Industrial Cybersecurity 応用分野

どのセキュリティ対策が必要かを明確に把握するには？

プラント運営者は、効果的なサイバーセキュリティ対策なしではもはや余裕がありません。産業環境におけるセキュリティに関するCompliance 要件と、重要なインフラストラクチャを保護するための法律は、ますます厳しくなっています。しかし、産業用サイバーセキュリティのための時間と資金は限られていることが多く、専門家はほとんどいません。IT従業員は、自動化の専門知識を持つセキュリティ専門家のサポートを必要としています。それから、新しいコンプライアンス要件や法律により、決められた期限までに対策を講じることが求められるため、時間的なプレッシャーがあります。

セキュリティロードマップの作成

Security 評価 脅威と脆弱性を徹底的に分析し、リスクを特定し、特定された抜け穴を塞ぐための推奨事項を提供します。透明性を最大化し、オートメーションシステムの現在のセキュリティ状況の包括的な概要を提供します。コンパクトな1日のオンサイト評価（産業Security チェック）か、IEC 62443（IEC 62443評価）に準拠した包括的な評価を選択できます。 産業Security コンサルティング 経験豊富なアドバイザーが現場でサポートし、セキュリティガイドラインの遵守と工場特有のネットワークレイアウトの開発を支援します。また、お客様固有の要件が満たされていることも確認します。

ITとOTの間のギャップをどうやって埋めることができますか？

複雑なIT/OTテクノロジー、ITとOTの間の知識のギャップ、リソース不足の課題をどのように克服しますか？すぐに稼働できるIT/OTインフラストラクチャは、サイバーセキュリティを念頭に置いて設計されています。私たちの専門家は、彼らの専門知識にすぐにアクセスする準備ができています。運用継続のためのSolutions、可用性とサイバーセキュリティコンプライアンスを最大化します。要するに、関連するすべてのサイバーセキュリティ規制を満たすお手伝いをします。

IT/OTインフラとリモートサービス

Industrial Automation Data Center は、サイバーセキュリティを備えた、カスタム構成ですぐに実行できるIT/OTインフラストラクチャです。Remote Industrial Operations Services には、IT/OTインフラの管理が含まれます。当社の専門家は、継続的な監視、積極的なサポート、マネージドセキュリティサービスにより、お客様のプラントの運用継続性を確保します。

ITとOTの間のインターフェースをどのように保護できますか？

サブネットと安全要件が同じシリアルマシンを保護することは重要です。セキュリティ機能が組み込まれていないすべてのデバイスは、オートメーションセル内で保護する必要があります。ファイアウォールデバイスには、管理と設定に多大な労力が必要です。柔軟なセキュリティゾーンの概念と一元化されたファイアウォール管理により、高いデータスループットが確保され、システムの可用性とデータセキュリティが高まります。さらに、OTネットワーク、リアルタイム環境、安全環境の可用性を最大限に高めることで、IEC 62443の要件を満たすのに役立ちます。安全なリモートアクセスとゼロトラストの原則は、境界とゾーンの保護に依存します。

SCALANCEとSSINEC 製品による境界ベースのセキュリティ

適切なアプローチを選択することは、安全なネットワーク設計の基礎を築きます。ネットワーク自動化コンセプトを実装する典型的な例は、レイヤー3ベースのセルの分離に依存するセルセキュリティ設計です。ネットワークは、各セルの前にSCALANCE S産業用Security アプライアンスを設置することによって分割されます。通信は、SINEC NMSネットワーク管理システムを介したファイアウォールルールによって一元管理されます。SINEC INSは、ユーザー認証と集中ロギングのための追加サービスを提供します。

ファイアウォールで保護されたセルのセキュリティコンセプト

安全なネットワーク設計の基礎は、ソリューションアプローチの選択から始まります。この自動化ネットワークコンセプトの実装では、レイヤー3ベースのセル分離に依存するセルセキュリティの概念を紹介します。Industrial Next Generation Firewall デバイスは各セルの前に配置されています。また、フロントエンドおよびバックエンドのファイアウォールとして、産業用次世代ファイアウォールを使用しています。

安全なリモート接続を確立するには？

世界中の分散したマシンにサービスを提供するには、多大な物流労力と出張費が必要です。また、分散マシンの可視性も不足しています。確立されたVPNトンネルの管理と接続デバイスのメンテナンスには、多大な労力が必要です。私たちのソリューションは、広い帯域幅、簡単なセットアップ、柔軟性、簡単な拡張性、暗号化による改ざん防止を提供します。UMCによる安全なデータ転送と一元認証は、不正アクセスを防ぎます。SCALANCEデバイスの自動設定により、統合が容易になります。また、すべてのVPN接続とユーザーを管理するのに特別なITスキルは必要ありません。

