IEC (ISA)　62443 シリーズ

IEC (ISA) 62443 シリーズは、制御システムのセキュリティに関する国際規格の集まりである。本規格は、4つに区分されていて、管理面から技術面までをカバー。制御システム運用者、制御システムのシステム・インテグレータ、制御システムの製品ベンダが実現すべきセキュリティ要件を規定。

注1) 2022年7月末時点で発行済みの規格のみ、プレビュー用ファイルへのリンクを掲載しています。なお、正規版の閲覧には、購入が必要です。

NIST SP 800-82 OTセキュリティへのガイド

SCADA システム、分散制御システム (DCS)、プログラマブル論理制御装置 (PLC) などを含む、産業制御システムのセキュリティを確保するための、ガイダンスがまとまっている。 このガイドラインには、産業制御システムの典型的なシステムトポロジー、脅威と脆弱性、その回避策がまとめられている。

Topへ

NIST SP 800-53 情報システムと組織に関するセキュリティとプライバシーの管理策

Topへ

グッド・プラクティス・ガイド　パッチ管理

パッチ管理は、運用環境への暫定的なソフトウエアリリースの展開と保守を管理するための手順です。事業のためにシステムの実効性と効率を維持しつつ、セキュリティの脆弱性を最小限まで緩和し、実運用環境の安定性を維持するのに役立ちます。本書は、重要国家インフラに関わる組織向けにパッチ管理に関するガイドを示したもので、すべてのシステムにパッチを正しく適用するための 4 段階の手順と、パッチ適用計画の有効性を測定するための指標について説明しています。

Topへ

制御システム環境におけるサイバーセキュリティ文化の支援を目的とした運用セキュリティ（OPSEC）の使用

大部分の組織は、制御システム領域においても堅牢なアーキテクチャを採用し、外部ネットワーク、業務ネットワーク、制御システムネットワークの統合を推し進めることで業務の強化とコスト削減を図っています。セキュリティは、関係者が形成するサイバーセキュリティ「文化」によって支えられ、運用セキュリティ(OPSEC）の手法を使用することでセキュリティ「文化」の維持・強化への取組みを促進できます。しかし、事務処理領域でのセキュリティを主眼に形成された文化は、制御システムの領域に簡単には持ち込めません。本書は、制御システム領域におけるサイバーセキュリティの開発、配備、改善を担当する管理者およびセキュリティ専門家を対象に、制御システムおよび産業ネットワークのサイバーセキュリティにとって非常に重要な運用セキュリティ(OPSEC）のいくつかの要素を示し、それらがセキュリティ文化の形成をどのように促進しうるかについて述べています。

Topへ

制御システムのサイバーセキュリティ：多層防御戦略

製造業、輸送業、エネルギーなど主要な産業や社会を支える重要インフラでは、制御システムが多用されています。これらのシステムは、旧来システムから、新しいIT技術を取り入れたオープン・システムに移行しつつあり、制御システムの多種多様で独自の構造が、共通の通信プロトコルやオープンアーキテクチャ標準に置き換えられています。これには、プラスとマイナスの両側面の影響があります。

こういった事実を背景として、この文書では制御システムネットワークを使用している組織向けに、多層情報アーキテクチャを維持しつつ、「多層防御戦略」を策定するための指針と方向性を示しています。

Topへ

人的セキュリティガイドライン

2003年8月14日に米国で発生した最大規模の停電の原因は、人員の能力不足と教育・訓練不足、コミュニケーション不足、設備の不備であったことが判明し、停電の調査委員会は、政府機関による法規制、監視、違反への罰則を勧告しました。この後さまざまな産業や政府機関が人的セキュリティガイダンスを提供していますが、この文書では、米国で全国的に認知されている7つの産業団体と政府機関の推奨事項に基づいて作成された人的セキュリティプログラムガイダンスを紹介しています。

Topへ

推奨プラクティス：工業用制御システムにおけるサイバーセキュリティインシデント対応能力の開発

工業用制御システムは、従来のビジネス情報システムと同様、悪意のあるさまざまな攻撃を受ける可能性が増しています。攻撃目的もさまざまですし、攻撃元もまた、不満を持つ従業員、競合相手、そして不注意でサイトをマルウエアに感染させてしまう友好的な相手の場合とさまざまです。この文書は、制御システムを利用する施設が、攻撃元を問わずサイバーインシデントに備え、対応するのに役立つ推奨事項を、①サイバーインシデントに関する計画の作成、 ②インシデントの防止、 ③インシデント管理、 ④インシデント後分析、の４つのセクションに分けて解説しています。そして、インシデントから得た教訓を活かし、潜在的攻撃に備えてシステムを強化する方法も提案しています。

Topへ

重要社会インフラのためのプロセス制御システム (PCS) のセキュリティ強化ガイド

この文書は、プロセス制御システム (PCS: Process Control System) のセキュリティに関する意識向上を意図して、SEMA (スウェーデン緊急管理庁) によりスウェーデン語で作成された文書の英訳版を JPCERT/CCが邦訳したものです。

ヨーロッパの産官学の各界が、さまざまな共通課題に共同で取り組めるよう、また、必要に応じて集中的な取り組みとリソースの共有を行えるよう、制御系に特化したセキュリティに対する推奨事項が実例とともに分かりやすく述べられています。

Topへ

CPNI Good Practice Guidelines

この文書は、制御系システムの開発・設計ならびにユーザーが遠隔制御・監視システムを使用するにあたってセキュリティ要件と仕様のガイドとして、英国の国家インフラ保護センター(CPNI： Centre for the Protection of National Infrastructure)が作成したものです。 また、制御系システム開発者がオープン系システムを取り込もうとする場合の手引きにもなります。 JPCERT/CCが翻訳した日本語版は、2007年に公開されています。なお、現在の英国のサイバーセキュリティ政策はNational Cyber Security Centre (NCSC；2016年に設置)が担当しています。

グッド・プラクティス・ガイド　プロセス・制御と SCADA セキュリティ

この文書は、制御系システムの開発・設計ならびにユーザーが SCADA を使用するにあたってセキュリティ要件と仕様のガイドとなるものです。 また、制御系システム開発者がオープン系システムを取り込もうとする場合の手引きにもなります。
* SCADA: Supervisory Control and Data Acquisition、遠隔制御・監視システム

Topへ