「制御システムのセキュリティリスク分析ガイド ～ セキュリティ対策におけるリスク分析実施のススメ ～」を公開
2017年10月11日
省庁・団体名
独立行政法人情報処理推進機構
概要
IPA（独立行政法人情報処理推進機構、理事長：富田 達夫）セキュリティセンターは、重要インフラや産業システムの基盤となっている制御システムのセキュリティを抜本的に向上させるのに重要な位置付けとなるセキュリティリスク分析を、事業者が実施できるようにするためのガイドを作成し、公開しました。
内容
公開の背景
従来、制御システムは固有のシステムで構成され、外部ネットワークや情報系システムとは接続されていなかったことから、セキュリティの脅威は殆ど意識されてきませんでした。しかし近年、WindowsやUNIXといった汎用のプラットフォームや通信プロトコルの活用、ネットワークや外部メディアの利用といった環境の変化の下で、セキュリティ脅威の増大と実際のサイバー攻撃事案の発生が増加してきており、一方で制御システムは社会や産業における重要なインフラとしての位置付けも大きくなっており、そのセキュリティへの対応の重要性が非常に高まっています。
この様な状況を受け、IPAでは2008年より制御システムにおけるセキュリティへの対応状況と基準や評価認証制度に関して調査を開始し、セキュリティ基準であるIEC 62443の活用の推進やそれをベースとした評価認証制度の立上げ等を推進してきました(*1)。また、2014年からは、様々な分野の重要インフラを支える制御システムのセキュリティリスク分析を実施してきました(*2)(*3)。
これらの活動を通して、システムのセキュリティレベルの抜本的な向上を図るのに不可欠な位置付けにあるセキュリティリスク分析が、制御システム分野や重要インフラに関わる多くの事業者において、十分もしくは詳細には実施されていないのが実態であることが分かってきました。その背景には、脅威の実認識やセキュリティ投資といった経営的な側面もあるものと推察していますが、もう一方には以下の様な根源的な課題もあると推測されます。
【課題A】リスク分析の具体的な手法や手順が分からない
【課題B】リスク分析には膨大な工数を要する（と言われている）ので回避したい
この点を解決したい、というのが、本ガイド策定の背景となっています。
本ガイドによって制御システムを活用する事業者のセキュリティリスク分析への理解が深まって、制御システムのリスク分析に取り組んでいく組織が増加すること、結果として各組織におけるセキュリティレベルの抜本的な向上と継続的な維持見直しが達成されることを期待します。本書は制御システムのセキュリティリスク分析のガイドの位置付けですが、詳細リスク分析の手法自体は、情報システムでも共通であり、情報システムのリスク分析においても参考になるものと考えます。また、7章の特定セキュリティ対策は、全てのシステムのセキュリティ検討に適用が可能です。
なお、本書は、去る4月1日にIPA内に発足しました「産業サイバーセキュリティセンター」(*4)における人材育成事業や安全性・信頼性検証事業等において、教育の素材としても活用していきます。
ガイドの概要
目的
本ガイドは、以下を目的としています。
● セキュリティリスク分析の全体像の理解を深め、その取り組みを促すこと
● セキュリティリスク分析を具体的に実施するための手順や手引きを示すこと
● IPAにおいて実践したセキュリティリスク分析でのノウハウを手引きに織り込むこと
リスク分析手法
本ガイドでは、各システム資産に対する精緻な評価、及び攻撃者視点での実際の攻撃シナリオの評価の観点から、以下の2通りの詳細リスク分析の手法を解説しています。一方だけでもそれぞれで有効な評価結果が得られますが、相互補完的な役割も果たしています。この2手法はIPAが実システムで適用した手法を解説しており、特に（2）の手法に関しては具体的な手引きが他に存在していませんので、詳細に解説しています。
（1）資産ベースのリスク分析
保護すべきシステムを構成する各資産を対象ごとに、その重要度（価値）、想定脅威、脆弱性の3つを評価指標として、リスクを評価する分析手法。
（2）事業被害ベースのリスク分析（攻撃シナリオと攻撃ツリーによる分析）
システムで実現している事業やサービスに対して、事業被害とそのレベル、その被害を起こす攻撃シナリオ、それに対する脆弱性の3つを評価指標として、リスクを評価する分析手法。
両リスク分析において、リスク分析は資産の数やシステムの複雑さや攻撃ルートの網羅で大きな工数が必要となりますが、本ガイドでは、リスク分析の実施にあたって、資産のグループ化の方法や評価すべき攻撃ルートの絞り込み方法の考え方も合わせて解説することで、工数削減の実現を図っています。
リスク分析のための素材の提供
本ガイドでは、モデルシステムに対するリスク分析を実際に実施していく具体的な手順を解説することで前述の【課題A】に、また、リスク分析を補助する以下の素材を提供することで【課題B】に応えるようにしています。
● リスク分析シート（フォーマット、実施例等）のエクセルファイル
● リスク分析関係者が、リスク分析とセキュリティ対策を共通の土台の上で実施、議論できるようにするための、脅威（攻撃方法）一覧、セキュリティ対策項目一覧、及びその対応一覧
● 特定のセキュリティ対策（暗号技術の利用、標的型攻撃対策、内部不正対策、ファイアウォールの設定、外部記憶媒体対策）に関する詳細チェックリスト
リスク分析結果の活用例の提示
本ガイドではリスク分析結果の活用方法として、リスク値の解釈、及びリスク低減のための対策強化策の検討方法を解説しています。また、リスク分析後に必要に応じて実施を検討することが考えられるセキュリティテストに関しても解説しています。
関連リンク
お問い合わせ
IPA 技術本部 セキュリティセンター