ICSサイバーセキュリティの実情：産業組織のサイバーセキュリティインシデントのコストは年間平均497,000ドルに上る

[本参考資料は、2017年6月7日にKaspersky Labが発表したプレスリリースに基づき作成したものです]

Kaspersky Labと英調査・コンサルタント企業のBusiness Advantage社は、2017年2月から4月にかけて、世界21カ国の産業組織内でサイバーセキュリティの実務を担当する359人を対象に、産業用制御システムのサイバーセキュリティに関する調査を実施しました。調査の結果から、回答者の大半はサイバーセキュリティインシデントに対する自組織の備えは万全であると考える一方、それは十分な根拠に基づくものではないことがわかりました。2016年には半数の組織が1～5件のインシデントを経験し、産業組織のセキュリティ関連の累積損失は年間平均で497,000ドル^※1 以上に上ります。

Industry 4.0という新たなトレンドによって、世界中の産業組織にとってサイバーセキュリティ対策が最優先事項となり、産業用制御システム（ICS）におけるITと運用技術（OT）の統合、パートナー企業による産業用制御ネットワークへのアクセスなど、新たな課題が生じています。今回の調査結果から以下のことが明らかになりました。

■ICSインシデントの経験から、認識と現実のギャップが浮き彫りに

• 回答者の83%がOT/ICSサイバーセキュリティインシデントについて十分に認識していると回答したにもかかわらず、調査対象組織の半数が過去12か月間に1～5回のITセキュリティインシデントを経験しており、そのうち4%は6回以上のインシデントを経験していました。
• 回答者の74%が、自組織のインフラストラクチャがサイバー攻撃を受ける可能性があると考えており、直面しているリスクを十分に認識しています。
• 標的型攻撃やランサムウェアといった新しい脅威についての認知度は高いものの、勤務する組織の課題は従来型のマルウェアであり、回答者の56%が最も懸念する攻撃と考えています。この点においては認識と現実が一致していて、従来型マルウェアによる損害への対応を余儀なくされたと回答した人はインシデントを経験した内の半数に上りました。
• 従業員の不注意についても、認識と現実にはギャップがありました。これは産業組織にとって、サプライチェーンやパートナー企業の関係者や外部の人間による妨害行為や物理的損害よりもはるかに大きな脅威です。外部の人間による攻撃は懸念する原因の2番目でした。
• インシデントがもたらした影響のトップ3には、製品やサービスの品質低下、専有情報や機密情報の消失、特定の現場での生産能力の低下や喪失が入っています。

_{図1：ICSインフラストラクチャにおけるインシデントの懸念（サンプル数=359）と実際に過去12か月間に起きた原因（サンプル数=195）}

■ 回答者が勤務する組織のセキュリティ戦略：エアギャップからネットワークの異常検出まで

• 回答者が勤務する組織の86%は、潜在的なインシデントからの保護を目的としたICSサイバーセキュリティポリシーを文書化していました。しかし、実際にはインシデントは発生しており、サイバーセキュリティポリシーだけでは十分でないことは明らかです。
• 組織内外のITセキュリティの専門知識不足に苦慮しており、ICSセキュリティに関する最大の懸念事項はスキルの欠如でした。常に脅威にさらされているにもかかわらず、必ずしも攻撃に対抗する準備ができていないため、極めて憂慮すべきと言えます。
• 自組織の従業員が脅威になることもわかりました。ドイツのある製造工場のICS実務担当者は、次のように述べています。「外部からの脅威に対する守りは固めていますが、社内の脅威による影響は直接的です。内部に潜む脅威は、気づかないうちに従業員の中から生まれます」

• 評価できる点として、ICS実務担当者が採用しているセキュリティ戦略は非常に手堅く、大半の組織は、エアギャップをセキュリティ対策として使用することをすでに断念し、包括的なサイバーセキュリティソリューションの採用を進めていることがわかりました。
• 今後12か月のうちに、産業用異常検知ツールの実装（42%）と従業員へのセキュリティ意識向上トレーニングを計画していると回答しました。2社に1社が自組織の産業用制御ネットワークに外部プロバイダーがアクセスできるようになったため、脅威の境界が広がったと認めていることからも、異常検知の実装は特に重要です。

Kaspersky Labクリティカルインフラストラクチャ プロテクションビジネス部長、アンドレイ・スヴォーロフ（Andrey Suvorov）は次のように述べています。「ITとOTシステムの相互接続が進むにつれて新たなセキュリティの課題が生まれ、経営陣、エンジニア、ITセキュリティ担当チームは多くの準備が必要になっています。脅威の状況を深く理解し保護手段を十分に検討すると同時に、従業員の意識を高める必要があります。ICSの現場はサイバー脅威にさらされているため、入念な備えが必要です」

■ 調査結果の詳細レポート「The State of Industrial Cybersecurity 2017」（英語）は、Kaspersky Daily ブログ「ICSサイバーセキュリティ：現場の視点」からダウンロードできます。 （ダウンロードには登録が必要です）

■ Kaspersky Industrial Cybersecurityの詳細については、こちらをご覧ください。

調査概要：産業用制御システムのサイバーセキュリティに関する調査は、Kaspersky Labと英調査・コンサルタント企業のBusiness Advantage社が、世界21カ国の産業組織内でサイバーセキュリティの実務を担当する359人を対象に実施しました。調査期間は2017年2月～4月。

^※1 　従業員500人以上の規模の産業組織