ICS

ICS（Industrial Control Systems：産業制御システム）とは、発電所、水処理施設、製造工場、石油精製所などの産業インフラを監視・制御するためのシステムの総称です。SCADA（監視制御・データ収集）、DCS（分散制御システム）、PLC（プログラマブルロジックコントローラ）などの構成要素から成り、物理的なプロセスをリアルタイムに制御する役割を担っています。

ICSは従来、外部ネットワークから隔離された閉域網で運用されてきましたが、近年のIT/OT統合の進展により、インターネットや企業ネットワークとの接続が増加しています。これにより運用効率やデータ活用の面で大きなメリットが生まれる一方、サイバー攻撃に対する脆弱性が急速に拡大しています。ICSへの攻撃は、データの窃取にとどまらず、物理的な設備の破壊や人命に関わる重大事故を引き起こす可能性があります。

ICSセキュリティの標準として、NIST SP 800-82（産業制御システムセキュリティガイド）やIEC 62443（産業オートメーションセキュリティ）が広く参照されています。また、米国のICS-CERT（現CISA）は、ICSに関する脆弱性情報の提供やインシデント対応支援を行う専門機関として、世界中の重要インフラ事業者から注目されています。

ICSの構成要素とDCS/PLC/SCADAの階層

ICSは複数のサブシステムから構成されます。DCS（Distributed Control System：分散制御システム）は、工場内の制御を分散配置されたコントローラで実現するシステムで、化学プラントや製油所などの連続プロセス制御に多く使われます。PLC（Programmable Logic Controller）は、シーケンス制御やロジック制御を行う専用コンピュータで、製造ラインの自動化に不可欠です。

SCADAは広域に分散した設備を遠隔から集中監視・制御するシステムで、電力網や上下水道、ガスパイプラインなどの管理に使用されます。これらは階層的に連携し、フィールドデバイス→コントローラ→監視システム→経営情報システムという段階的な構造を形成しています。

Purdueモデル（ISA-95参照モデル）

Purdueモデルは、ICSネットワークを階層的に整理するための参照アーキテクチャです。レベル0（物理プロセス）からレベル5（企業ネットワーク）まで6つの階層に分かれ、各レベル間のデータフローとセキュリティ境界を明確化します。

• レベル0（物理プロセス）：センサー、アクチュエータなどのフィールドデバイス
• レベル1（基本制御）：PLC、RTU、DCSコントローラ
• レベル2（エリア監視）：HMI、エンジニアリングワークステーション
• レベル3（サイト運用）：ヒストリアン、MESサーバー
• レベル3.5（産業DMZ）：IT/OT間の緩衝地帯
• レベル4-5（企業・外部）：ERP、メール、インターネット

このモデルに基づいてネットワークセグメンテーションを実施することで、IT側からの攻撃がOT側に到達するリスクを大幅に低減できます。

ICS-CERTとCISAの役割

ICS-CERT（Industrial Control Systems Cyber Emergency Response Team）は、現在CISA（Cybersecurity and Infrastructure Security Agency）に統合されており、ICSに関するサイバーセキュリティの専門機関です。脆弱性アドバイザリの発行、インシデント対応支援、セキュリティ評価ツールの提供、トレーニングプログラムの実施などを行っています。

ICS-CERTが発行するアドバイザリには、制御システムベンダーの製品に発見された脆弱性とその対策が詳細に記載されており、ICS運用者にとって必須の情報源となっています。

NIST SP 800-82の概要

NIST SP 800-82は、米国国立標準技術研究所（NIST）が発行するICSセキュリティガイドラインです。ICSの特性を踏まえたリスク評価手法、セキュリティアーキテクチャの設計指針、インシデント対応計画の策定方法などを包括的にカバーしています。

このガイドラインでは、ITセキュリティとOTセキュリティの優先順位の違い（ITは機密性優先、OTは可用性優先）を明確にし、ICS環境に適したセキュリティ対策の実装方法を具体的に示しています。日本でもIPA（情報処理推進機構）がこのガイドラインの翻訳・解説を公開しています。

ICSに対する攻撃手法の進化

ICSを標的とする攻撃は年々高度化しています。初期のICS攻撃はIT環境を経由してOT環境に侵入するものが主流でしたが、近年ではICS固有のプロトコル（Modbus、OPC、EtherNet/IP）を直接操作するマルウェアが登場しています。Stuxnet以降、TRITON/TRISISやIndustroyer/CrashOverrideなど、特定のICS機器を標的とする高度な攻撃ツールが発見されています。

これらの攻撃は、国家支援型のAPT（Advanced Persistent Threat）グループによるものが多く、長期間にわたる偵察活動の後に実行される傾向があります。

• 01
  Purdueモデルに基づくネットワークセグメンテーション：ICSネットワークをPurdueモデルの各レベルに従って適切にセグメント化し、産業DMZ（レベル3.5）を設置してIT/OT間の通信を厳格に制御してください。各レベル間のファイアウォールルールを最小権限の原則に基づいて設定し、不要な通信を遮断しましょう。
• 02
  ICS資産の可視化とインベントリ管理：ICS環境に存在するすべての資産（PLC、RTU、HMI、ネットワーク機器など）を把握し、最新のインベントリを維持してください。パッシブなネットワーク監視ツールを使用して、制御システムに影響を与えずに資産を検出・管理することが推奨されます。
• 03
  ICS専用のセキュリティ監視とログ管理：ICS環境に特化したセキュリティ情報イベント管理（SIEM）を導入し、OTプロトコルの異常通信を検知できる体制を整えてください。Modbus、OPC UA、EtherNet/IPなどのプロトコルを深く解析できるIDS/IPSの導入が効果的です。
• 04
  パッチ管理とファームウェア更新の計画的実施：ICS環境では可用性が最優先されるため、パッチ適用には慎重な計画が必要です。ベンダーが検証済みのパッチを、定期メンテナンス時に段階的に適用し、テスト環境での事前検証を必ず実施してください。パッチ適用が困難な場合は、仮想パッチ（IPS/WAFルール）で暫定対処しましょう。
• 05
  アクセス制御と認証の強化：ICS環境へのリモートアクセスには多要素認証（MFA）を必須とし、VPN経由でのみ接続を許可してください。特権アカウントの使用を最小限に抑え、操作ログを記録して定期的に監査しましょう。デフォルトパスワードの変更も確実に実施してください。
• 06
  インシデント対応計画の策定と訓練：ICS環境固有のインシデント対応計画を策定し、定期的な机上訓練と実地訓練を実施してください。ICS-CERT/CISAが提供するツールやガイドラインを活用し、重要インフラに対するサイバー攻撃シナリオに基づいた対応能力を維持しましょう。