SINEMA Remote Connectを使ったテレサービスとリモートメンテナンスのための簡単なリモートアクセス

SINEMA Remote Connectプラットフォーム技術により、コントロールセンター、サービス技術者、設置機器間のトンネル接続（VPN）を安全に管理できます。これにより、サービス対象のマシンが配置されている企業ネットワークに直接アクセスする必要がなくなります。サービス技術者はSINEMA Remote Connectクライアントを使用し、メンテナンスが必要なシステムまたはマシンにはSCALANCE S産業用セキュリティアプライアンスまたはSCALANCE M産業用ルーターが装備されています。技術者と機械の両方が、必要に応じてSINEMA Remote Connectサーバーと個別の接続を確立し、参加者の身元は証明書の交換によって決定されます。そうして初めて、マシンへのリモートアクセスが許可されます。 SIMATIC S7-1200とシマティックS7-1500用のSecurity CPです コントローラーをIndustrial Ethernet ネットワークに安全に接続できます。

リモートアクセスプラットフォームSaaSによる安全なリモートアクセス

リモートプラットフォームサービスとしてのSoftware、共通のリモートサービスプラットフォーム（CRSP）の独自のインスタンスへのアクセスを提供します。シーメンスによるCrSPの一元的な運用により企業のセキュリティを確保し、独自のCrSPインスタンスの自己管理と設定を可能にします。このプラットフォームを使用して、分散した場所にある自社の産業用デバイスにリモートでアクセスしたり、その場所にいるエンドカスタマーにリモートでサービスを提供したりできます。

Zero Trust 原則に基づいて安全な環境を作るにはどうすればいいですか？

データやシステムへのリモートアクセスを含む、モバイルワークオプションの必要性は、開発と生産の分野でも高まっています。運用と最適化の段階では、従業員はすべての場所からこれらの特定の開発および生産エリアにアクセスする必要があります。同じことが運用プロセスのサポートや品質管理ワークフローの実装にも当てはまります。このOTエリアへのアクセスは、Zero Trust 原則に基づいて企業ネットワークの内外を問わず提供でき、ネットワークインフラストラクチャを変更する必要はありません。顧客ネットワークの内外からOTエリア（制限区域を含む）へのアクセスは、マシンレベルまで可能でなければなりません。

Zero Trust ゲートウェイとしてのSCALANCE LPE

ゼロトラストの原則を組み込むには、Zscaler Inc. のセキュリティソリューションに基づくZero Trust OTアクセスサービスを、ローカルのSCALANCE LPE（ローカルプロセッシングエンジン）処理プラットフォームで利用できるようにする必要があります。ソリューションをDocker©コンテナとしてSCALANCE LPEにインストールすることで、最大限のセキュリティで産業オートメーション環境にアクセスできるようになります。つまり、「Defense in Depth」が提供する強力なセル保護、外部からの生産ネットワークへの安全なアクセス（たとえば、オフィスやモバイルワークでの柔軟な作業を可能にする）、生産ネットワークに必要な最大限の可用性と完全なリアルタイム機能という3つの目的が互いに補完し合っています。

ITとOTの間のデータ交換を安全にする方法は？

運用段階では、OTはIT部門からのデータを必要とし、またデータを送り返します。このデータは、データの改ざんや盗難を防ぎ、セキュリティ基準に準拠するために保護する必要があります。ただし、OTインフラストラクチャ内では、外部から内部ネットワークへの直接アクセス、またはその逆のアクセスは禁止されています。IT従業員は、最先端のIT/OT保護を導入するために、自動化の専門知識を持つセキュリティ専門家からのサポートも必要としています。

産業用DMZインフラストラクチャを介した安全なデータ交換

Industrial DMZ Infrastructure は、統合されたセキュリティ機能を備えたIT/OTネットワークセグメンテーションのためのすぐに実行できるコンセプトです。フロントとバックのファイアウォールにより、DMZはOTシステムを外部からの不正アクセスから保護します。冗長性のある超近代的な産業用次世代ファイアウォールは、ポートフィルターとして機能するだけでなく、アプリケーションレベルでデータを分析します（ディープ・パケットInspection）。リモートアクセス、ファイル交換、Active Directoryなどの産業用DMZに含まれるサービスは、別の高性能ビジュアライゼーションホスト上の仮想マシンとして利用できます。IDMZ自体はZero Trust 概念に基づいています。

