制御ベンダ／装置ベンダ／Sierに求められるセキュリティ対策についての提言制御システムセキュリティ検閲タスクフォース官及客雑WG座長IAF/VEC事務局長村上正忠
o
1977年～1991年:日本へーレー株式会社のシステムエンジニア
–火力発電所のボイラ自動制御装置、プラント監視制御装置のシステム設計:広野2号、苫小牧1号、渥美3/4号、知多第二火力1/2号、東扇島1号、秋田、東新潟、川内、仙台、西名古屋、海南、新小倉、阿南、御坊、姉ヶ崎、五井、袖ヶ浦、高砂、松島、下関、玉島、尼崎、伊達、勿来、港、海外プラントなどの建設、改修などを担当空気式制御装置⇒電子式アナログ制御装置⇒DDC(16bit⇒32bit⇒64bit)高速故障診断装置を企画、開発、37セット納入o 1991年～1994年:画後処理VMEポードメーカーに従事–大型カラー印刷機の画像処理、大蔵省印刷局の検査装置などのシステムコンサルティング1994年～現在:株式会社デジタル– SCADA製品の事業戦略企画推進担当– SE部長1999年～現在VEC事務局長O現在担当している農産化団体- ・省及尾第ワーキング座長日本OPC協議会企画副部会長PLCopen  Japanの幹事ﾒﾝﾊﾞｰ、OPC WG主査–  IAF (Industrial Automation Forum)連営委員会幹事NECA :プログラマブル表示器専門技術委員会委員グリーンIT推進協議会正会員–日本能率協会主催計装制御技術会議企画委員会委員、などO
o大きな事故にはつながっていないが、現場の制御システムにまで警戒が来ている現実●サイバー攻撃により企業が抱えるリスクは高くなっている。 ●　制御システムセキュリティ対策を施していく必要がある。実被害金額の昆算は、生産機業できなかったことで失った売り上げ金額と復旧工事費用とそれに関わった人伴費の総額になる。復旧に時間がかかればかかるほど大きくなる。
トータルリスク管理項目例
の災害勃発o地震、津波、火山活動、洪水による直接／間接被害o災害によるインフラ機能停止・就業不可●サプライチェーン支障o戦時・クーデター・政変による素材調達／流通不可○価格高騰oストライキ●爆発、火災勃発●サイバー攻撃による被害⇒ 撮業停止による損害●感染症流行・米国では、原子力発電所から化学工場、水道施設がサイバー攻撃されている。 ・サイバーテロ集団組織が増えている。 ・日本国内でも、実被害が出ている。 ・石油プラントの生産情報管理系サーバーがマルウェアに污染され、10日間ほど生産停止。 •半導体工場で生産監視制御系ネットワークのPCがマルウェアに汚染され、復旧作業に1ヶ月間ほど要した。 •企業の生産機密情報が海外のサイトに出ていた。
業界内シェアが高い制御システム製品ほど社会的影響が大きい。 2011年・防衛産業の日本企業の約80台のサーバーやバソコンから50以上のウィルスに感染した。 ・Stuxnetがサイバー兵器として応用されている。 2010年•Stuxnet登場イランのウラン濃縮施設の遠心分離機の制御装置8400台のうち、4600台ほどが、Stuxnetによって、故障停止させられた。フィンランドのウラン濃縮施設も同じ制御システムであったことで、被害受ける。 2009年以前・2003年1月、米国Davis Besse原子力発電所のシステムをSlammerが停止させた。 2003年3月ハツキングによって、100台以上の車が動かなくなる。 2003年8月、米国東部の鉄道の信号管理システムがW32/Blasterに感染し、列車を停止させる。 2005年8月、ダイムラークライスラーの１３の自動車工場をZotobワームが操業停止に追い込む。
の市場混乱、社会混乱� �競合攻撃、株価操作競合情報を入手･売却◇ 企業機密情報搾取してコピー製品を造る企業へ売却。 ( )
♦ 
企業機密情報を搾取: Duqu ♦     製造製品開発機密情報、制御製品機密情報
企業機密情報を書き換え:ワーム、マルウェア制御操作して制御施設を破壊: Stuxnet
�制御システムが暴走、停止
