連携防御と運用管理のための重要インフラのサイバーセキュリティ

重要インフラのサイバーセキュリティは、基幹サービスを維持するシステムを保護します。Cypher Sentinelは既存のセキュリティ環境に主権型の統合層を追加し、承認済みのITとOTのセキュリティコンテキストを、ネイティブ機能とAI支援の調整に接続します。導入の境界と、システムに影響する操作の権限は運用者が定めます。

サービス、プロセス、データを保護

運用技術には、物理プロセスの監視と制御に使用される産業用制御システム（ICS）や監視制御・データ収集（SCADA）システムが含まれます。

運用環境でのサイバーセキュリティ判断は、物理プロセスに影響する場合があります。そのため重要インフラの保護では、サービス継続性、エンジニアリング上の制約、安全な運用に責任を持つ人々を考慮しなければなりません。

NIST SP 800-82 Rev. 3は、運用技術特有の性能、信頼性、安全性の要件を扱っています。データをどう収集し、アラートをどう評価し、誰が運用システムへの変更を許可できるかなど、これらの要件をセキュリティワークフローの最初から組み込む必要があります。

ITとOTのセキュリティコンテキストを接続

Cypher Sentinelの連携優先アプローチは、すでに存在するSIEM、エンドポイント、ID、ネットワーク、OT監視システムから始まります。連携ブリッジとAPIが、選択したソースとワークフローを統合プラットフォームに接続します。パイロットでは、選んだユースケースに必要なインターフェース、データの方向、権限、製品バージョンを検証します。

• IDとアクセスのコンテキスト：調査に関係するアカウント、リモートアクセス経路、許可された役割を把握します。
• 資産とサービスのコンテキスト：観察された活動を、影響を受けるシステム、運用ゾーン、サービスの依存関係に関連付けます。
• セキュリティコンテキスト：シナリオの調査に必要な、選択したアラート、イベント、インテリジェンスを接続します。
• 運用権限：対応を承認できるチーム、許可される範囲、復旧経路を特定します。

プラットフォームアーキテクチャでは、入力、共有コンテキスト、機能の調整、操作の境界がどう組み合わさるかを説明しています。

評価するワークフロー：エンジニアリング用リモートアクセス

エンジニアリング用リモートアカウントの不審な利用を含むパイロットシナリオを例に考えてみます。承認済みのID、エンドポイント、監視シグナルを調査に取り込みます。資産の重要度、実行中の作業、保守時間帯を確認します。その後、責任を持つ運用者が許可された操作を選び、判断を記録します。これは、パイロット中にお客様のシステムと手順に照らして検証するワークフローです。

基幹サービスを中心に範囲を定める

同じ統合アーキテクチャを、異なる運用要件に照らして評価できます。技術的な範囲を選ぶ前に、重要な資産とサービスの依存関係を定めてください。

• エネルギーと公益事業：継続性、エンジニアリング用アクセス、企業システムと制御環境の境界を優先します。
• 水道と産業運用：アラートに運用上の意味を与えるプロセス、設備の制約、承認された保守活動を特定します。
• 通信と交通：サービスの依存関係、分散管理、接続された運用に対応が与える影響を整理します。
• 金融インフラ：パイロットに含まれるシステムのID、取引サービス、証拠に関する要件を定めます。

各パイロットでは、依存するデバイス、プロトコル、バージョン、既存の監視ツールを文書化する必要があります。範囲を拡張する前に、その環境に必要な対応範囲と収集方法を確認してください。

導入と対応を自らの管理下に

運用者が、プラットフォームの稼働場所、データと鍵の所在、管理可能なID、許可する外部接続を定めます。導入計画には、モデルのホスティング、インテリジェンスのソース、更新手順、接続が失われた際に必要な機能も含めます。導入上の判断については、主権型サイバーセキュリティプラットフォームをご覧ください。

自動化は運用権限に適合しなければなりません。観察や提案と、承認を条件とする操作、範囲を限定した自動ワークフローを区別してください。生産や安全に影響し得る操作については、ワークフローを有効にする前に、責任を持つ意思決定者、運用上の確認事項、復旧手順を定めます。

運用上の安全性を中心にパイロットを構築

有用なパイロットは、評価できるほど範囲が絞られ、次の導入判断に役立つほど意味のあるものです。サービスまたは拠点を一つと、セキュリティチームと運用チームが重要と認める脅威シナリオから始めてください。

• 境界を設定：資産、運用上の制約、許可されたデータソース、パイロットの責任者を特定します。
• 収集を検証：適切な場合はパッシブ方式や既存のテレメトリーも含め、収集方法に合意し、運用への影響を評価します。
• ワークフローを実行：選択した連携、合意した承認、復旧手順を用いて、選んだシナリオを調査します。
• 証拠を確認：データの完全性、調査の労力、承認済み判断に至るまでの時間、運用への影響を、文書化された基準と比較します。

評価したシステムと機能について受け入れ判断を行い、パイロットからより広い導入へ進めます。結果を使って、連携の対応範囲、運用責任、次のユースケースを改善します。

保証の証拠をアーキテクチャの一部にする

適用される業界要件と社内運用基準を使って、必要な管理策と証拠を定めてください。CISAの業界横断サイバーセキュリティパフォーマンス目標は、優先順位を付けたセキュリティ実践の自主的な基準を提供します。NISTのOTセキュリティガイダンスは、産業システムやその他の物理システムの制約について参考となります。

各要件について、関連するプラットフォーム機能または既存ツール、構成、責任者、確認する証拠を特定します。文書化された実装と評価によって、実際の環境に対する保証の根拠を確立します。

長期利用するインフラを暗号の変化に備える

資産と依存関係のレビューに暗号を含めてください。鍵と証明書の使用場所、保護が必要な通信、ソフトウェア更新の認証方法、変更可能な設備を確認します。Cypher Sentinelは高度な暗号機能をセキュリティプラットフォームに取り込み、選択した機能をより広い運用アーキテクチャとともに評価できるようにします。

NISTは組織に耐量子移行の開始を求めています。脆弱な暗号を特定し、更新を計画することから始めます。FIPS 203で標準化されたML-KEMは鍵確立を扱い、FIPS 204と205で標準化されたML-DSAとSLH-DSAはデジタル署名を扱います。移行では、プロトコルの相互運用性、鍵のライフサイクル、設備の制約、承認済みの変更時間帯を考慮する必要があります。耐量子サイバーセキュリティの概要をご覧ください。