最も重要なセキュリティ設定を簡単に行うにはどうすればいいですか？

オートメーションシステムをサイバー攻撃から守るためには、エンジニアリングとメンテナンスの段階でセキュリティ設定を行う必要があります。試運転プロセスをシンプルにするために、これは効率的で直感的でなければなりません。試運転中であっても、エンジニアはセキュリティ要件を満たし、ヒューマンエラーを減らすための効率的な方法を必要としています。ただし、常にそうなるとは限りません。つまり、試運転中に機密データが保護されないままになる可能性があります。これは、ユーザーがセキュリティ設定に関する深い技術的知識を欠いているか、セキュリティ対策がパスワードを要求するなどしてエンジニアリングプロセスの妨げになるためです。

コントローラーの簡単で安全な試運転

TIA Portal Security アシスタントの助けを借りれば、セキュリティの設定が簡単になります。TIA Portal V17、SIMATIC S7-1500/S7-1200、およびHMIパネルでは、機密構成データ、安全なPG/HMI通信、およびさまざまなコントローラーのアクセスレベルのパスワードを設定できます。TIA Portal とコントローラーの間、またはコントローラーとHMIの間の通信は、TLS V1.3によって保護されます。

ユーザー、役割、アクセス権を簡単かつ一元管理する方法は？

エンジニアリングとメンテナンスの段階では、ユーザープログラム、自動化システム、データへの不正アクセスを防止する必要があります。工場全体のユーザー権限のきめ細かな設定、アクセス管理、効率的な管理が不可欠です。すでに利用可能なMicrosoft Active Directoryサーバーからユーザー/グループをインポートすると、時間と労力を節約できます。パーソナライズされたアクセスは、一般的なパスワードアクセスの代わりに保護を強化します。

OTレベルでの効率的なユーザー管理

効率的なユーザー管理を行うには、Microsoft Active Directoryからユーザーとグループをインポートしてください UMCサーバー。TIA Portal エンジニアリングステーションをUMCサーバーに接続し、UMCサーバーからTIA Portal にユーザーとグループをインポートします。権限と役割をローカルに割り当てることができます。

ダウンタイム、データの盗難、データ改ざんを防ぐために、サイバーリスクを減らすにはどうすればいいですか？

生産はますますダイナミックになっているため、製品ライフサイクル全体を通してデータにアクセスすることが重要です。デバイス、システム、およびユーザーは、適切なデータアクセス管理や識別メカニズムが整っていない状態で、継続的に、または必要に応じてデータを交換します。適切な識別メカニズムがないと、誰でもネットワークに接続でき、システムが中間者攻撃を受けやすくなります。また、データはクリアテキストで送信され、ネットワーク内で読み取ることができるため、盗難、改ざん、スパイ活動、妨害行為の危険にさらされます。

認証と暗号化による完全性

トランスポート層Security（TLS）V1.3に基づくTIA Portal、SIMATIC S7-1500/S7-1200、およびHMIステーション間のエンドツーエンドの暗号化により、安全な通信が可能です。これは、OPC UAとWebサーバーを介した通信、そしてオープンユーザーコミュニケーションにも拡張できます。

マルウェアから保護する方法は？

オペレーティングシステムが稼働するOTシステムの保護は、運用段階と最適化段階の両方で不可欠です。通常、エンドポイント保護は、制御システムの可用性を確保するために不可欠なシステムの完全性を確保するために使用されます。同時に、ウイルス、ランサムウェア、トロイの木馬という形でのマルウェアの脅威は、産業部門を標的にして指数関数的に増加しています。産業システムでの使用が許可されているのは、OT固有の構成で承認されたソリューションのみです。

マルウェアからの信頼できる保護

マルウェアからのエンドポイント保護には、対照的な2つのアプローチがあります。それぞれのアプローチには、状況に応じて利点があります。

• アンチウイルスは既知の脅威に焦点を当てています。有害なアプリケーションの実行は、常に更新される署名ファイル（「拒否リスト」）のシステムを使用してブロックされます。
• アプリケーションコントロールは未知の脅威に焦点を当てています。ポジティブリスト（「許可リスト」）の信頼できるアプリケーションの定義に基づいて、信頼できるアプリケーションのみの実行が許可されます。

さらに、第三者サプライヤーのバージョンのSIMATIC PCS 7とそのEDRソフトウェアを具体的に構成するために、エンドポイントの検出と応答（EDR）の相互運用性テストを提供しています。

脆弱性とパッチを管理するには？

システムは、運用段階と最適化段階で定期的に更新する必要があります。多くのシステムは、毎日報告される新しい脆弱性の影響を受けやすく、何もしなければハッカーがそれを悪用する可能性があります。私たちのソリューションは、高度な脆弱性インテリジェンスに基づいて、関連する脆弱性を即座に透明化します。また、サイバーリスクの積極的な管理が可能で、ワークフローに簡単に統合でき、時間とコストを節約できます。私たちのサービスは、ダウンタイムやコストのかかる攻撃を防ぐために、脆弱性を適時に特定して管理します。

