上記のようなコンピュータベースのシステムをPCS(プロセス制御システム)という使われている分野の例
電力, 鉄道, 航空, 水道, ガス,農業, 製造業, 化学, 石油, etc.

Copyright® 2010 JPCERT/CC All rights reserved.

6

ITシステムとPCSの比較

本ガイドの表1(経営管理用ITシステムとPCSとの重要な相違点)より抜粋、一部改訂

分類

ITシステムPCS

パフォーマンスの要件

非リアルタイム

リアルタイム

リスクマネジメント 業務運営の中断がの要件
最大のリスクサービス
稼働期間

人命、処理設備、操業能力の喪失にかかわる大きな リスクがある

コンポーネントとシステム コンポーネントとシステムのの稼働期間は短い
稼働期間は長い(3～5年)(15～20年)

両者は性質が違う
Copyright® 2010 JPCERT/CC All rights reserved.

7

ITシステムとPCSの結合

PCS

オープンなIT技術(システム、ネットワークなど) サイバー攻撃

PCSの世界にIT技術が導入されましたコスト面、生産性が向上した
PCSの世界にIT技術を経由してサイバー攻撃がされはじめたPCSの運用に支障をきたすケースが発生した
Copyright® 2010 JPCERT/CC All rights reserved.

8

PCSのセキュリティを考える理由

 PCSに対するサイバー攻撃が脅威となりつつあるから➡ サイバー攻撃による影響が運用上の不都合になる可能性がある

 PCSが高可用性システムであるから➡ 定常的に運用するため、運用中の設定変更や更新作業が避けられている

 PCSのセキュリティ要件の検討作業が必要であるから➡ IT技術のセキュリティとの間に文化的な摩擦が生じている

Copyright® 2010 JPCERT/CC All rights reserved.

9

推奨事項

• CPNI(英国)などの国際的に認知されたガイドラインに整合• 実践的なプロジェクトを通じて得られた経験を反映• PDCAサイクル・モデルに関連付けて整理

Copyright® 2010 JPCERT/CC All rights reserved.

10

PCSのセキュリティ強化に関する推奨事項(1/4) (Plan:計画)明確化・確立
1.
2.
3.
4.

PCSのセキュリティに関する役割と責任範囲を明確化せよ
PCSの調査とリスク分析の実施に関するプロセスを確立する
PCSの変更管理に関するプロセスを確立せよ
PCSの緊急時対応計画とインシデント管理に関するプロセスを確立せよ
5. PCSのセキュリティ要件を，すべての計画・調達作業に当初から定義し，適用せよ

Copyright® 2010 JPCERT/CC All rights reserved.

11

PCSのセキュリティ強化に関する推奨事項(2/4) (Do:実行)

導入・実装
1. 良質のセキュリティ文化を醸成し，PCSにおけるセキュリティの必要性に関する意識を向上せよ
2. PCS内に複数の防護層を形成せよ(多層防御)
3. ホスト型及びネットワーク型侵入検知・インシデント監視手段をPCSに24時間体制で導入せよ

Copyright® 2010 JPCERT/CC All rights reserved.

12

PCSのセキュリティ強化に関する推奨事項(3/4) (Check:評価)

分析・監査
1. PCSのリスク分析をシステム変更や環境の変化に合わせて実施する
2. PCS及び接続されたネットワークに対し，技術的なセキュリティ監査を定期的に実施する
3. PCSの物理的なセキュリティを継続的に評価する

Copyright® 2010 JPCERT/CC All rights reserved.

13

PCSのセキュリティ強化に関する推奨事項(4/4) (Act:改善)

維持・是正
1. PCSで発生するインシデントの経過を追跡管理し，組織外で起きたセキュリティ問題の情報を収集分析する
2. ユーザグループや標準化機関等との間に，PCSのセキュリティ強化を目的としたコミュニティを構築する
3. PCSに対する接続のルールを議論し，安全な運用を維持する
4. システムベンダの協力のもと，PCSを堅牢化及びアップグレードする
Copyright® 2010 JPCERT/CC All rights reserved.

14

推奨事項 - Plan(計画) (1/5)

PCSのセキュリティに関する役割と責任範囲を明確化する
失敗事例：
システムが悪意のあるコードに感染した．
しかし，その対応について誰にどのような権限が不えられているのかが分からなかったため，誰も何もできなかった．
その結果，被害の拡大防止措置が遅れ，運用に大規模な悪影響が出てしまった．
Copyright® 2010 JPCERT/CC All rights reserved.

15

推奨事項 - Plan(計画) (2/5)

PCSの調査とリスク分析の実施に関するプロセスを確立する
失敗事例：
リスクア・セスメントを怠っていたため，重要なPCSが保護されていない状態に置かれたままだった．
他方で，重要ではない情報リソースの保護に必要以上のリソースが費やされていた
Copyright® 2010 JPCERT/CC All rights reserved.

16

推奨事項 - Plan(計画) (3/5)

PCSの変更管理に関するプロセスを確立する
失敗事例：
ベンダがテスト・システム上でシステム変更の検証をしたが，そのテスト・システムの構成が実稼働環境と異なっていた．
後日，その変更を実稼働環境に適用すると，予期しない事態が発生してPCSが丌安定になってしまった．
Copyright® 2010 JPCERT/CC All rights reserved.

17

推奨事項 - Plan(計画) (4/5)

PCSの緊急時対応計画とインシデント管理に関するプロセスを確立する

失敗事例：
深刻な障害が発生し，PCSを完全に復旧せざるを得なくなった．バックアップは定期的に実施されていたが，バックアップテープの取扱いが丌適切で，復旧丌可能なほどテープが劣化していた．また，障害に関する報告がなく，分析作業が行えなかった．
Copyright® 2010 JPCERT/CC All rights reserved.

