ArmisのCTOであるCarlos Buenano氏のOTセキュリティジャーニーがゼロトラストにつながった方法

Armisのレポート「The Anatomy of Cybersecurity 」によると、昨年だけでも、サイバー攻撃の試みが最も増加した2つの業界は、200%増加した公益事業と165%増加した製造業でした。これらは、運用テクノロジー (OT) が運用に不可欠な 2 つの業界でもあります。これは、OTとサイバーセキュリティの重複がこれまで以上に重要である理由を浮き彫りにしています。

The Segment: A Zero Trust Leadership Podcastの最新エピソードでは、ArmisのOT担当最高技術責任者であるCarlos Buenano氏に話を聞きました。OTセキュリティへの彼の歩み、産業環境の保護においてゼロトラスト原則が果たす極めて重要な役割、そしてそこに到達するための課題について、読み続けてください。

Carlos Buenano について: Armis の OT 担当 CTO

カルロス・ブエナノは、アセットインテリジェンスサイバーセキュリティのリーダーである ArmisのOT担当最高技術責任者です。制御システムと電気通信の分野で30年以上の経験を持つカルロスは、ソリューションアーキテクト、プリンシパルエンジニア、ICSサイバーセキュリティコンサルタントなど、さまざまな役割を果たしてきました。過去 5 年間、彼は産業用ネットワーク内でのサイバーセキュリティソリューションの実装に注力してきました。

OT環境におけるレガシーシステムへの取り組み

OT 環境では、通常、Windows NT などの時代遅れのサポート終了ソフトウェアを搭載したレガシーシステムが使用されます。これらのシステムは 30 年間動作するように設計されており、その寿命は多額の先行投資を正当化します。しかし、主要コンポーネントが故障すると、この長寿命によって問題が発生する可能性があります。

カルロスは、この問題を説明するために、次のような出来事を共有しました。「あるとき、10年間寿命が切れていたカードが故障したために、生産ラインが故障しました。ベンダーに連絡したところ、『ずっと前に生産をやめた』と言われました。eBayで部品を購入することに頼らざるを得ませんでした。この状況が、時代遅れの機器を交換するプロジェクトのきっかけとなりました。」

システムは継続的に実行されるため、更新が困難になります。変更は綿密に計画し、年に 1 回しかスケジュールされない限られたシャットダウン期間中に実行する必要があります。これらの環境の管理の複雑さは容易に理解できますが、サイバーセキュリティによってさらに複雑になるだけです。

「(レガシーシステムの)寿命設計では、システムの変更と更新に関してさまざまな課題を抱えていることが想像できます」とカルロス氏は説明しました。

レガシーシステムのセキュリティ保護と将来のインフラストラクチャの計画は、2 つの課題を伴います。OT はビジネスに不可欠なサービスを推進するため、サイバー犯罪者の主な標的となります。以前は、OT システムと IT システムを「エアギャップ」するだけでセキュリティを確保できました。物理的な接続がなくても動作し続けることができました。しかし、今日では OT 環境はますます複雑化しており、 OT システムと IT システムをエアギャップ化するだけでは現代のビジネスに対応できなくなっています。また、どのネットワークがエアギャップ化されていて、どのネットワークがエアギャップ化されていないかを把握することが難しく、コアテクノロジーにセキュリティギャップが生じます。

OT環境におけるゼロトラストは、目的地ではなく旅です

Carlos氏にとって、ゼロトラストはOT環境とそのレガシーシステムによってもたらされるセキュリティ上の課題に対する答えです。私たちの会話の中で、彼はネットワークセキュリティにおける誠実さと境界の重要性を強調しました。既存のネットワークに大きな変更を加えずにゼロトラストモデルを使用するまでの道のりは複雑で長期的です。それは旅であり、即効性のある解決策ではありません。

ネットワークを保護するには、創造性とネットワークの通信経路の深い理解が必要です。ネットワークを可視化し、リスク評価を実行し、運用上のメリットを得るために継続的なコミュニケーションを維持し、プロセスを最もよく理解している人々から賛同を得ることが重要です。

カルロス氏は、ゼロトラストを達成するための段階的なアプローチを概説しました。