産業制御情報セキュリティプロセスを確立し国際的な認証を取得、脅威のリスクを最小限に

では過去数か月の間に、5月に大規模な石油化学会社や半導体パッケージング工場がサービス拒否攻撃を受けられ、6月に自動化装置工場がサービス拒否攻撃を受けられ、PCBメーカーがマルウェア感染などの重大なセキュリティインシデントが多数発生しました。7月に、ウェアラブルデバイスの大手メーカーもサービス拒否攻撃を受けられました。同時に産業制御向けの悪意のあるプログラムが公開されています。EKANS（Snake）がGEのHistorianに、LogicLockerがPLCに、TritonがSchneiderのTriconexSISコントローラーに影響を発生します。

Onward Security開発長 劉建宗（りゅう　けんそう）は、情報セキュリティの脅威を無視してはいけないことを製造業界に思い出させました。 表面化したこれらの事件は、実際には氷山の一角に過ぎません。スマート製造の情報セキュリティ問題の数は、想像以上のものです。平均して、毎日2〜4件の関連する攻撃が発生します。主な理由は、工場で使用されているOSのほとんどがWindowsであるため、オフィスを攻撃するように設計された一部のウイルスも工場に感染する可能性があります。次に、工場に対するAPT攻撃の頻度が増加し、さまざまな攻撃方法が混在するため、検出の困難が大幅に増加します。

さらに、攻撃インシデントの被害者の多くには共通点があります。つまり、彼らのネットワーク（オフィスネットワーク、サービスネットワーク、産業用制御ネットワーク、開発ネットワークなど）がリスクに基づいて適切に分離されていないため、脆弱性を見つかる度、一気に全体に広がります。 その上、サプライヤーのセキュリティ管理に関心していません。
OT情報セキュリティインシデントは絶えず発生しており、国内外でますます多くの情報セキュリティ規制が策定されています。たとえば、国内の半導体業界は、サプライヤのセキュリティアライアンスを形成し、SEMIと協力して、半導体マシンの情報セキュリティ標準を策定します。マシンはEOSシステムを使用してはならず、OTネットワークの非シャットダウン、非干渉、非更新の運用慣性に対応し、 セキュリティを強化する方法を考えています。

Onward Securityは、スマートマシンの情報セキュリティ計画に参加しています。調査の結果、多くの企業が情報セキュリティに注意を払っていないではなく、「技術的ソリューション」に焦点を当てており、管理面の情報セキュリティ意識を持っていません。さらに、ほとんどの企業は現在の情報セキュリティ計画は認証されておらず、脆弱性スキャンと侵入テストを定期的に実行するシステムがなく、継続的な改善メカニズムが一般的に不足しており、外部委託ベンダーの監視と管理メカニズムも不足しています。これらはすべて改善する必要があります。 現在の情報セキュリティの欠陥を強化するにはどうすればよいですか？ 劉建宗（りゅう　けんそう）は、IEC62443標準をチェックリストとして参照することを提案しました。工場管理者がIEC62443に従って情報セキュリティを強化したい場合は、IEC62443-2-4標準に従い、サードパーティの認証を組み込むことができます。

Onward Securityは、台湾で最初の組み込みデバイスセキュリティテストラボを設立しただけでなく、Amazonが承認した情報セキュリティテストラボ、及びCTIAが承認したアジアで最初の情報セキュリティラボです。多くのメーカーを支援し、産業制御情報のセキュリティプロセスを確立し、国際的な証明書を取得しました。

メーカーが支援を求めて情報セキュリティを強化することを意図している場合、Onward Securityは4段階のサービスを提供できます。 第1段階は、企業またはメーカーの現在の情報セキュリティの成熟度を確認する「現状評価」です。第2段階は、管理を通じて情報セキュリティソリューションを実装するのを支援する「システム確立」です。第3段階は「情報セキュリティ検出」は、全体的なフィールドテスト、単一デバイステスト、侵入テスト、レッドチーム演習などを含むさまざまなサービスを提供します。最後は「持続可能な情報セキュリティ」です。これは、企業が情報セキュリティを企業文化と価値観に統合し、継続的な改善と長期的な安全性を目標として支援します。