「制御システムのセキュリティリスク分析ガイド 第2版 ～セキュリティ対策におけるリスクアセスメントの実施と活用～」を公開

ガイドの概要│目次│セミナー│資料のダウンロード│アンケート│
第1版から第2版への改定内容│製本版のお申込み先

　従来、制御システムは固有のシステムで構成され、外部ネットワークや情報系システムとは接続されていなかったことから、セキュリティの脅威は殆ど意識されてきませんでした。しかし近年、WindowsやUNIXといった汎用のプラットフォームや通信プロトコルの活用、ネットワークや外部メディアの利用といった環境の変化の下で、セキュリティ脅威の増大と実際のサイバー攻撃事案の発生が増加してきており、一方で制御システムは社会や産業における重要なインフラとしての位置付けも大きくなっており、そのセキュリティへの対応の重要性が非常に高まっています。

　この様な状況を受け、IPAでは2008年より制御システムにおけるセキュリティへの対応状況と基準や評価認証制度に関して調査を開始し、セキュリティ基準であるIEC 62443の活用の推進やそれをベースとした評価認証制度の立上げ等を推進してきました^(*1)。また、2014年からは、様々な分野の重要インフラを支える制御システムのセキュリティリスク分析を実施してきました^(*2)(*3)。

　これらの活動を通して、システムのセキュリティレベルの抜本的な向上を図るのに不可欠な位置付けにあるセキュリティリスク分析が、制御システム分野や重要インフラに関わる多くの事業者において、十分もしくは詳細には実施されていないのが実態であることが分かってきました。その背景には、脅威の実認識やセキュリティ投資といった経営的な側面もあるものと推察していますが、もう一方には以下の様な根源的な課題もあると推測されます。

【課題A】リスク分析の具体的な手法や手順が分からない
【課題B】リスク分析には膨大な工数を要する（と言われている）ので回避したい

　この点を解決したい、というのが、本ガイド策定の背景となっています。

　本ガイドによって制御システムを活用する事業者のセキュリティリスク分析への理解が深まって、制御システムのリスク分析に取り組んでいく組織が増加すること、結果として各組織におけるセキュリティレベルの抜本的な向上と継続的な維持見直しが達成されることを期待します。本書は制御システムのセキュリティリスク分析のガイドの位置付けですが、詳細リスク分析の手法自体は、情報システムでも共通であり、情報システムのリスク分析においても参考になるものと考えます。また、9章の特定セキュリティ対策は、全てのシステムのセキュリティ検討に適用が可能です。

　なお、本書は、2017年4月1日にIPA内に発足しました「産業サイバーセキュリティセンター」^(*4)における人材育成事業や安全性・信頼性検証事業等において、教育の素材としても活用しています。

　(*1) IPA: 制御システムにおけるセキュリティマネージメントシステムの構築に向けて ～IEC62443-2-1の活用のアプローチ～
　https://www.ipa.go.jp/security/fy24/reports/ics_management/index.html
　(*2) 原子力損害賠償・廃炉等支援機構： 東京電力スマートメーターシステムの情報セキュリティ対策に関する意見
　http://www.ndf.go.jp/press/at2015/20150731bt.pdf
　(*3) 経済産業省： 平成27年度補正予算の概要（PR資料）（p.21）
　http://www.meti.go.jp/main/yosan/yosan_fy2015/hosei/pdf/pr_01.pdf
　(*4) IPA　産業サイバーセキュリティセンター
　https://www.ipa.go.jp/icscoe/index.html

　本ガイドは、以下を目的としています。

　●　セキュリティリスク分析の全体像の理解を深め、その取り組みを促すこと
　●　セキュリティリスク分析を具体的に実施するための手順や手引きを示すこと
　●　IPAにおいて実践したセキュリティリスク分析でのノウハウを手引きに織り込むこと

　本ガイドでは、各システム資産に対する精緻な評価、及び攻撃者視点での実際の攻撃シナリオの評価の観点から、以下の2通りの詳細リスク分析の手法を解説しています。一方だけでもそれぞれで有効な評価結果が得られますが、相互補完的な役割も果たしています。この2手法はIPAが実システムで適用した手法を解説しており、特に（2）の手法に関しては具体的な手引きが他に存在していませんので、詳細に解説しています。

（1）資産ベースのリスク分析
　　　保護すべきシステムを構成する各資産を対象に、その重要度（価値）、想定される脅威の発生可能性、
　　　脅威に対する脆弱性の3つを評価指標として、リスクを評価する分析手法。

