OTなしではゼロトラストは成り立たない

00:02 カルロスブエナノ

彼らは今セキュリティを担当しています。これまで、基本的にセキュリティを提供する責任は彼らにはありませんでした。オッケー。もちろん、彼らは業務が中断されるのではないかと心配しています。

00:14 ラグーナンダクマラ

ザ・セグメント：ゼロトラスト・リーダーシップ・ポッドキャストへようこそ。私はあなたのホストで、ゼロトラストセグメンテーション企業であるIllumioのインダストリーソリューション責任者であるRaghu Nandakumaraです。本日は、資産情報サイバーセキュリティのリーダーであるArmisのOT担当CTOであるCarlos Buenano氏が加わりました。Carlos は制御システムおよび電気通信分野で 30 年以上の経験があります。彼は世界中の組織で働き、ソリューションアーキテクトから主任エンジニア、ICS サイバーセキュリティコンサルタントまで、さまざまな役職を歴任してきました。過去 5 年間は、特に産業ネットワーク内でのサイバーセキュリティソリューションの運用化に注力してきました。このエピソードでは、Carlos が OT セキュリティへの道のり、産業環境におけるゼロトラストの重要性、生産性を損なわずにセキュリティを進歩させる方法についてお話しします。そこで、この「セグメント」のエピソードにようこそ。OTセキュリティのリーダーであるArmisのOT担当CTOであるCarlos Buenano（カルロス・ブエナーノ）です。カルロス、セグメントへようこそ。

01:24 カルロスブエナノ

ありがとう、そう、たくさん。呼んでくれてありがとうここに来られて光栄だし、本当に嬉しいよ。

01:28 ラグーナンダクマラ

ああ、楽しみは全部私のものだと思う。ポッドキャストのシーズン2に入っているので、私の記憶が正しければ。これは、OT セキュリティの専門家である人が登場した最初のエピソードだと思います。最近では「So」が一番の関心事です。ですから、人々が情報セキュリティのキャリアについて考えるとき、OTセキュリティへの道は自然なものではないと思います。では、あなたの経歴について少し教えてください。

01:51 カルロスブエナノ

ええ、それで、私は電子エンジニアで、制御システムを専門としています。大学に行って、制御システムという1つの科目を履修していたことを覚えています。そして、夢中になりました。それで、プログラミング、PLC、SQL Serverの設定、センサーやアクチュエーターに接続する情報の取得、自動化を実現させたりと、最初から夢中になりました。私はキャリアを通じて、基本的に制御システムエンジニアになるためのスキルを身につけました。ゼロ・ネットワークからイーサネット・ネットワークへの移行の一部がネットワーキングだった時代を覚えています。そして、私はそのことにとても興味を持っていました。私もその一部になりたかったのですが、その移行の一部になりたかったのです。そして、ネットワークと制御システム全体を1つにまとめることにも参加したかったのです。そして、制御ネットワークの設計を始めたのですが、実はとても面白かったです。それに、たくさんあるんです。実際には、PLCの構成にもっと力を入れていました。SCADAは、それはDCSだと言いました。IEC 62443で使われているネットワーク、プログラミング、制御ネットワークの定義、そしてそれがグリーンシールの観点からネットワークセグメンテーションをどのように定義するかを対象としていました。そして、徐々にシステム、アクセスディレクトリ、EDRに関わるようになり、これらすべての異なるシステムを統合して、これらすべてのシステムをドメインにまとめるようになりました。そして、これらのデバイスを保護してバックアップし、手順が整っていることを確認しました。当時の ASC 62443 に従うと、まるで自分がそれに陥ったかのようです。過去 10 年間、私は OT 環境のサイバーセキュリティのみに焦点を当ててきました。環境やOT環境について私が理解しているのは、OT担当者、エンジニアリングチーム、プラントマネージャーとのコミュニケーション、および彼らが聞く必要のある情報の提供です。なぜなら、プラントマネージャーは生産を保護したいと考えているため、実際には非常に複雑な会話になることがあるからです。そして、セキュリティに関するトピックの紹介を始める必要があります。実際、これは私たちの楽しみのひとつです。

