製造現場のIoT・OT機器を評価する前に

対象の工程、設備の責任者、停止や誤動作が起きた場合の影響を確認します。NISTのOT向け指針も、安全性、信頼性、性能といった運用上の制約を扱っています。能動的な探索は事前の検証と承認が必要な場合があり、一律に安全とも禁止ともいえません。受動的な監視も、必要な通信を観測できる構成と設置の承認が必要です。

探索は機器を観測・照会し、台帳はその情報を管理します。リスク情報は、脆弱性、ファームウェアの更新、保守状況などを補うものです。DeviceTotalは機器へのインストールを必要としないSaaS型の情報サービスとして案内されていますが、評価には機器を識別できる情報が必要です。不完全な台帳を取り込むだけで、未知の機器がすべて見つかるわけではありません。

実際のメーカー、型番、ファームウェア情報を使い、欠損や曖昧な記録も含めて評価します。どのアドバイザリーが根拠か、対象バージョンをどう判定するか、未確認の項目をどう示すかを確認します。特定の情報源を万能とせず、メーカーの情報と関連する脆弱性データベースを照合します。

工程の重要度、ネットワーク上の接続、利用できる緩和策を踏まえて優先順位を決めます。更新、設定変更、ネットワーク分離などは、設備側の変更管理に従い、必要に応じて機器メーカーにも確認します。判定できない機器や例外の扱い、再確認の担当も決め、他社事例の数値ではなく自社の検証結果で評価します。

一律には判断できません。機器の仕様、メーカーの案内、安全性や性能への影響を確認し、設備側の承認を得ます。事前検証や別の情報収集方法が必要な場合もあります。

台帳の情報を評価する機能だけでは、未知の機器は見つかりません。探索、台帳管理、リスク情報の付加を分けて確認してください。