本記事は note 公開記事のクロスポスト要約版です。
全文 (note): https://note.com/yuusan_security/n/n0df7f0b080ed
動画解説 (YouTube): https://youtu.be/6GxyuCGQqbs
シリーズ: 3軸分析ライブラリ #08 ★入門編完結回
著者: yuusan_security (山崎祐介 / Intect-i)
対象読者: 若手セキュリティエンジニア・コンサルタント (1-5 年目)、IT-OT 連携を担う情シス・生産技術担当者
TL;DR
- OT/ICS への攻撃は、もはや「IT 部門の問題」では済まない事業継続課題
- 背景には「技術的変化 (IT-OT 接続)」「組織的な壁 (IT vs OT 文化)」「攻撃者の動機 (ランサム金銭目的)」の 3 軸構造
- 若手エンジニア / コンサルタントは、現場・管理者・経営者の 3 ペルソナ別翻訳力 で部門間の共通言語を提供できる
- IEC62443 等の業界標準は「ギャップの可視化」と「対外的説明責任」のために有効
背景: なぜ OT/ICS への脅威は深刻化しているのか
軸 1: 技術的変化 — エアギャップから IT-OT 接続環境へ
かつて工場の制御システムは、独自プロトコルと専用ハードウェアで動く「エアギャップ」環境にありました。
インダストリー4.0 / DX 推進により、生産効率向上と遠隔監視を目的に IT 環境と接続された結果、
IT 側に侵入したマルウェアが OT 側へ横展開 (ラテラルムーブメント) する経路が開通してしまいました。
[従来]
IT Network ━━(エアギャップ)━━ OT Network
└─ 制御系 (PLC / SCADA / HMI)
[現在]
IT Network ━━━━(接続)━━━━ OT Network
└─ ここを踏み台に OT 側へ横展開可能
軸 2: 組織的な壁 — IT「機密性」 vs OT「可用性・安全性」
| 観点 | IT 部門の優先 | OT 部門の優先 |
|---|---|---|
| 最重視する CIA | 機密性 (Confidentiality) | 可用性・安全性 (Availability + Safety) |
| パッチ運用 | 積極適用 | 「絶対に止めない」が鉄則 |
| 機器寿命 | 3-5 年で更新 | 10-30 年稼働 (レガシー OS 多数) |
| インシデント時 | サービス停止 OK | 物理的な事故・人命に直結 |
この文化の違いが「誰が工場のセキュリティを守るのか」というポテンヒット状態を生み、
責任分解点の曖昧さがリスクの温床になります。
軸 3: 攻撃者の動機 — 「人質価値」の最大化
ランサムウェア攻撃グループは「どこを止めれば最も困るか、身代金を払うか」を冷徹に計算しています。
工場・重要インフラ停止は経済的損失だけでなく、サプライチェーン全体・社会生活への
波及効果が大きく、攻撃者にとって OT 環境は 人質としての価値が最大化された 標的です。
効果: 3 軸で対策した組織はこう変わる
- 対立 → パートナーシップ: コンサルタントの翻訳を介して、IT と OT が同じ目標 (操業継続) で動く
- 後手 → 先手: 平常時から OT アセット可視化・リスクアセスメントが常態化、新規脆弱性公表時に「我が社のどのラインに影響があるか」を即座に判断
- 事業全体のレジリエンス向上: 手動運用への切替手順、IT-OT 合同のインシデント対応計画 (IRP) が機能、被害最小化と早期復旧が実現
実装の現実: なぜ「IT のベストプラクティス」が通じないのか
OT 環境では以下の制約があり、IT セキュリティの常識をそのまま持ち込むと失敗します:
- 24/365 稼働: ダウンタイム確保が困難 → パッチ即適用が不可
- レガシー OS: 最新 EDR 導入で動作不安定リスク → 補完的統制 (compensating controls) で代替
- 独自プロトコル: Modbus / DNP3 / EtherNet/IP など IT 系 IDS では検知困難 → OT 専用監視が必要
- 物理的影響: 計器表示の改ざんが物理事故 (爆発・火災) に直結 → セーフティ機能の独立性確保
エンジニアとして覚えておくべき代替策:
- ネットワークセグメンテーション (Purdue Model): Level 0-5 でゾーニング、L3.5 (DMZ) で IT-OT 境界を制御
- 仮想パッチ (Virtual Patching): WAF / IPS で脆弱性そのものを修正せず通信を遮断
- 物理的アクセス制御: USB ポート封印、コンソール隔離
ペルソナ別翻訳法: コンサルとして「同じ施策を 3 つの言葉で」
| ペルソナ | キーワード | 翻訳例 |
|---|---|---|
| 現場 (オペレーター・生産技術) | 安全性・操業継続 | 「USB ルール見直しは、計器改ざんによる物理事故からあなたと仲間を守る話です」 |
| 管理者 (工場長・CISO) | 説明責任・リスクコントロール | 「IEC62443 でギャップを可視化し、リスクベースで段階的に投資すれば対外説明責任を果たせます」 |
| 経営者 (CEO・取締役会) | 事業継続・企業価値 | 「OT 攻撃による工場停止は売上損失 + 違約金 + ブランド毀損 + 株価影響の連鎖。投資ではなく経営課題です」 |
明日からの実装アクション (エンジニア向け 2 つ)
- OT 部門のキーパーソン把握: クライアント企業で OT を実質管理しているのは誰か (生産技術 / 施設管理 / 外部ベンダー丸投げ?) を組織図と実態で照合
- IT-OT 接続実態のヒアリング: 「工場ネットワークとの接続状況」「インシデント発生時の連絡体制」を IT 担当に軽く質問。「実は工場のことはよくわからない」が返ってくれば、それが入口
参考リンク
- 全文 (note): https://note.com/yuusan_security/n/n0df7f0b080ed
- 動画解説 (約 10 分): https://youtu.be/6GxyuCGQqbs
- メンバーシップ (実践編): https://note.com/yuusan_security/membership
- IEC62443 シリーズ概要: 国際電気標準会議 (IEC) 公式ページ
おわりに: 入門編ライブラリ完結
3軸分析ライブラリ入門編は本回 (#08) で完結です。
| # | テーマ | 主要キーワード |
|---|---|---|
| #01 | ランサムウェア | BCP・パッチ後視点 |
| #02 | サプライチェーン | SBOM・SolarWinds 型 |
| #03 | MFA バイパス | 認証・SIM スワップ |
| #04 | ゼロデイ | Log4j・資産管理 |
| #05 | クラウド設定ミス | CSPM・S3 / Azure Blob |
| #06 | BEC | 組織横断・経理 |
| #07 | 内部不正 | PAM・退職リスク |
| #08 | OT/ICS | IEC62443・事業継続 |
「事象を立体的に捉え、相手に合わせて翻訳する力」を共通の武器として 8 週間お届けしてきました。
読者の皆様の継続的な学びに、心より感謝申し上げます。
実践編 (個別ケーススタディ・提案書テンプレート) は note メンバーシップで継続予定です。
最新動向は YouTube チャンネルで発信していますので、よろしければチャンネル登録もお願いします。
タグ: #Security #OT #ICS #IEC62443 #制御システム