04:18 ラグーナンダクマラ

私はそれが大好きです、ありがとう。ありがとうございます。あなたが制御システムの専門知識を持っているのは魅力的だと思います。つまり、ある種のプラントマネージャーなどと会話をすると、今日、非常に情報に基づいた視点で会話をすることができるようになっています。

04:38 カルロスブエナノ

ノートパソコンのプログラミング、PLCの背後にいるのは私だけで、ケーブルを差し込んでいました。ですから、生産を維持し、生産中に人々の安全を維持するために、工場長が何をしなければならないのか、私にはよくわかります。

04:53 ラグーナンダクマラ

それで、制御システムを勉強していた工学を勉強していた頃に戻りたいと思います。その時点で、セキュリティについて考えたことはありますか？

05:01 カルロスブエナノ

いいえ、決して。私の焦点は、実際には常に自動化でした。自動化の仕方はご存知でしょう。そしてもちろん、私たちはロックウェル、シーメンス、シュナイダーなどのベンダーと関わり、彼らのツールを学び、自動化を実行する最も効率的な方法を学ぶことに慣れていました。また、OTシステムについて言えば、内部にも階層があります。自動化の観点から、クライアントが何をする必要があるか、どのように振る舞う必要があるか、何が期待されるかを定義するプロセスエンジニアがいます。しかし、制御システムはすぐ近くにあります。プロセスエンジニアが作成したすべての説明を理解し、それを導入するように制御システムを構築する必要があります。そして、設計して実装します。次に、他のことを見て考えます。標準について考えたり、テンプレートをプログラミングしてシステムをプログラミングする方法を考えたりします。そうすれば、次に保守担当者が保守や理解に必要なことを行い、それを理解し、十分に文書化する必要があります。つまり、実際にはこれらの制御システムの実装にもっと重点を置いて、入手可能なものを使っているのです。ネットワークを使用し、ネットワークを接続すると、IP アドレスが与えられます。ネットワークがある場合や ID 番号が与えられている場合、シリアルネットワークを使用していて、それらにゲートウェイとその通信方法が用意されていれば、情報を取得するために SCADA サーバーにさまざまなタグを設定することになります。つまり、これらのシステムを実装する際には、膨大な知識を身につける必要があります。つまり、セキュリティについて考える余地はほとんどありません。重要なのは、セキュリティを機能させることです。他のプロジェクトと同じように、プロジェクトマネージャーがいて、その特定のプロジェクトの遂行に専念する時間こそがすべてです。そして、運用時には、生産の観点から要件を満たし、デバイスが実際に想定どおりに機能していることを確認することがすべてです。通信について考えていない場合は、OT ネットワークの主な要件の 1 つは、通信が必要なデバイスとの通信であるためです。新しいツールを実際に使用できるようにするために、オプションを追加したいと思っても、アプリケーションのことは考えないでしょう。そして、いや、いや、これは実際にはPLC、HMI、SCADAサーバーがあり、3つを接続するネットワークがあり、一度接続したら触れないでください。見てみましょう。効いてるよ。変更が加えられ、検証され、実際に工場長によって承認され、ネットワークのパフォーマンスに悪影響を及ぼさないように、非常に厳格な変更管理を行う必要があります。そういうわけで、いったん設計したら、その制御ネットワークを設計した人がいる、または後でその人がその人になる、というようなものです。そして、それを変えられるように設計されていたのに、あなたにはそれを変えるべき本当に具体的な理由があります。

08:38 ラグーナンダクマラ

非常に詳細な説明をありがとうございます。言い換えるつもりだ。だから、それを些細なことにしてしまったことをお詫びする。しかし、まとめると、これらの制御システムにおける優先事項は、プラントの稼働維持、効率の維持、安全性の維持であるようなものです。そうだよね？でも、考えてみると、これらが優先事項です。つまり、これをたとえばアプリケーション開発環境などに当てはめると、アプリケーションチームはアプリケーションの可用性、信頼性を気にかけているようなものです。そして、ほとんどの場合、セキュリティが侵害されたとしても、「アプリケーションが機能しなければ、誰がセキュリティを気にするのだろう」というようなものです。さて、それを今日のあなたの役割に取り入れるようなものでしょうか？工場長やそのような業務に携わっている人と会話をして、彼らが最も気にかけていることを損なうことなく、彼らが必要とするセキュリティを正しい方法で導入する方法を説明するにはどうすればよいでしょうか。

