日本の製造業・OT運用者のためのIoT・OTセキュリティ フィールドガイド

従来型のエンドポイントセキュリティ製品（EDR、アンチウイルス、脆弱性スキャナー）は、保護対象のデバイスにソフトウェアエージェントを導入することを前提としております。ノートPCやサーバー、最新のワークステーションであれば、この方式で問題ございません。しかし、IoTセンサー、OTコントローラー、SCADAシステム、ビルオートメーション、産業用ロボット、レガシーな製造設備には、この前提が通用いたしません。これらのデバイスは、計算リソースが不足している、ベンダーが構成変更を認めていない、あるいはエージェントの導入によって保証や安全認証が無効になってしまうといった理由から、そもそもエージェントを動かすことができないのです。その結果、工場フロアには巨大なセキュリティの死角が生まれます。

それならば、これらのデバイスに対してアクティブなネットワークスキャンを実行すればよいのではないか、と思われるかもしれません。しかし、この一見わかりやすい回避策は、別の問題を引き起こします。産業用制御システムは、セキュリティスキャナーが発するトラフィックパターンを処理するようには設計されておりません。想定外のプローブを受けたPLC（プログラマブルロジックコントローラー）は、ハングアップや再起動、予期しない動作を起こすおそれがございます。デバイスの障害が生産ラインの停止や物理的な安全リスクに直結しかねない環境において、アクティブスキャンは現実的な選択肢にはなり得ません。稼働率とプロセスの安定性を何よりも重視される日本の製造業のお客様であれば、この点はことさら慎重にご判断されるところです。

代替手段は、デバイスに一切触れません。エージェントレスのデバイスインテリジェンスは、ベンダー・型番・ファームウェアバージョンという3つの情報だけでデバイスを特定いたします。これらは既存の資産台帳やCMDBから取得することも、アプライアンス不要の軽量な検出スキャナーがネットワーク上から能動的または受動的に読み取ることもできます。デバイス上で動作するものは何もございません。この3つの情報から、プラットフォームは当該デバイスの既知の脆弱性、ライフサイクル状況、そして対処の優先順位を判断できるリスクスコアを返します。エージェントは不要で、本番稼働中のコントローラーへ1つのプローブも送信いたしません。20拠点に10,000台のデバイスを抱える事業者であれば、このアプローチにより、セキュリティチームがそれまで把握していなかったデバイスまで可視化されます。業界調査でも、企業が把握している接続デバイス数は実際より25%から40%少なく見積もられており、2025年のForescoutによる1,000万台超のデバイスを対象とした調査では、接続資産の65%が従来のITの可視範囲の外に存在することが明らかになっております。

照合の基盤となる脆弱性データそのものの品質は、見過ごされがちでありながら極めて重要です。多くのツールはNVDなどの公開データベースからCVE情報を集約していますが、これらは網羅性を欠き、更新の遅れも少なくありません。2024年2月にはNVDのエンリッチメント処理が停止し、4,000件を超えるCVEが完全な分析を欠いたまま残され、NVDのみに依存していた組織は数ヶ月にわたり可視性を失いました。これに対し、デバイスメーカーから直接データを収集するプラットフォーム（DeviceTotalの場合は874社のベンダー）は、はるかに多くの問題を検出いたします。ある日本の電力会社での導入では、JVN・JPCERTと比べて66%多くの脆弱性が明らかになりました。さらに、より早い通知、より正確な修復ガイダンス、そして公開フィードには決して掲載されないベンダー固有の問題への可視性も得られます。10年間パッチが適用されていないデバイスが稼働するようなOT環境において、この差は「何を修正すべきか」を把握できている状態と、推測に頼るしかない状態との差を意味いたします。

デバイスを見つけることは、作業の半分にすぎません。同じデバイスが、スキャナー、CMDB、EDRコンソールでそれぞれ異なる形で現れ、型番が食い違っていたり、ファームウェアの欄が空欄であったりすることは珍しくありません。そして、ベンダー名だけではいかなるCVEにも紐づきません。レコンシリエーションとは、これらすべてのレコードを1つの検証済みデバイスIDへと突き合わせ、型番とファームウェアを確定させたうえでスコアリングする工程です。Gartnerはすでに、金融およびマスターデータ管理の領域でレコンシリエーションを1つのカテゴリーとして認識しております。これをデバイスセキュリティに適用すると、ClarotyやNozomi、ServiceNowといった既存のツール群の上位に位置するインテリジェンス層として機能し、それらを置き換えることなく活用いたします。その結果、数千件の生アラートに代わって、1つの信頼できる資産台帳と、根拠を示せる優先順位付きの修復キューが得られます。

エージェントレスのデバイスセキュリティは、デバイスに何も導入することなく、接続デバイスを検出・評価する手法でございます。デバイスは、ベンダー・型番・ファームウェアバージョンという3つの情報から特定されます。これらは既存の資産台帳から取得することも、軽量な検出スキャナーが能動的または受動的にネットワーク上から読み取ることもできます。特定されたデバイスは脆弱性データベースと照合されます。エージェントを動かせないIoT、OT、レガシー機器において、現実的に機能する唯一のアプローチでございます。

産業用制御システムは、スキャナーのトラフィックを処理する前提で設計されておりません。想定外のプローブを受けたPLCはハングアップや再起動、予期しない動作を起こすおそれがあり、工場やインフラでは生産ラインの停止や安全リスクに直結しかねません。受動的なエージェントレス観測であれば、デバイスに一切送信することなく同じ情報を取得できるため、そうしたリスクを伴いません。

多くのチームの想定を上回ります。業界調査では、把握している接続デバイス数は実際より25%から40%少なく見積もられており、2025年のForescoutによる1,000万台超を対象とした調査では、接続資産の65%が従来のITの可視範囲の外に存在することが判明しております。ベンダーロックやレガシー機器が多いOT、医療、ビルオートメーションなどの環境では、この差が特に大きくなります。

NVDなどの公開データベースは網羅性を欠き、更新の遅れも少なくありません。近年のNVDの処理遅延がそれをさらに悪化させております。デバイスメーカー（DeviceTotalの場合は874社のベンダー）から直接セキュリティデータを収集するプラットフォームであれば、より早い通知、より正確な修復ガイダンス、そして公開フィードには決して掲載されないベンダー固有の脆弱性への可視性が得られます。

はい、可能でございます。OTデバイスの多くは何年もパッチが適用されておらず、今後も適用されないものもございます。エージェントレスのインテリジェンスであれば、そうしたデバイスについても、正確なリスクスコア、利用可能な緩和策と回避策、EOL（生産終了）状況、CISA KEVフラグを提示いたします。これにより、ネットワーク側の制御で補いながら、優先すべき資産から対処を進めていただけます。