18

推奨事項 - Plan(計画) (5/5)

PCSのセキュリティ要件を，このすべての計画・調達作業に当初から定義し，適用する失敗事例：
調達時にセキュリティ要件を考慮しなかったため、別の発注が必要になり，追加コストが発生した。
加えて，導入後のセキュリティソリューションの品質が低く，複雑な設計となった．
Copyright® 2010 JPCERT/CC All rights reserved.

19

推奨事項 - Do(実施) (1/3)

良質のセキュリティ文化を醸成し，PCSにおけるセキュリティの必要性に関する意識を向上する
失敗事例：
定形的な運用状況下で，負荷が小さい時間帯に自分用のコンピュータを使ってスポーツ中継の視聴やチャットを行った．
その結果，そのコンピュータにスパイウェアが感染し，システムが使用丌能になった．
Copyright® 2010 JPCERT/CC All rights reserved.

20

推奨事項 - Do(実施) (2/3)

PCS内に複数の防護層を形成する(多層防御)
失敗事例：
ファイアウォールを導入したが，別のセキュリティ保護のない接続を介してワークステーションをインターネットに接続した結果，侵入されてしまった．
Copyright® 2010 JPCERT/CC All rights reserved.

21

推奨事項 - Do(実施) (3/3)

ホスト型及びネットワーク型侵入検知・インシデント監視手段をPCSに24時間体制で導入する失敗事例：
IDS(侵入検知システム)が，PCSで使われる特殊な通信プロトコルを理解するように設計されていなかったため，攻撃や攻撃試行の検知ができなかった
Copyright® 2010 JPCERT/CC All rights reserved.

22

推奨事項 - Check(評価) (1/3)

PCSのリスク分析をシステム変更や環境の変化に合わせて実施する

失敗事例：
リスク分析の見直しを年に1回しか実施しなかったため，最近実施された大幅なシステム変更がリスク分析に反映されていなかった．このため，実際には変更後にミッション・クリティカルである制御システムのアクセス権限に対する要件が低いまま放置されていた．
Copyright® 2010 JPCERT/CC All rights reserved.

23

推奨事項 - Check(評価) (2/3)

PCS及び接続されたネットワークに対し，技術的なセキュリティ監査を定期的に実施する失敗事例：
PLCのテストを実稼働環境内で実施した．
テストの影響で，装置の状態が丌安定になり，制御コマンドを取りこぼしたり，正常に動作しなくなったりした．
Copyright® 2010 JPCERT/CC All rights reserved.

24

推奨事項 - Check(評価) (3/3)

PCSの物理的なセキュリティを継続的に評価する
失敗事例：
PCS用のノートPCを無断で自宅に持ち帰った．
子供が，そのPCでオンラインゲームをした際に，悪意のあるコードに感染した．
翌日，PCを検疫せずにPCSネットワークに接続したため，ファイアウォールの内側で悪意のあるコードが感染を拡大してしまった．
Copyright® 2010 JPCERT/CC All rights reserved.

25

推奨事項 - Act(改善) (1/4)

PCSで発生するインシデントの経過を追跡管理し，組織外で起きたセキュリティ問題の情報を収集分析する
失敗事例：
インシデントの報告書がないため，セキュリティに関連する既存の作業の欠陥を見つけられなかった．。
その結果，ささいな誤操作がPCSの運用に被害や機能停止をもたらした．
Copyright® 2010 JPCERT/CC All rights reserved.

26

推奨事項 - Act(改善) (2/4)

ユーザグループや標準化機関等と，PCSのセキュリティ強化を目的としたコミュニティを構築する
失敗事例：
標準化活動やセキュリティ対策活動が，ベンダやユーザの経験を反映させることなく進行したため，現場の実態から乖離したセキュリティ要件が策定された．
Copyright® 2010 JPCERT/CC All rights reserved.

27

推奨事項 - Act(改善) (3/4)

PCSに対する接続のルールを議論し，安全な運用を維持する
失敗事例：
PCSとイントラネットの間に，公式には知られていない接続が存在した．
ある部門のコンピュータがワームに感染し，イントラネット上へ広がった際に，感染がPCSにまで広がり，運用が中断された。
Copyright® 2010 JPCERT/CC All rights reserved.

28

推奨事項 - Act(改善) (4/4)

システムベンダの協力のもと，PCSを堅牢化及びアップグレードする
失敗事例：
制御システムに精通していない人員にシステムの堅牢化を担当させた．
その結果，滅多に使われないが必要丌可欠なコンポーネントが丌用意に削除されてしまい，システムが丌安定になった。
Copyright® 2010 JPCERT/CC All rights reserved.

29

まとめ
セキュリティ対策の考え方の基本は，情報システムにおける対策と同じ制御システム固有の難しさを理解した上で，セキュリティ対策を検討することが必要— 制御システム担当部門とセキュリティ担当部門の交流を！
— 制御システムまで情報セキュリティ・ポリシーと施策の拡大を！

制御システム(中身自体と他のシステムとの関係)の進化に注意— 定期的なリスク評価の見直しを！
— 制御システム更改時にセキュリティ要件を織り込め！

Copyright® 2010 JPCERT/CC All rights reserved.

30

ご清聴ありがとうございました
謝辞：
この講演資料は，中央大学大学院理工学研究科の巴洋一さんが「ISSスクエア」のインターンシップの活動の中で作成されたものをベースとしています．

Copyright® 2010 JPCERT/CC All rights reserved.

Q&A
参考資料：
JPCERT/CCのウェブ・ページ(http://www.jpcert.or.jp/)の「制御システムセキュリティ」のコーナーをご参照ください．

Copyright® 2010 JPCERT/CC All rights reserved.

31