09:31 カルロスブエナノ

ええ、それで、それはとても難しい会話です。ご存知のとおり、工場長とエンジニアリングチームはネットワークを非常に保護しています。ただし、基本的にはネットワークの設計よりも性能の検証が懸念されます。これらのネットワークが実際にさらされている通信。つまり、基本的には2つの方法、2つの戦略があると思います。1つ目は、自分にとってどのようなものか、ということです。工場長である私にとって、それはどういうことでしょうか？実際にどうすればいいのか、あるいはなぜ可視性から始めたいと思うのか？インベントリはすでにあるので、デバイスが何をすべきかがわかっています。そこから始めて、「オーケー、じゃあ、最新のインベントリを作成しているんだけど、生産に影響する可能性のあるデバイスのうち、耐用年数が終わって稼働しているデバイスを把握できているか？」と考え始めます。本当にこれらのデバイスが、本来あるべき機能を果たしているのか、本当に確信できますか？設定ミスはなく、実際にシステムや PLC を変更しているのは誰か?実際にいつ変更が加えられているかを把握していますか。つまり、実際のアプローチは、セキュリティシステムを導入することで得られるメリットであり、基本的に、取り組む必要のあるプロセスの一部が容易になるという点です。そして、おそらく最も効率的なロードマップを作成し、問題点を理解してもらえます。そして、チームのお客様の 1 人の非常に具体的な例が示されます。彼らは私にこう尋ねました。「オーケー、じゃあ、IP アドレスに問題がある。ほら、このデバイスをネットワークに導入しようとしてるんだ。そして、IP アドレスが衝突しそうだと言っているのに、見つからないのです。」そして、別の誰かが私のところに来て、別のデバイスを紹介し、スプレッドシートに空いていた IP アドレスを使用して、スプレッドシートを更新したことが判明しました。そして、他の人が入ってきて、「まあ、それを使いたかった」という感じです。そして、彼らが来て、可視性、可視性プラットフォームを使い、IPアドレスをタップして2つのデバイスを見つけました。すると、工場長は「そんな簡単なの？」と尋ねてきます。今では、その方法を理解するのに何週間もかかっていました。そして、いったんその利点を実際に公開したら。私たちはこう言いました。「オーケー、もっと教えて。他に何ができる？」そういうわけで、実際にレシピとは何かという点では率直に答えることはできませんが、アイデアは伝えることができます。彼らを巻き込んで、あなたが使っているセキュリティプラットフォームも、これからも、それがもたらすであろうことを理解してもらい、それから彼ら側の利点を強調してください。セキュリティ部門は満たす必要があるため、彼らは関心を示さないでしょう。なぜなら、そうすればメリットが得られるからです。それ自体は組織全体にいくらかの利益をもたらしますが、特にチームにとってはそうではありません。

12:50 ラグーナンダクマラ

それは素晴らしいです。スプレッドシートによるIPアドレスの追跡の話は面白いです。なぜなら、顧客側での日々に戻ることができるからです。そして、それらのスプレッドシート、またはスプレッドシートの鍵を握っている人が王様か女王様です。本当に効果があるというあなたの説明が気に入っています。「ああ、セキュリティを確保する必要がある」というアジェンダを強制するのではなく、彼らが知っている、見ていない、または知らない小さなことを彼らに見せることです。そうだよね？そして、あなたが言ったように、「なんてこった、そんなに簡単なの？」みたいな瞬間がそして、私は何年もの間、これに苦労してきました。しかし、私が言えるのは、私が思うように、皆さんが非常に軽く触れたことの 1 つは、OT 環境におけるレガシーインフラストラクチャの量に関するものでした。そして、非常に古いバージョンの Windows がどれだけ稼働し続けているかという話をよく耳にします。なぜなら、それらは非常に重要だからです。たとえば、これを安全に実行するためにどれほど重要であるかについて、前に話していたことに戻ります。どうやってそれを解決するんですか？