Peer to Peer通信で双方向の情報を最新に上げていくことでC＆C Serverの指令を伝達する方法つまり、C&Cサーバからの指令をStuxnet同士で伝え合う。最新指令を伝達する機能がある。 Stuxnet攻撃例独シーメンス社製遠隔監視ソフトウェア(SIMATIC WinCC or SIMATIC PCS 7)の脆弱性を悪用して、 SQLコマンド経由でSIMATIC WinCCあるいは、 SIMATIC PCS 7の稼働するWindowsシステムに感染独シーメンス社製ソフトウェア(SIMATIC STEP 7)を悪用して、PLC (プログラマブルロジックコントローラ)に悪質なコードの書き込み独シーメンス社製エンジニアリングツール(SIMATIC STEP 7)を悪用して、PLC (プログラマブルロジックコントローラ)に悪質なコードの書き込みUSBメモリUSBメモリやインターネットを通じた情報システムへのウイルス感株(a)USBなどのリムーバブルメディア経由(b)ネットワーク経由(c)ファイル共有経由(d)感染PCにおいて権限昇格制御システム上にある装置に対する攻撃の実行
1.現場の防衛の支えとなるベンダの役割制御製品に求められるセキュリティ対応2. 3.製品開発の品質保証に求められるセキュリティ対応制御製品開発環境の健全性4. 5.現場へのサービス対応についてインシデント対応時のベンダへのお願い6.極めの制御システムセキュリティ対策とは、? 7. 1.現場の防衛の支えとなるベンダの役割社会インフラ、ライフライン、基幹産業の安全を支えている供給ベンダの役o割は、重い。その業界内でシェアが高いほど、重要制御製品対象となる。 .
現場所有力アップにつながるものが欲しい。 SSATは、セキュリティ認識を持って対処できるかの評価ツールo現場で欲しいのは、現場の実践的防衛力アップにつながるツール:どのような取組みが必要かをまとめたものがあって、それを身につけさせてくれて、内容を理解したかどうかの確認ツール事業リスクの理解継続した管理をしているか防御体制の質マルウェア対策認識内部からの脅威認識セキュリティ管理レベルバックアップと回復のしなりお物理的セキュリティ管理対応能力の確立サードパーティ•リスク管理プロジェクトへの参画■ 2017年・プロセス製造組織要件調達関係セキュリティ機能要件受入テスト要件メンテ／保守要件道用管理レベルを平面する世界レベルとのは数万年レベルをおけるには、トレーニングセンターで学者
カイゼンできる人を育てる
サイバー攻撃リスクに対する投資が重要であることIEC62443の知識と現場の応用力強化制御製品の脆弱性情報現場でのインシデント対応設計セキュリティ対策した制御システム設計と管理の手法作業上のセキュリティ認識アップ作業上のビールス感染を防ぐことと不具合発見でセキュリティ問題の可能性を含むという認識現場の基本的所衝力アップ全員がトレーニングを受けるには、時間も経費もかかる。そんなら省は無い。ボードマン、フィールドマンやメンテナンス作業者に求めるセキュリティ問題理論は、作業上のピールス感染を防ぐことと不具合発見でセキュリティ問題の可能性を含むという動物
制御システムエンジニアリングの実務的防衛力アップにつながる技術を身につけたい現場の制御システムの実践的防衛力アップo健全なエンジニアリング環境の確保⇒整備⇒管理o実践的インシデント対応技術とその対応作業のための制御システム設計手法O
前御システムを平面する
ITBC62443-1 ・・・コンセフトIIEC62443-2会社・連邦・ブロセス製造組織要件セキュリティ機能要件受入テスト受件メンテ／保守要件ITBC62443-3通信プロトコル外部インターフェーフシステム設計政府ITBC62443-4コンポーネント・デバイス野園ツール: Achilles世界レベルとの比較が可能レベルをおげるには、トレーニングセンターで学者制御システムセキュリティ技術にも、国際的競争力が求められる。前御システム前御システムを改善する新たな問題への経営者の理解IEC62443の知識と現場の改善手法制御製品の脆弱性情報制御製品のセキュリティ対策情報制御システムインシデント対応技術安全操業を継続するためのセキュリティ対策強化した制御システムの設計方法と管理方法エンジニアリング環境の健全化日本の耐糖エンジニアリングは、星際的にも評価が高い。そこに実践的セキュリティ対策を施した制御システム設計エンジニアリング力を身につけて事故にビジネスを継続したい。
