Stuxnet攻撃から10年が経過し、重要インフラに不可欠な運用技術（OT）システムの脆弱性が明らかになったが、これらのシステムは依然として露出しており、将来のサイバー脅威への備えに関する懸念が高まっている。特に、Siemensブランドのプログラマブルロジックコントローラー（PLC）が依然として脆弱であることが指摘されている。
OTシステムの脆弱性の主な課題は、人間の行動にある。攻撃者は、セキュリティよりも怠惰や便利さを優先する人間の行動を利用し、弱いパスワードや更新の怠慢、プロトコルへの不十分な遵守を突く。ITとOTの融合は、効率とイノベーションを促進する一方で、攻撃対象となる表面積を拡大する。
Dark Readingの記事は、セキュリティ対策を強化する技術の使用を推奨しているが、これだけでは万全ではない。攻撃者は、TLS（トランスポート層セキュリティ）が無力となる他の方法に切り替える可能性がある。デバイスレベルでの保護が重要であり、ゼロトラストの適用と施行により、重要インフラを保護する。
セキュリティポリシーの推進と、安全なOT環境のための明確なガイドラインの確立は、PLCへのすべてのアクセス試みを慎重に検証することを含む。特定のユーザーには必要最小限の権限のみが付与されるべきである。セキュリティチームとOTマネージャーは、工場の床で重要なシステムを制御するPLCとのやり取りが許可されたユーザーのみに限定されるよう、アクセス制御を推進する必要がある。
Siemens PLCの脆弱性は、重要インフラを保護するための継続的な闘いを思い起こさせる。Siemensは多くのPLCベンダーの一つに過ぎず、それぞれが独自の脆弱性を持っている。したがって、サイバーセキュリティは、床のマネージャーだけでなくITチームの責任の一部でなければならない。彼らは、PLCの保護を第一層とする層状のアプローチが必要であることを理解する必要がある。PLCへのアクセスと資格情報の管理と施行により、脆弱なインフラストラクチャを回復力のあるインフラストラクチャに変えることができる。
【ニュース解説】
Stuxnet攻撃から10年が経過し、重要インフラを支える運用技術（OT）システム、特にSiemensブランドのプログラマブルロジックコントローラー（PLC）の脆弱性が依然として露呈していることが、最近の報告で明らかになりました。この問題は、将来のサイバー脅威に対する私たちの備えに関して深刻な懸念を引き起こしています。
OTシステムの脆弱性における主な課題は、人間の行動に根ざしています。セキュリティよりも便利さや怠惰を優先する人間の傾向を攻撃者は利用し、弱いパスワードや更新の怠慢、プロトコルの不十分な遵守を突くことで、システムへのアクセスを容易にします。また、ITとOTの融合は、効率とイノベーションを促進する一方で、攻撃対象となる表面積を拡大し、セキュリティ上のリスクを増大させます。
セキュリティ対策を強化するために、トランスポート層セキュリティ（TLS）などの技術の使用が推奨されていますが、これだけでは不十分です。攻撃者は、TLSが無力化される他の攻撃手法に切り替える可能性があります。このため、デバイスレベルでの保護が非常に重要となり、ゼロトラストの原則の適用と施行により、重要インフラを保護することが求められます。
セキュリティポリシーの推進と、安全なOT環境を確立するための明確なガイドラインの設定は、PLCへのアクセス試みを慎重に検証し、特定のユーザーには必要最小限の権限のみを付与することを含みます。セキュリティチームとOTマネージャーは、工場の床で重要なシステムを制御するPLCとのやり取りが許可されたユーザーのみに限定されるよう、アクセス制御を推進する必要があります。
Siemens PLCの脆弱性は、重要インフラを保護するための継続的な闘いを思い起こさせます。Siemensは多くのPLCベンダーの一つに過ぎず、それぞれが独自の脆弱性を持っています。サイバーセキュリティは、床のマネージャーだけでなくITチームの責任の一部であり、PLCの保護を第一層とする層状のアプローチが必要であることを理解する必要があります。PLCへのアクセスと資格情報の管理と施行により、脆弱なインフラストラクチャを回復力のあるインフラストラクチャに変えることができます。
このような脆弱性への対応とセキュリティ対策の強化は、サイバー攻撃の進化に対抗するために不可欠です。セキュリティの層状のアプローチを採用し、人間の行動に起因するリスクを最小限に抑えることで、重要インフラの保護を強化し、将来のサイバー脅威に対する備えを向上させることができます。
from The Ongoing Struggle to Protect PLCs.