13:45 カルロス・ブエナノ

うん。では、まずストーリーを話しましょう。では、OT 環境にはなぜこれほど多くのレガシーシステムがあるのでしょうか。そうですね。つまり、あなたが実際にプロジェクトに関わり、そのプロジェクトについて合意するとき、最初の要件は、このプラントを建設するにしても、この生産ラインを建設するにしても、それが何であれ、その寿命は30年だということです。それが第一の要件です。これは数十億ドル規模の投資であるため、できるだけ長期的に事業を拡大する必要があります。オッケー。ですから、実際に環境に入ってみると、レガシーシステムがたくさんあることがわかります。これが最初の課題です。つまり、Windows 10、Windows NT を実行しているデバイスがあるということです。一部のシステムでは、実際にはシリアルインターフェイスが動作しています。デバイスの中には、寿命が尽きても、実際には何年経っても危険にさらされないものもあります。私が実際にエンジニアリングチームの一員だったときに、ある生産ラインが故障したことがあります。そこで、問題の解決を試みたところ、カードに障害が発生し、寿命が尽きていることがわかりました。そして、寿命が尽きてから10年が経ちました。彼らはとても、まあ、とても頑丈に設計されているので、故障するまで何年も、何年も、何年も長持ちします。問題は、店に行っても、最後のスペアパーツが使用されていたため、スペアパーツが見つからなかったことです。そしてもちろん、「ねえ、この特定のカードを緊急に配達してもらいたい」とベンダーのところに行きましたが、どうなると思いますか？「私たちはそれを持っていません。ずっと前に生産をやめました。」それで、あなたは何をしているの？そうだね？機器自体を交換するには、調整されたプロジェクトが必要です。何に変更する必要があるかを理解する必要があるからです。結局、すべてをeBayに届け、カードを見つけて購入しましたが、それが機器の交換プロジェクトのきっかけとなりました。なぜなら、実際に稼働していなければ、1時間に10万ドルの費用がかかるシステムだからです。つまり、レガシーシステムには課題があり、それが環境の問題だと考えるのは非常に一般的なことです。もう 1 つは、常時稼働するように設計されていることです。そして、私たちが修正、実行、あらゆる変更を行えるようにするのは、「よし、それでおしまい。置き換えて、次のものに置き換える」というような単純なものではありません。いいえ、いいえ、特定のプロジェクトを作成する必要があります。場合によっては、Windows、またはシャットダウンウィンドウと呼ばれる、変更を行う時間が非常に限られています。というのも、実際には 30 年間稼働するように設計されているので、変更を加えることができるのです。その時間枠に収まるような小さな変更でなければならず、実際にはプロセスをシャットダウンしてしまいます。また、実際にはプロジェクトによって推進されています。つまり、特定のタスクがあって、「ねえ、このカード用の新しいファームウェアバージョンをインストールするか、このカードを交換する必要がある」と言ってタスクを制御することになります。しかし、変更が必要なアセットのプロセス、これはシャットダウンプロセスの作成者によるアイテム内の他のタスクのテストの一部である場合、彼らはこう言うでしょう。「残念ながら、次のシャットダウンウィンドウが置き換えられるまで、もう1年待たなければなりません。なぜなら、私たちが行っているこの変更を、ビジネスにとってより有益なものにしたり、人々の保護によって推進されたりする変更をテストするリスクを冒すわけにはいきません。実際には安全性が向上しているからです。」つまり、システムの変更や更新に関しては、設計、耐用年数設計、これらすべてがさまざまな課題を抱えていることが想像できます。ドラッグ、ドラッグ、ドラッグを繰り返すだけで、今では多くのレガシーシステムが見られるのはそのためです。

18:17 ラグーナンダクマラ

私はその話が大好きです。つまり、以前は財務部門での変更期間が長いと思ってイライラしていましたが、あなたが話していることとは比べ物になりません。というわけで、次のパートに進む前にちょっと質問があります。これについて質問があります。それで、あなたが例を挙げたように、これらの計画は30年という非常に長い寿命で設計されていますよね？つまり、どちらの場合も、最長 30 年間稼働しているレガシー環境を保護するという課題が 2 つあります。しかし、建設中の新しいプラントのセキュリティを確保する際には、セキュリティの観点から30年前を見据え、そのための計画を立てる必要があります。私の考えが正しければ