サイバー政策に対処できる制御製品事業クリーンな制御製品開発環境の整備サイバー攻撃を想定した品質検査高度セキュア化技術の制御製品応用インシデント対応の情報公開対応制御製品を予価するIIEC62443-1 ・・・ ITBC62443-2管理・連用・プロセス製造組織要件セキュリティ機能要件受入テスト受件メンテ／保守要件ITPC62443-3海岸フロトコル外部インターフェースシステム設計を新IEC62443-4コンポーネント・デバイス野町ツール: Achilles制御礼日セキュリティ対応報化制御製品を開発する国内外で通用する日本優位の制御幾品期発とサービスIEC62443の知識と制御製品のセキュリティ対応強化対策高セキュア化基礎技術情報インシデント情報サイバー攻撃方法の最新情報認証試験情報、評価ツール情報業界別ユーザーセキュア基準情報ビジネス上必要となる国際標準規格の最新情報制御製品開発環境の健全化整備Sierやユーザーへの取り扱いガイドラインを出して、正しい戯品管理を公表していく。
.どうあれば良いか。(あるべき祭)
● • .制御システム・セキュリティアセッサできる人花種成•インシデント対応トレーニングと識別ツールとコンサルティング
●制御システムセキュリティ・アセッサ
生産現場を始めとする機械設備や生産システムのリスクアセスメントを実施し、維持するために、現場の安全性を確保しながら、制御システムセキュリティ対策の妥当性を確認できる人材を育成●セキュリティ・アセッサ・ベーシック制御現場の制御システムセキュリティについての健全性を確保しながら、現場作業できる教育を受けた人材⇒現場で作業する人を対象●セキュリティ・サブアセッサ制御システムセキュリティアセッサの基礎知識を習得している人材⇒現場改善に取り組む人を対象制御システムセキュリティ対策の妥当性確認に必要な基礎知識及び能力において、一定レベル以上の能力を有しているかの適格性を確認された者●セキュリティ・アセッサセキュリティサブアセッサの知識を持ち、発揮できる人材⇒現場改善に取り組むシニアを対象サブアセッサ資格の能力に加え、「更に、幅広い専門知識による制御システムセキュリティ対策の妥当性判断の総合力」の能力を有しているかの適格性を確認された者●セキュリティ・リーダー・アセッサアセッサのリーダーとして第三者評価ができる人材⇒現場改善内容を確認する責任者を対象「第三者として制御システムセキュリティ対策の妥当性を評価する総合力」の能力を有しているの適格性を確認された者制御システムと制御製品のセキュリティ胶和機関と第三者都至官装成ユーザー企業によるペンダ／SIer・オーデイット
•普及・啓発対象者によって認識して欲しいことが異なるので、訴求点を明確にする。 ◆　縦の層:経営者向け、ミドル向け、現場向け◆　横の層:ユーザ向け、コンポーネント・ベンダー向け、Sier向け◆ドメイン:電力、ガス、石油、化学、交通、水道、医薬品、半導体、工作機械、自動車
oをコリテプロダカト／サービスのオーナーをおく–制御鍵品のセキュリティにおける企画から保守に至るまで全集性を取るー社内セキュア管理の知識と実様の教育システムO社会インフラ、ライフライン、基幹産業の現場を支える制御製品であるか？ :セキュア製品に関するマーケティングの重要性– IEC62443を使用御殿后におたる・ユーザー指定の制御システムセキュリティ試験で合格し、安心を提供－試験を受けるのにコストがかかる。 ⇒ セキュア対策報品の価格が上がる–ユーザーは、サイバー攻撃で被災し、工場提案停止する損害と比較検討して妥当な金額であるかを見る。 ・サイバー政策に強い制御製品・インシデント対応の情報公開対応-  麻雀に対する俄羅羅人任⇒ 信頼、安心– IEC624432文藝制御製品にあたらない・今までと変わらない– PL法、業界規制、RoHS、 •ユーザー向けに– 「セキュリティ対策の制御製品取り扱いガイドライン」 2.制御製品開発に求められるセキュリティ対応・サイバー攻撃に強い制御襲品とは？重要インフラの制御システムに使用される制御製品Oに求められることとは？:ISA   Secure計装・計測制御エンジニア以外の方のためにどんな世界の話をしているのかちよっとだけ、予備知識として寄り道します。
