OT 脆弱性管理によって、サイバーフィジカルシステムの基盤となる可視化を実現する

サイロ化したリスク管理から脱却しましょう。VM ネイティブの OT Discovery は、Tenable Vulnerability Management および Tenable Security Center でご利用いただけます。IT と OT の両領域を横断する統合的な可視化を提供し、すべての資産を一元的に把握できます。これにより、組織全体のサイバーリスクを単一のビューで管理することが可能になります。

数十年にわたり、「エアギャップ」、すなわち IT ネットワークと重要なオペレーショナルテクノロジー (OT) を物理的に分離するという考え方は、セキュリティリーダーに安心感を与えてきました。その前提は単純です。デジタルの脅威は企業ネットワーク内にとどまり、物理的な運用は隔離された環境で安全に稼働する、というものです。

しかし、あらゆるものが接続される現代において、その前提はしばしば誤りであり、OT 環境を本来防げるはずのサイバーリスクにさらしています。

最新のデータセンターやスマート病院から商業不動産や大学まで、デジタル化と物理的なものの境界線は曖昧になっている。 ITセキュリティチームは、サイバーフィジカルシステム （CPS）（サーバーの冷却を維持する空調コントローラー、施設の入口を保護するバッジリーダー、照明の点灯を維持する配電ユニット）の安全確保に対する責任を継承するようになってきている。

しかし、多くの組織にとって、こうしたOT資産は大きな盲点となっている。

「ブラックボックス」問題

IT 資産に対する脆弱性管理プログラムは、クラウドのワークロードからノート PC に至るまで急速に成熟してきました。一方で、運用環境はいまだに「ブラックボックス」となっているケースが少なくありません。

この可視性のギャップは、主に次の 2 つの要因に起因しています。

• There is a pervasive (and historically valid) fear that scanning OT/IoT assets with traditional IT security tools could knock fragile devices offline, disrupting critical business operations.
   
• 従来の OT セキュリティツールは、多大な取り組みを必要とすることが少なくありません。高価な専用ハードウェアの導入、長期にわたる検証の実施、複雑なミラーポートの設計、さらには機微な本番環境に新たなアプライアンスを設置する際の社内調整など、その複雑さとコストの高さが、プロジェクトの正当化を困難にしています。

その結果、危険なパラドックスが生じています。セキュリティチームは相互接続されたシステムのリスクに責任を負っているにもかかわらず、それらを可視化し、防御するための十分な手段を持っていません。一方、攻撃者にはそのような制約はなく、侵害された IT ネットワークを足がかりに、防御が不十分な OT 資産へと侵入し、被害を最大化しています。

OT / IT セキュリティ統合の再考

DX 時代のアタックサーフェスを適切に保護するためには、IT と OT のリスクをサイロ化したまま管理する体制から脱却する必要があります。セキュリティリーダーには、プログラマブルロジックコントローラー (PLC) の脆弱性を、Windows サーバーの脆弱性と同じ厳格さと文脈で評価できる統合ビューが求められています。

これを実現するには、資産可視化へのアプローチを根本から見直す必要があります。 セキュリティチームには、物理拠点ごとにハードウェアを展開する負担を伴うことなく、コンプライアンス対応やリスク低減に必要なレベルの OT 可視性を確保できる、効率的な手法が求められています。さらに、既存のインフラを活用しながら、シャドー OT 資産を安全に把握できる仕組みも必要です。

^{Image: Tenableのオペレーショナルテクノロジー（OT）のリサーチ・テストラボの一部門。}

VM ネイティブ OT Discovery のご紹介

最新リリースにより、OT セキュリティツールのコスト構造と導入のしやすさが大きく変わります。このたび、Tenable One サイバーエクスポージャー管理プラットフォームに直接組み込まれた新機能 OT Discovery を発表しました。OT および IoT 環境に対する基盤的な可視性を提供します。OT セキュリティへの最適な導入ステップとして、これまで見えなかった OT リスクや資産レベルの詳細情報を明らかにします。

こ本機能がセキュリティプログラムにもたらす主な変化は、次のとおりです。

• Safe visibility for cyber-physical systems. OT Discovery uses the same Active Query engine found in our specialized Tenable OT Security solution—now natively integrated into Tenable Vulnerability Management and Tenable One. It performs "smart," protocol-aware handshakes to verify assets before querying them so you can safely profile PLCs, human-machine interfaces (HMIs), IoT devices, and shadow IT assets across your environment.
   
• Unified OT/IT exposure management. By integrating OT asset data, including vendor, model, and firmware details, directly into your existing dashboards, you can break down silos and view your organization's total risk exposure in a single pane of glass.
   
• 既存のセキュリティ投資の価値を最大化。 既存環境を大きく入れ替えたり、新たなハードウェアを導入したりする必要はありません。 本機能により、現在お使いの脆弱性管理ツール群の価値を拡張し、ネットワーク上に潜む OT リスクを可視化できます。

IT と OT のサイロを打破する

OT / IT のエクスポージャー管理を統合的に進めることは、部門間の信頼構築につながります。

これまで、IT セキュリティ部門とファシリティ運用部門の関係は、必ずしも円滑とは言えませんでした。IT は既知の脆弱性をスキャンし、パッチを適用したいと考えます。一方、運用部門は稼働率と安定性を最優先にします。IT セキュリティチームが、攻撃的なスキャンや不慣れなハードウェアを持ち込んで OT 領域に踏み込もうとすれば、摩擦が生じるのは避けられません。

VM ネイティブ OT Discovery は、この構図を変えます。Tenable は、既存インフラ上で実行可能な、信頼性の高い安全なクエリ手法を採用しているため、セキュリティチームは信頼できるデータとリアルタイムのエクスポージャー情報をもとに、運用チームと建設的な対話を行うことができます。

「ネットワークにブラックボックスを設置してもよいですか」と尋ねる代わりに、次のように伝えることができます。「このサブネット上で、未管理の PLC が 3 台通信していることを確認しました。対象機器は特定済みです。次回の保守タイミングまで 6〜12 か月待つのではなく、今すぐ一緒に対策を進めましょう。」

今すぐ OT セキュリティを始めましょう

OT セキュリティは、もはや大規模な製造業や重要な社会インフラを担う組織だけのものではありません。あらゆるメーカー、倉庫運営事業者、スマートビル管理システムを運用する組織が、運用リスクに直面しています。

OT の盲点を可視化する準備はできていますか。始めるのに多額の予算や1年にわたるデプロイメント・プロジェクトは必要ない。 Watch this quick demo to see how you can secure your most critical assets with the vulnerability management tools you already use.
 

Are you an existing Tenable customer? Explore the user guide documentation for Scan Templates and Discovery Settings to get started.

もっと詳しく

• OT セキュリティにおける課題と解決策について、電子書籍「ブラックボックスから青写真へ: OT および IT リスク管理のためのセキュリティリーダーズガイド」で詳しくご紹介しています。
• Tenable One サイバーエクスポージャー管理プラットフォームの全体像をご覧ください。アタックサーフェス全体に対応する、スケーラブルなセキュリティソリューションを提供します。
• Request a demo to find out how Tenable exposure management solutions fit into your cybersecurity roadmap.