2024年10月17日、EU加盟国は改訂ネットワーク･情報システム指令(NIS2)を現地法に翻訳します。NIS2の対象となる組織は、以前の指令の対象範囲よりもはるかに多く、必ず準拠する必要があります。
組織が業務の監査を急いで行ない、NIS2の基準に適合させようとする中、見落とされがちな領域が1つあります。それは、サプライチェーンです。新しい指令では、組織にリスク評価を行い、テクノロジ(ハードウェアとソフトウェア)および関連する非技術的リスクに対してサプライチェーンを強化することが義務付けられています1。
これは組織が無視できるものではありません。サプライチェーンの欠陥から生じるサイバーセキュリティインシデントに対する罰則は、他の種類の違反に対する罰則と同様に厳しく、最大700万ユーロまたは全世界の年間総売上高の少なくとも1.4%の罰金が科せられます2。
しかし、何百ものベンダーと何千もの異なるメーカや年式のマシンが関わることが多い制御技術(OT)サプライチェーンをどのように保護できるでしょうか。
NIS2サプライチェーンコンプライアンスの課題
現在、インフラの製造メーカと事業者は、調達するマシン、テクノロジ、サービスがNIS2のセキュリティ要件を満たしていることを確認する必要があります。しかし、多くの場合、OTエコシステムのこれらのさまざまな部分に対する特定のセキュリティ規格はありません。
例えば、接続された自動化されたマシンを考えてみましょう。EU機械規制(EU) 2023/1230は2027年に発効します。この条文は2026年までに最終的な形になると予想されます。
機械装置メーカ(OEM)と事業者は、規制を使用して、運用するマシンのNIS2コンプライアンス戦略を策定できるようになります。それまでは、機械装置メーカと協力してNIS2を他のさまざまな既存の標準にマッピングし、この演習を使用して、規制要件を満たす独自のマシンコンプライアンス計画を策定する必要があります。
NISサプライチェーンのコンプライアンスに関するその他の課題は以下の通りです。
- 危険源のスレッショルド(閾値): NIS2では、違反によって危険が発生するとは限らないと規定されていますが、機械装置メーカや事業者は、危険防止対策が十分であるかどうかをどのようにして知ることができるでしょうか?
- システムの異種性: OT事業者は、多くの場合、複数のベンダーのさまざまな年代のシステムやマシンを運用しており、それらすべてをコンプライアンスに準拠させる必要があります。
- 技術的な課題: 機械装置メーカや事業者は、関連するすべての脆弱性を特定、文書化、緩和したことをどのようにして確信できるでしょうか?
最初の作業は、調達される機械、システム、サービス、および該当する場合はサプライヤとの関係の存続期間全体で使用されるシステムなど、サプライチェーンを現状のまま監査することです。監査の基準となる厳格な仕様はなく、脆弱性を文書化して対処できるようにします。
既存のナレッジベースやドキュメントがほとんどないかまったくなく、必要な社内の専門知識やツールもない組織にとって、これは困難で時間のかかる作業になる可能性があり、信頼できる結果が得られる保証はありません。