PID制御の基本式と伝達関数の式PID制御の基本式V 1 =K p (e+ 4) edt+T d  dt )+Vo PIDの伝達與数1 C(s)= V(s)=Kp(1+Tr+s +Td+s)田郡形町のアルゴリズム制御は、被害分演算を扱うので、制御量のサンプリングと演算とコマンド出力の処理が時間軸に対して正確であることが大切。 V1:操作量V0:操作量の初期値e:帰差KP:比例ゲインTI:積分時間TD:微分時間s:ラプラス演算子SP :セットポイント決まった時間周期で演算することで制御が成り立っている。だから、制御では、リアルタイムにタイムスライスしていることが、必須条件
制御は、微法分演算を扱うので、制御量のサンプリングと演算とコマンド出力の処理が時間軸に対して正確であることが大切。 100msec局乗
個法有力量リアルタイムOSイベントへの対応を要求時間内に実行優先度ベースのスケジューリングがされるため、優先度の高いイベントが頻発した場合、優先度の高いプログラムのみが実行される■ RTOS (リアルタイムOS)とはリアルタイム性:単に計算処理速度が速い、レスポンス時間が短いということではなく、システムが定められた時間要件を満たして動作すること。 RTOSの機能・マルチタスク機構•タスク間同期(通信機能) ・割り込み管理・時間管理・メモリ管理制御コンフィギュレーションツール用PC汎用OS TSS、ラウンドロビン:コンピュータ全体のスルーブット日TSSにも優先順位は存在するが。優先順位の低いプログラムにもかならずCPU使用権が行く様、スケジューリングされる
シンプルなSCADA構成50msec周期冗長化可能なSCADAの構成コントローラ
冗長化システムでは、 ◆オンラインでのパッチあて技術◆セキュリティ対応理通信プロトコル仕様ーディット( 2018 )セキュリテイ教室:南lif手15ベットワークトレント日本共通インタフェースOPC Client OPC Server  I/OサーバTASK共通インタフェースOPC Client OPC Server    I/Oサー/NTASK I/OトライハTASK I/OトライバTASK | I/OドライハTASK ○ミコピッチンステムを進む戦期期にお降化したもので、実際のソフトウェアコンポーネントのお仕事もなるものである
HVAC control Speed Drivers Lighting control Surveillance Fire Detection Technical Alarms Power Monitoring Power Management Electrical Protections Supervision System
攻撃目的は、装置や設備の破壊、悪品質製品生産や生産の暴走、装置ベンダの信頼失整等
o制御システムにおけるインシデントが起きている可能性を持つ異常現象–制御助作が時々運化なる。 –通信エラーが出るようになった。 l制御データが涼けている。 －制御助作業化しているべき制御データが変化していない。 －制御信号が失然変化する。(突然現象) –  壊れるはずの無い部分が壊れている。おかしなストレスがかかったと思われる。 –制御機器のメンテナンスチェックが終了しない。 –問まっていなければならない操作端が開いている。また、その逆。 –  再起動してしばらくは正常動作していたが、また、同じ異常になった。 －ソフトウェア更新をしたら、異常になった。 – USBで作業をしたら、異常が出るようになった。 –外部サポートを受けた後に、異常が出るようになった。 –制御異常現象は出ていないがインシデント発生サイバー攻撃原因か、それ以外の原因(バグ・メカ寿命・人的作業ミス・)かの識別作業は、インシデント対策を熟知の計装制御熟知のエンジニアとサイバー攻撃分析に堪能なエンジニアの組み合わせで識別作業に当たらないと実際は難しい。
