海上 OT のセキュリティ：今後は荒波か順風満帆か

海運業界は、サイバーセキュリティに関して言えば、変革の海を航行していると言えます。 船舶の相互接続や新しいテクノロジーによって海上輸送の効率性は高まる一方で、サイバーリスクも同時にもたらされています。 このブログでは、船舶業界が直面する課題とリスクについて知っておくべきことと、Tenable がお役に立てることをご紹介します。

ほとんどの人は大型船に関わる仕事をしていませんが、商品のグローバルサプライチェーン内で海運業界が果たしている役割の恩恵については、私たち全員が享受しています。 国際連合貿易開発会議 (UNCTAD) の 2022 Review of Maritime Transport (2022 年版海上輸送レビュー) レポートによると、世界貿易の 80% 以上が海路で行われており、食品、 エネルギー、医薬品、その他の必需品が輸送されています。

サプライチェーンの分断、輸送船の老朽化、入港時のパフォーマンス低下はすべて、海運業界における自動化やデジタル化を推進する要因となっています。 自動化やデジタル化は効率を向上させます。しかし同時に、サイバーリスクにもつながります。 乗客、商船の乗員、軍関係者の航海中の安全を確保するためには、サイバーセキュリティが優先事項でなければなりません。

海運業界へのサイバー攻撃が成功すれば、地域や世界に以下のような重大な影響を及ぼす可能性があります。

• 健康と安全への影響
• 環境面でのインシデント
• サプライチェーンの分断
• 風評被害やブランドイメージの低下
• 財務上の損失

無防備なまま泳いでいるのは誰?

この絡み合った環境を保護する際に課題となるのは、信頼できる唯一の情報源を設定し、船舶に搭載されているテクノロジーと、それらの接続方法やそれにまつわるリスクを把握することです。 長期にわたって航海中であることが多いため、乗員の交代、整備、貨物の陸揚げ、乗客の下船のために目的地に到着したときのみ入港する船舶にある、すべての資産や、それらのファームウェアとソフトウェアのバージョンを追跡するのは困難を極めます。

今のところ海運業界では、船舶が就役したときに工場出荷時の受け入れテスト (FAT) を実施するのが一般的です。しかし、ひとたび船舶が使用され始めると、サイバーセキュリティ専門家が既存あるいは交換済みの機器や刷新化の取り組みについて常に可視性を維持できることはほとんどありません。 海技士は船舶の推進力、操舵、電力、空調システムの保守を最優先で行います。しかし、船舶を制御している IT や OT のソフトウェアの定期的なメンテナンス (パッチの適用やアップデート) は、見落とされがちです。

目前に迫る新たなサイバーセキュリティ要件

国連機関である国際海事機関 (IMO) は、海運業界向けの基本的なサイバーセキュリティガイドラインを提供しています。 しかし、新たな要件もまもなく追加される予定です。 英国に本部を置く船級協会の非営利団体である国際船級協会連合 (IACS) は、最低限の技術基準と要件を確立し、適用しています。 連合のメンバーは、IACS 統一規則 (UR) を遵守しています。 IACS の要件は、世界中の貨物輸送の船腹量の 90% 以上に適用されます。 同連合のサイバーセーフティに関する新たな要件 (UR E26 と E27) は、すべての新造船舶に対するサイバーセキュリティのベースラインの確立と適用を目的としており、2024 年 1 月の発効時には波紋を呼ぶことが予想されます。 この新たな要件は海上のサイバーセキュリティを大きく前進させるものですが、海運業界で働いている方であれば、サイバーセキュリティ対策を強化するにはどこから始めたらよいかお悩みかもしれません。

海運業界で働くサイバーセキュリティ専門家を Tenable がどのように支援しているのか

Tenable は、IT と OT のセキュリティ担当者を支援するよう設計された Tenable OT Security (旧 Tenable.ot) という包括的な一連のセキュリティツールを提供して、複数の海運会社のお客様と協業してきた実績があります。 海運業界のサイバーセキュリティ専門家は、Tenable のサービスを利用することで IT/OT 運用を他に類を見ないレベルで可視化できるとともに、接続された船舶にある Windows Server やプログラマブルロジックコントローラー (PLC) バックプレーンなどを含めた資産全体を一元化されたインターフェースで認識できます。 Tenable で、アタックサーフェス全体に対する完全な可視性が得られ、OT システムと IT システム全体のサイバーリスクの測定とコントロールが可能となります。

重要インフラネットワーク向けの Tenable OT Security は、以下を提供します。

• 資産の徹底的な可視化: Tenable OT Security は、OT 専用デバイスと従来型の IT デバイスを可視化し、アタックサーフェスを一元的に表示します。
• 脆弱性管理: Tenable OT Security の脆弱性評価機能は、船舶の OT システム、ネットワーク、アプリケーションに潜むセキュリティ上の「弱点」を特定し緩和するのに役立ちます。
• 脅威と異常の検出: Tenable OT Security は、製造環境における脅威や異常なアクティビティを継続的に監視し、想定されるサイバーセキュリティインシデントについて早期に警告します。
• デバイス設定の監視: Tenable OT Security は、デバイスの設定、ファームウェアとソフトウェアのバージョン、全体的なラダーロジック、診断バッファ、タグ構造を、コントローラーのバージョン管理、進行中のアクティビティ、挙動の全履歴とともにリアルタイムで追跡します。

リスクベースの脆弱性管理についてはこちらから

• ウェビナーのご視聴はこちらから Navigating Maritime Cybersecurity: Regulations and Best Practices (海上のサイバーセキュリティの舵取り: 規制とベストプラクティス)、Tenable のお客様であるバルチラ社の海運の専門家をお迎えして
• ケーススタディを読む: バルチラ、Tenable OT Security により重要インフラの保護に活用できる OT の可視性を顧客に提供
• バルチラ社のプレスリリースを読む: Why is a robust Operational Technology security strategy a very good idea? (オペレーショナルテクノロジーの堅固なセキュリティ戦略はなぜ得策なのか?)
• バルチラ社の LinkedIn への投稿を読む: https://www.linkedin.com/feed/update/urn:li:activity:7065265500267651072?utm_source=share&utm_medium=member_desktop