18:57 カルロスブエナノ

うん、いや、それくらいだ。そして、それを実現するために見つかるシステムの中には、たとえばイーサネットの標準の実装に関しては遅れをとっているものもあります。つまり、私が実際に ISO 62443 ネットワークセグメンテーションを実装していたとき、デバイス間の通信にホワイトリストポリシーがあることを確認するためだけに、ゾーンとコンジットを作成していたのです。そして、レガシーシステムにセキュリティを実装することがいかに重要か、あるいはどれほど難しいかを示す例を示しているに過ぎません。つまり、これは特定の振動コントローラーであり、業務の継続時間を測定する上で最も重要な業務の 1 つです。何か問題が発生すると、人々を保護するためシステムが動作しなくなるからです。そのため、彼らはゲートウェイを実装しませんでした。つまり、IP アドレスとマスクがあっても、ゲートウェイは用意されていなかったのです。つまり、トラフィックをファイアウォールに向けることすらできなかったのです。ましてや、どのようにブロックするのかは言うまでもありません。ゲートウェイを介した通信を許可できない場合、ポリシーをどのように実装すればよいでしょうか。では、私たちが何をすればいいのか想像できるでしょう。つまり、リスクアセスメントが必要だということです。リスクアセスメントを作成して、自分が何をしているのかを理解しようとします。そして、本当に素晴らしいホワイトリストポリシーができあがりました。すべてのセグメントがセグメント化されていて、その中に侵入した悪役が 1 つあります。実装しようとするとどんなに複雑になるか想像できますか？そして、あなたの質問に戻りましょう。つまり、長期的に必要なセキュリティネットを中心とした設計を実際に行っているわけですね。しかし、基本的には自分が持っているものと相互作用し、手元にあるものを使って作業し、リスクを作成して最小限に抑え、手元にあるものに応じてソリューションを実装できるようなリスク評価を作成する必要があります。そのため、選択肢がない場合もあります。そして、ある意味では基本的に隔離する必要がありますが、その過程で必要になるからこそ、コミュニケーションは流れる必要があります。

21:23 ラグーナンダクマラ

ええ、ネットワーク上に何かがあって、ゲートウェイを定義できない場合は、ネットワーク上にないほうがいいですよね？何も話せない。

21:29 カルロスブエナノ

でも君にはそれが必要だなぜなら君はただこれに対処しなきゃならないからだはい、情報を取り出すために必要なHMIのすべてが揃っています。安全システムに関する実際のロジックや戦略を伝える必要がある場合もあります。通常の状況では、なぜ伝えるのか、どのように、なぜ、いつ、そしてあなたの安全について伝えるのか、ということは難しいものです。ステータスを知るには、ネットワーク上にある必要があります。そのため、SCADAシステムまたはDCSは、それが何であるかを理解するために情報を引き出す必要があります。そして、ご存知のとおり、これは必須条件です。何があっても必要なのです。

22:07 ラグーナンダクマラ

うん。ゼロトラストについて話す前に、工場長が気にかけていることについてあなたが言ったことに戻りたいと思います。私が読んでいるセキュリティニュースのように、製造工場、エネルギー、公益事業組織への攻撃、そして攻撃者が今ある種の重要な国家インフラを標的にしているというこの種の真の懸念について多くの報道があります。そうですよね？そして、必ずしもデータサイトがデータを盗むためではなく、実際にはサービスを中断したり、生産を中断したりするためのものです。それはある種のプラントマネージャーの共感を呼ぶのではないでしょうか？そして、それは彼らの関心事ではないのでしょうか？