【利便システムにおけるインシテントが起きている可能性を持つ再次は食』財産計算必需や違くなる。スレープが増発している検出版(トランススッター／センサー／ポジショナー)が操作編が異常になっている可能性ありコントローラ内の制御ファイルを送コンパイルして制御コンフィギュレーション内容とベリファイチェックき(揚作エラーが出るようになった).通信エラー内容を機能請住プロとコルの監査ツールが有る場合、その議員ログテータを調べる:通信エラー発生で刺激キシリークの議員取り合いデータをフリースのベファイルデータを再生し、調査PCから不正導入された可能性があるためPC発調査風照明に限定番分があけている国でスレーフだけが清律エクーで反応無し反応しないスレープモジュールを愛し替えて通信反応を確認愛し移えたスレープモジュールが正常室し替えたスレープモジュールが家し替える前と同じ反応しない通信ケーブルを確認( )や立や一など無しなマスターモリュールをモリュールチェッカーで診断■マスターキジューもが異常であれば、マスターキジュール本交換不具合原因の識別作業通信ログ機能操作ログ機能各ログを採ってインシデント予兆を発見し、対策を提示セキュリティ問題を含んでいる可能性を持つところインシデント原因龍別扱う情報が高度で「スポルシ専用ツールが必要大東デーク対策していない
制御が停まると大きな損害がでる制御システム•原子力発動所の冷却調御システム.ガス基地のコモンを統制御システム.石油コンビナートのコモン系統制御システム.鉄鋼炉の燃焼制御システム.当導体工場のクリーンルームの空間システム・クラウドサーバーが入っているビルの空間制御システムなど特徴計裝制御電源が落とせない。緊急時の作業は、安全制御領域までもっていって、操作端操作が手動でできるようにしてからか、定期点検時となる。定期点検の周期が永い。
・サイバー攻撃に強い制御製品に求めること–制御製品企画の数階から、セキュリテイ対視終事務加える• IEC62443次数の製品とするか否か・ OSの選択、ネットワークの仕様、通信プロトコルの選択、ログ機能の検討–制御製品における高度セキュア化技術研究–セキュア知識を持ってプログラム開発をする– 鐵品によっては、鐵品内に・タスク派信のログ機能•  – 幾品によっては、ネットワーク通信に・ログ機能⇒監督機能•通信プロトコルは、 -オーディット機能–セキュリティ酸素素素»暗号化»                           » O重要インフラの制御システムに使用される制御製品に求められることとは？ – オンラインでのパッチあて作業ができ、オンラインで切り替えられる機能⇒オンラインでのソフトウェアバージョン管理システムOPC-IIA 3.製品開発の品質保証に求められるセキュリティ対応製品開発の品質管理に求めることO三現中議＋Vモデル＋セキュリティ対応ユーザーに対しての責任の先には、社会に対しての公益責任がある。 -0品質は企業製品の生命線三現主義十Vモデル兵器・医療品選手では、GMP : Good Manufacturing Practice
/製品品質保証検査
採用部品仕様
3.製品開発の品質保証に求められるセキュリティ対応o製品開発の品質管理に求めること–セキュア知識を持って製品開発における品質保証管理を行なう– IEC62443を熱航⇒酸酸を高める。 –品質保証全般のテストにセキュリテイ問題を加える・デザインレビュー項目に制御システムセキュリティ対験を加える・セキュア知識を持ったソースコード解析や脆弱性の洗い出し・旅頭性情報・対策の履歴管理・サイバー攻撃を想定した品質装备–バリデーション-適合性確認– 受当性的感–外産のセキュリティ対策管理ユーザーに対しての責任–ユーザーへの節頭性情報と対発情報の公開–取り扱いガイドラインに、制御システムセキュリティ対策を加える。 o 4.制御製品開発環境の健全性制御製品開発環境の健全性確保. －制御製品開発用ネットワークの照離・ファイヤーウォール設置・ネットワーク・ケーブル–インターネット接続可能なケーブル–インターネット接続不可能なケーブル–セキュリティ確保、情報漏測防止できる開発環境・サーバーとPCネットワークのセキュリティチェック管理責任者をおく