（2）事業被害ベースのリスク分析（攻撃シナリオと攻撃ツリーによる分析）
　　　システムで実現している事業やサービスに対して、事業被害とそのレベル、事業被害を引き起こす
　　　攻撃ツリーの発生可能性、攻撃に対する脆弱性の3つを評価指標として、リスクを評価する分析手法。

　両リスク分析において、リスク分析は資産の数やシステムの複雑さや攻撃ルートの網羅で大きな工数が必要となりますが、本ガイドでは、リスク分析の実施にあたって、資産のグループ化の方法や評価すべき攻撃ルートの絞り込み方法の考え方も合わせて解説することで、工数削減の実現を図っています。

　本ガイドでは、モデルシステムに対するリスク分析を実際に実施していく具体的な手順を解説することで前述の【課題A】に、また、リスク分析を補助する以下の素材を提供することで【課題B】に応えるようにしています。

　●　リスク分析シート（フォーマット、実施例等）のエクセルファイル
　●　リスク分析関係者が、リスク分析とセキュリティ対策を共通の土台の上で実施、議論できるように
　　　するための、脅威（攻撃方法）一覧、セキュリティ対策項目一覧、及びその対応一覧
　●　特定のセキュリティ対策（暗号技術の利用、標的型攻撃対策、内部不正対策、ファイアウォール
　　　の設定、外部記憶媒体対策）に関する詳細チェックリスト

　本ガイドではリスク分析結果の活用方法として、リスク値の解釈、及びリスク低減のための対策強化策の検討方法を解説しています。また、リスク分析後に必要に応じて実施を検討することが考えられるセキュリティテストに関しても解説しています。

　　公開にあたって
　　第2版改定にあたって
　　1. セキュリティ対策におけるリスク分析の位置付け
　　2. リスク分析の全体像と作業手順
　　3. リスク分析のための事前準備（1）～ 分析対象の明確化 ～
　　4. リスク分析のための事前準備（2）～ リスク値と評価指標 ～
　　5. リスク分析の実施（1）～ 資産ベースのリスク分析 ～
　　6. リスク分析の実施（2）～ 事業被害ベースのリスク分析 ～
　　7. リスク分析結果の解釈と活用法
　　8. セキュリティテスト
　　9. 特定セキュリティ対策に対する追加基準
　　参考文献
　　付録

　本ガイドの活用促進のため、制御システムを保有する事業者向けにセミナーを実施しています。

　■制御システムのセキュリティリスク分析ガイド：セミナー

　※本ガイドは、A3とA4のページが混在しています。ガイドの印刷にあたっては、例えばAdobe Acrobat Readerを
　　お使いの場合は、印刷の設定画面において「PDFのページサイズに合わせて用紙を選択」を指定すると、
　　A3のページはA3のまま出力されます。

制御システムのセキュリティリスク分析ガイド：Q&A集

これまで頂いたご質問等とそれらに対する回答を記載しています。

　制御システムのセキュリティリスク分析ガイド：Q&A集

今後の改定・活動の参考にするため、アンケート へのご協力をお願いいたします。

旧版のダウンロード

　2017年10月に公開した第1版を基に、制御システムのリスク分析を実施する事業者（内閣サイバーセキュリティセンター（NISC）が定めた重要インフラ分野のうち数業界の各1～2事業者）を、IPAは支援してきました。ここで得られたフィードバックや寄せられたご意見・改善点を反映しました。

●　資産ベースのリスク分析　－　分析手法の簡略化による工数の削減
　　第2版では、事前準備段階で資産のグループ化を一括実施すると共に、資産種別のみを基に各々の資産に対する脅威と
　対策候補を抽出することで、分析手順を簡略化して工数を削減できるよう、分析の方法を見直しました。

●　事業被害ベースのリスク分析　－　分析対象の選定基準の提示による工数の削減
　　第2版では、攻撃が成功した場合の事業被害が大きく、攻撃者に狙われる可能性が高い重要な攻撃ツリーを選定して、
　優先的に分析を行うことで、分析の有用性を確保しつつ工数を削減できるよう、分析の方法を見直しました。

　リスク分析における基本的な評価指標とその評価値、リスク分析を実施した結果得られるリスク値（リスクレベル）の意味を厳密に定義しました。

　経済産業省プレスリリース（2017年10月2日）
　IPAプレスリリース（2017年12月19日）
　経済産業省プレスリリース（2018年10月15日）
　IPAプレスリリース（2018年10月15日）

　IPA　セキュリティセンター　E-mail: