運用のためのパッチ管理プロセスの説明

スマートマニュファクチャリングにより生産性が飛躍的に向上した一方、ICSサイバーセキュリティはその流れに遅れを取っていました。では、飲食料品業界がこの遅れをどのように挽回したか見てみましょう。

飲食料品業界は、産業用制御システム(ICS) サイバーセキュリティの開始点であるサイバーハイジーンへの取り組みに大きな勢いを見せています。以前はネットワーク基盤について活発な議論が行なわれていましたが、現在はサイバーセキュリティ技術および戦略が議論の中心となっています。どのようにしてここまで辿り着いたのでしょうか?

この問題は20～30年前に遡り、当時、飲食料品業界は工場フロアに高度な独自技術を活発に導入していました。これらは閉鎖的で独立したシステムであるため、サイバーセキュリティについての懸念はあまりありませんでした。

それから10年後、ICSおよびイーサネット接続機器が急増し、生産性、品質、コンプライアンス、市場投入までの速さに大変革をもたらしました。さらに、これらの旧式のシステムの相互接続や新しいシステムへ接続も簡略化されました。しかし、このオープンな無修正のイーサネット通信を利用することでサーバーリスクが増大し新たな懸念が高まりました。これが旧式のシステムのパッチ管理です。

最新のFood Protection and Defense Instituteレポートに、このような旧式の機器がどのようにして悪意のある攻撃にさらされるのかが詳しく説明されています。その攻撃は、業務を妨げ、機器を破壊し、社員と製品の安全を損なう可能性があります。総合的なサイバーセキュリティプログラムはビジネスに不可欠なものとなり、パッチ管理プロセスは重要な役割を果たしています。

正体がわからないものにパッチを適用することはできません

資産インベントリのアイデアは新しいものではありませんが、これを社内で既に実践した、または社外に協力を求めたことがあるかもしれません。しかし、すべてを理解することは簡単ではなく、多くの会社がそのために努力しています。

在庫確認の方法は2つありますが、使用するICS サイバーセキュリティプログラムに合った適切な基盤を構築するには、それらの両方とも必要になります。

• 電子的な問合わせツールを使用すると、お使いのネットワークをスキャンして自動的に資産を特定できるので、そこで大部分を把握できます。
• 手動認識を使用して残りの部分を把握しますが、文字どおり誰かが歩き回り、パネルを開き、そこに何があるかを物理的に調査する必要があります。

ここでの注意点は、すべての場所で両方のアプローチをとることです。10の施設のうち9つの施設しか完了していなかった場合、見落とした施設から違反が見つかるはずです。

総合的なパッチ戦略の設定

在庫の次は、何千もの資産の一覧に頭を悩ませなければならない会社もあるでしょう。幸運にも、すべての資産が同じように作られているわけではありません。次のステップでは、リスク分析を実施し、優先度の高い資産を特定して、致命度、露出度、寿命、予想されるリスクなどに基づいてパッチを適用します。ネットワーク上にもない一部の資産は本当にリスクと言えるでしょうか?

対処する必要があるパッチは、次の2種類のパッチです。

1. オペレーティングシステム(OS)のパッチ適用は、ITにとっては一般的なことであり、MicrosoftのPatch Tuesday (月例パッチ)は15年以上も前から存在しています。中断を最小限に抑えるために、スケジュールされたダウンタイムでプラントフロアOSにパッチを適用する時間を決める必要があります。多くの場合、IT/OTの積極的なコラボレーションによって対処しています。
2. アプリケーションレベルのパッチ適用はまったく別のものになります。文字どおり、パッチが異なるさまざまなベンダーのアプリケーションが何百も存在します。そのため、お客様が責任を持って、ベンダーのWebサイトからパッチを見つけ、そのパッチにより保護される脆弱性を理解し、パッチが必要かどうかを判断しなければなりません。

アプリケーションごとに構成が異なるため、アプリケーションレイヤにパッチを適用する際には、計画的で一貫したテスト基準が必要になります。これは、意図せず生産が停止するリスクがある可能性があるプラントフロアでの実装前にラボ環境で実施されるものです。

パッチ管理に対する体系的なアプローチ

「運を天に任せる」アプローチは、飲食料品業界全体において一般的なアプローチです。これは、試行錯誤の問題ではなく、適切なリソースと専門知識が不足していることがその理由です。現在、現場でよく見かけるのは事後対応型のアプローチです。優先度の高いパッチ通知にすぐに対応し、必要に応じて週末に生産を停止します。

一般的な流れは以下のようになります。

• 運用部門がIT部門に対し、OTのパッチ適用の管理の協力を求めます。
• IT部門はそれに協力しますが、固有の要件や制約を管理するためのICSの専門知識やリソースがありません。
• そのため、IT/OTの知識を持つリソースを採用するか、または、ほとんどの場合、ロックウェル･オートメーションのような会社などに外部委託します。

サードパーティのルートを選ぶ場合は、運用に信頼のあるパートナを探します。その明確な目安の1つは、サービス品質保証契約(SLA)の対応時間です。従来のITプロバイダは、対応時間を時間単位で評価していました。しかし、消費財生産におけるこのようなダウンタイムは、数百万ドルの損失につながることがあります。そのため、対応時間が分単位で評価されているSLAは、運用の助けとなるアプローチであると言えます。

ICSサイバーセキュリティの終盤

パッチ管理は、セキュリティ･オペレーション･センター(SOC)を立上げて稼働するまでの1つのステップです。SOCは、セキュリティ体制に関する総合的なダッシュボード表示を提供し、災害復旧戦略を盛り込み、つながる工場の最適な運用を実現します。

さらに、現在は、エンドポイント防御または「ホワイトリスト」向けのソリューションもあります。これらのソリューションを使用してもパッチの適用が完全に不要になるわけではありませんが、パッチ適用戦略策定時の防御と時間の確保に効果的なソリューションです。

実際のところ、効果的なサイバーセキュリティを実現する確実な方法はありません。多重防御とはそういうものです。しかし、(食品と社員の安全を考えた)リスクのボトムラインを超えている状況では、事後対応や「運を天に任せる」ようなアプローチはもはや現実的なものではありません。プログラムの立上げや、プログラムのさらなるレベルアップをお考えであれば、私たちがお手伝いをします。