Oサービスに使用するPCの健全化O制御製品取り扱いガイドライン業界で作成する場合• JEMIMA, JEMA, NECAで終事して欲しい–ユーザー向けに・「セキュリティ対策の制御薬品取り扱い方不ドライン」制御システム教育にも、改修表ポイントがおります。 □教育ポイントは、 *PCと制御ネットワークの進全性確保と区分設計・階層別／生産プロセス別／情報重要度別の日本システムサーバの俳全性雑民:制御コンフィギュレーションツールの健全性雑見る記念なのセキュリティ管理41EC62443-4対応制制報局・制御製品供給ペンダやシステムエンジニアリング会社のオーディツトれを支える制御製品現場対策●情報システムと制御システム間にファイヤーウォール設置●PCと制御ネットワークの健全性確保●外部記憶媒体( USB )の扱い管理●生産システムサーバの健全性確保●制御エンジニアリングツールの健全性確保●制御システム不具合現象からインシデント識別手法確立●インシデント対応の現場作業マニュアル整備●制御システムのリフレッシュ作業可能体制●制御システムの認証試験●制御システムネットワーク設計�階層別ネットワーク設計9生産プロセス別ネットワーク設計●動／静脈ネットワーク設計●エンジニアリング会社へのオーディツト(監査)・認定●制御製品の認証試験●制御ベンダへのオーディツト監査)・認定●制御製品取り扱い制御システムセキュリティ・ガイドライン
o O TO
Oインシデント対応に必要な能力
o高信頼化制御システムを実現する為の技術開発◆ Stuxnet対策●検知:モニタ●機能停止:キル● 削除:クリーン◆振舞い監視技術による異常検出とSafety処理●コントローラ・レベル● 監視制御システム・レベル●プラント制御システム・レベル制御に現点が存与えないで、オンラインで教える教師がgobile o
http://www.jmf.or.jp/japanese/standard/pdf/D 1.pdf本質的安全数計対策(信後派を除去／リスク低流)幾何学的要因及び物理的側面を考慮した対策:機械設計上の一般的技術知識を考慮した対策適切な技術選択による対策構成品間のポジティブな機械的作用原理を適用した対策2 ia機械の安定性に関する対策機械の保全性に関する対策人間工学及び行動学原則を考慮した対策電気的危険源防止対策圧力／温度設備の危険源防止対策セイフティのカテゴリは一旦決めて実現したらそれが議長するが、セキュリティのカテゴリは、未知の脆弱性が発見されたら、Oレベルになるよって、レベル維持管理できるこ制御システムへの本質的安全設計対策安全機能故障のリスク低減対策設備の信頼性を脅かす危険源防止対策a i a搬入(供給)又は搬出(取出し)作業の機械化及び自動化による危険源防止対策設定(段取り等)及び保全の作業位置を危険区域外とすることによる危険源防止対策＜JIS B 9700-1 3.19、JIS B 9700-1 4参考＞リスク査定(長積もり)危険度をランク分けし危険度に対応した制御カテゴリーを適用するそれだけど
$7 [E 0] 25.201 1950年大さS : 1 :発症(残酷要求し) 2 :日記(漢書書あり) #全国家#と指す: 1 :まれに新年か海岸市□あの日日本P : 1 :ある場合には同価2 : 2593安全力テゴリーの演定： ● :通常演定△ :追加手数を併用して進定日故障ぎ生時の安全回路の一般的な構成
計国時1. 2. 3. 4. S. 6. 7.なすぎ人れ最乗時携帯単体試験でのプロセス前後のインターフェース突合せ試験1.教事業体性能試験2.総合試験時1.総合試験・性能確認トレーニングシミュレータl. 2.新人教育用:通常連点時のトレーニング美ラインではできない男性対応トレーニング検証用シミュレータl. 2. 3.実ラインではできない興常時の対処補助トラブル原因的重要安全無理の見流し無理Know How 1.1.2貴流ボイラの系統図4.生産ライン酸計での生産能力確認各プロセスでの時間の性能性数での能性数の確認生産能力の計画に合った装置合数の確認族族族の漢語族族の数数の数数を地主と無法数の情報民法律能の確認故障等のシステム教学の確認
連用時1.実機ラインから上がってきたデータとシミュレーションを付き合わせると、実機の異常予兆をとらえて、予知保全が可能⇒振る舞い監視鉄管具常時の保管処理で生産能力をコントロール中間在庫の適正管理2. 3.出荷計画を先読みし生産計画へ反映
制御ベンダ／装置ベンダ／Sierに求められるセキュリティ対策についての提言ご清聴ありがとうございました。制御システムセキュリティ校事タスクフォース官及客雑WG座長IAF/VEC事務局長村上正忠