産業用リモートアクセスにおけるNIS2要件（Part 1）

この記事は、産業環境におけるリモートアクセスのセキュリティ確保の複雑さを解説するシリーズの第1弾です。NIS2指令で定められた主要な要件に焦点を当て、組織がリモートアクセスに関するコンプライアンスを達成するための実践的な手順を紹介します。

第2回では、IEC 62443 ⁽²⁾ シリーズが、特にリモートアクセスの文脈でNIS2準拠をどのように支援できるかを解説します。  

最後に、IEC 62443で示されている推奨事項に沿って、Ewonリモートアクセスサービス ⁽³⁾ をNIS2に準拠する形で設定するための詳細なガイドを提供します。 

産業用リモートアクセスの保護の重要性の高まり

産業用システムへのリモートアクセスは、現代のオペレーションに不可欠です。リアルタイム監視の実現からシステム異常への遠隔対応まで、効率的なリモートアクセスは生産性を高め、ダウンタイムの短縮に貢献します。一方で、従来のIT環境とは異なる固有の脆弱性にシステムをさらす可能性もあります。  

産業用リモートアクセスのセキュリティ確保における課題

• サイバー脅威

産業施設は、ランサムウェア、不正侵入、データ侵害などのサイバー攻撃の標的となっています。これらの攻撃はますます高度化しており、堅牢な防御策の導入が不可欠です。

• レガシー機器

多くの産業用システムは、サイバーセキュリティではなく、可用性と信頼性を重視して設計されています。既存のシステムに見られる脆弱な認証基盤や旧式のプロトコルは、この課題をさらに深刻にします。

• コンプライアンスと規制

ISA/IEC 62443、NIST 800-82、ISO 27001などのセキュリティ規格は、産業用サイバーセキュリティに関する厳格な要件を定めています。これらのコンプライアンス要件を満たすことは重要である一方、容易ではありません。

• 信頼性と性能

産業プロセスでは、一貫した中断のない運用が求められます。そのため、リモートアクセスソリューションには高い安全性だけでなく、遅延や中断を最小限に抑えることも求められます。

NIS2指令とは何か、そして産業用サイバーセキュリティにどのような影響を与えるのか? 

NIS2指令は、その前身であるNISを包括的に改定したものであり、欧州連合全体のサイバーセキュリティ強化を目的としています。NIS2は適用範囲をより多くのセクターに拡大し、不可欠または重要な事業体に対して、ネットワークおよび情報システムのセキュリティを確保するための積極的な対策を講じることを求めています。  

NIS2指令の第21^条(4)に基づき、組織はサイバーセキュリティに対してリスクベースのアプローチを採用し、サプライチェーンリスクを低減し、堅牢な防御策を実装し、インシデント報告の仕組みを確実に整備する必要があります。産業分野では、オペレーショナルテクノロジー（OT）へのリモートアクセスがどのように保護されているかも重要な検討対象となります。 

NIS2が産業用サイバーセキュリティに与える主な影響は次のとおりです。 

• サプライチェーンのセキュリティに関する説明責任

組織は、外部のサービスプロバイダーが定義されたセキュリティ要件に準拠していることを確認する必要があります。 

• セキュア・バイ・デザイン・プラクティス

ソリューションは、組み込みのセキュリティ制御を前提として設計・実装されなければなりません。 

• インシデント報告義務

産業資産に影響を及ぼすサイバーセキュリティインシデントは、所轄当局に速やかに報告する必要があります。 

産業資産へのリモートアクセスに関するNIS2の主なセキュリティ要件

NIS2指令は、産業用システムへのリモートアクセスに対して、さまざまな具体的セキュリティ対策を求めています。これらの対策を実施することで、セキュリティの強化、コンプライアンスの確保、そしてサイバー攻撃に対するレジリエンスの向上が可能になります。以下に、リモートアクセスを保護するための17の重要な要件を示します。 

リスクベースのセキュア・バイ・デザイン・アプローチの採用

NIS2への準拠は、単にチェックリストを埋めることではありません。重要なのは、産業システムのセキュリティ体制そのものを根本から強化することです。以下は、業界団体がセキュア・バイ・デザインのフレームワークを採用するために実行できる実践的なステップです。 

• 業界標準の採用

サイバーセキュリティポリシーと技術的制御に関する実践的な指針を提供する、ISA/IEC 62443などの標準に準拠します。 

• リスクアセスメントの実施

潜在的なセキュリティ脆弱性を定期的に評価し、リスクベースの低減策を実装します。 

•人員を訓練する

従業員やエンジニアにサイバーセキュリティのベストプラクティスを教育し、リモートアクセス技術を適切に扱えるようにします。 

• ベンダーとの緊密な連携

機械メーカーやサービスプロバイダが、自社のソリューションにNIS2対応のセキュリティ対策を組み込んでいることを確認します。 

産業用サイバーセキュリティの未来を確保

リモートアクセスは現代の産業オペレーションを支える基盤ですが、その重要性が高まるにつれて、潜在的なリスクも増大しています。NIS2のセキュリティ対策を採用し、ISA/IEC 62443などの確立されたフレームワークを活用することで、産業組織は資産を保護し、コンプライアンスを維持し、ステークホルダーとの信頼関係を構築することができます。 

[1] https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng (英語)

[2] https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards (英語)

[3] https://www.hms-networks.com/ewon (英語)