セキュリティと可用性を向上させるための脆弱性とパッチの管理

Vulnerability Services を使用すると、対処できる脆弱性に関する関連情報を提供することで、インフラストラクチャと製品ポートフォリオを保護できます。さまざまなオプションを使用して、個々のシステムの脆弱性警告を受け取ります。

• 管理ポータル：コンポーネントに関連する脆弱性の体系的な概要を提供するWebベースのアプリケーション
• アプリケーションプログラミングインターフェイス（API）：脆弱性情報を既存の脆弱性管理ツールやプロセスに統合するためのシームレスなインターフェイス

イベントを安全に記録するにはどうすればいいですか？

セキュリティインシデントを監視し、セキュリティ違反を迅速に特定して対応するには、イベントを記録することが重要です。イベントデータを改ざんしたり紛失したりすると、安全上の問題や業務の中断につながる可能性があるため、イベントの完全性も不可欠です。さまざまなデバイスやシステムからのログデータを一元化します。ログの整合性は、暗号化されたイベント送信によって保証され、イベントへの不正アクセス、改ざん、サイバー攻撃を防ぎます。OT環境内の重要なイベントやアクティビティをリアルタイムで監視しています。

エンドツーエンドのイベントロギング

私たちのソリューションでは、ローカルでイベントロギングを行い、安全なSyslogプロトコルを利用してイベントを送信します。SIMATIC S7-1500、SCALANCE「Syslogクライアント」、および「Syslogクライアント」の間のエンドツーエンドの暗号化を提供しています 「Syslogサーバー」とは。

マシンへのアクセスをどのように管理していますか？

機械やプラントへの不正アクセスを常に防止する必要があります。運用および保守段階では、既存の従業員IDカードを使用してアクセス権を個別に管理することが不可欠です。これにより、プロセスの信頼性と効率を最大限に高めることができます。セキュリティインシデントが発生した場合に透明性とトレーサビリティを維持するには、機械への安全で文書化されたアクセスが不可欠です。

一貫性のあるログアクセス制御

SIMATIC RF1000システムは、権限のない人があなたの機械やシステムにアクセスするのを防ぎ、それによって起こりうる操作エラーや生産のダウンタイムを防ぎます。その SIMATIC RF1100 は、便利なWebベースの管理、PoEサポート、XMLとModbustCPによる統合オプションを備えた新世代のカードリーダーです。

脆弱性をできるだけ早く検出するにはどうすればいいですか？

被害やコストを回避するには、サイバー攻撃を発見することが重要です。すべてのポート、ネットワーク参加者、トポロジーに関する透明性は不可欠です。迅速に対応するには、ネットワーク全体の異常、侵入、マルチベンダーの脆弱性を検出する必要があります。OT固有の通信プロトコルと同様に、パッシブで邪魔にならないOT最適化スキャンが可能です。発見された脆弱性を軽減するための最新のソリューション提案が不可欠です。

資産を特定し、脆弱性を検出します

SINEC Security Inspector 比類のない資産識別と脆弱性検出機能を提供します。私たちのプラットフォームには、資産を特定するためのツールと、脆弱性を特定するためのテストケースが包括的に用意されています。私たちはAIベースの異常検知を利用して、異常や侵入を積極的に特定します。

サイバー攻撃から素早く回復するにはどうすればいいですか？

障害発生後に迅速に生産を再開し、データ損失を防ぐには、堅実な災害復旧戦略が不可欠です。NIS 2のような新しい指令により、サイバー脅威が高まっている今日の世界では、包括的なバックアップソリューションは必須です！私たちのソリューションは、故障やサイバーセキュリティインシデントが発生した場合に、より迅速に生産を再開できるようにします。また、オンラインバックアップから簡単に復元できるため、データの損失を防ぎます。さらに、システムテスト済みであらかじめ構成されたコンポーネントを備えた、すぐに実行できるインフラストラクチャです。

データを確実にバックアップおよび復元します

SIMATIC DCS/SCADAインフラストラクチャの一部としてのバックアップと復元は、プラントの稼働中に自動的にバックアップを作成します。このソリューションはIndustrial Automation DataCenter に組み込まれています。運用中、計算クラスターから自動バックアップが作成され、バックアップサーバーに保存されます。障害が発生した場合、仮想マシンはバックアップサーバーから簡単に回復できます。これにより、迅速な回復が可能になり、データの損失を防ぎます。