22:48 カルロスブエナノ

それは間違いなく懸念事項ですが、それは彼らの関心事ではありません。なぜなら、彼らはセキュリティ担当者ではなく、セキュリティを担当していないからです。これまで、基本的にセキュリティを提供する責任は彼らにはありませんでした。もちろん、彼らは業務の中断を懸念しています。しかし、彼らはネットワークの設計に頼っています。そして、これは実際にはセキュリティを念頭に置いて設計されたとベンダーは言っています。しかし現実には、それは彼らの対象範囲ではないので、彼らはあまり心配していません。たとえば最近のインダストリー4.0では、CISOが説明責任を果たすようになってきているため、状況は実際に変化しています。そのため、北東部の観点から見ると、彼らはより多くの利害関係者になりつつあります。そして、それがプラントマネージャーやエンジニアリングチームにも伝わり、「まあ、それはもう選択肢ではない」と言っています。ある意味で私があなたを助けるのを手伝ってほしい。そして、そのコンセプトはますます共感を呼んでいます。つまり、できるからこそ、CISOがそのコミュニケーションをチームに確実に伝えることで、CISOが実際にどのような効果をもたらすかがわかります。そして、CISOはセキュリティとそれに続く必要のあるプロセスを支援し始めるのです。まださまざまなプロセスがありますが、それでも聞くことができます。ええ、わかりました。でも、安全と生産が第一で、セキュリティはその後です。

24:19 ラグーナンダクマラ

うん。うん。いや、完全に理解しているし、共感できるよ。このようなインダストリー4.0への動きにより、組織のIT側とOT側の統合が進み、世界中の業種でゼロトラスト戦略が実際に採用されることが多くなっています。まず、ゼロトラストは実践者としてのあなたにとってどのような意味がありますか？そして第二に、あなたが活動しているその分野では、それはどのような意味を持つのでしょうか？

24:47 カルロス・ブエナノ

これは、OT の観点から見ると、非常に重要で関連性の高いことであり、特にエンジニアリングチームやプラントマネージャーにとっては、モチベーションの 1 つだと思います。ゼロトラストに関しては、OT でデバイスを安全に管理するための通信を検証できるポリシーを提供できるプラットフォームがあることには、非常によく知られているメリットがあります。これは非常に共感を呼んでいます。実際、私自身もいくつかのゼロトラスト戦略を環境に導入してきました。そのメリットは、プラントマネージャーが、まず第一に、ベンダーが管理するシステムにアクセスして、システムの診断、キャリブレーションなどのメンテナンスを行えるようにしたいと考えていることです。彼らはそれを安全に行いたいと思っていて、いつ起こるか、誰がどれくらいの期間それをやっているのかを知りたがっています。それで、それが彼らにとって本当に魅力的なのでしょうか？というのも、まず相手が通知を受け取り、誰かが接続したいと思い、その特定のデバイスに、どれくらいの時間接続したいかを決めるからです。エンジニアやステーション、ドローなど、実際にOTネットワーク内にあるメンテナンスが必要なものなら何にでも接続できます。これにより、サードパーティベンダーが安全に OT ネットワークに接続し、監視、記録、検証を受けることができます。つまり、変更プロセスの管理がそのプロセスの一部になるということは、すべて変更プロセスの管理の一部となるため、非常に共感できることです。そして、それらは基本的に非常にうまく追跡できます。

26:41 ラグーナンダクマラ

そして、養子縁組をどう見ていますか？それは素晴らしいことだと思うので、ゼロトラストの完璧なユースケースの好例だと思います。OT の分野ではどのようなことを考えていますか？ユースケースでのゼロトラストの採用率はどのようになっていると思いますか？実際のプログラムを実施しているような組織ですか？それとも、他の業種と比べるとまだかなり未熟なのでしょうか？

27:07 カルロス・ブエナノ

実は業界によって違うのには驚きました。例えば、石油とガスについて話すとき、それは必須です。わかりました、疑問の余地はありません。そのため、採用率は非常に高いです。鉱業は輸送とエネルギーに次いで続いており、まだ成熟段階にあります。製造業もこの点で成熟しようとしている。しかし、実際にお分かりいただけたように、これは推進力であり、ネットワークを保護するためにゼロトラスト手法を採用しているのは実に良いことです。オッケー。

27:39 ラグーナンダクマラ

例えば、エネルギー、公益事業、鉱業についておっしゃったような業種ですが、そこでの採用が加速している背景は何でしょうか？規制要件のようなものでしょうか？それとも、単に脅威を懸念しているだけなのでしょうか？

27:55 カルロスブエナノ

その両方が少しあります。つまり、どちらかというと両方ですね。それと、運用上のメリットも付け加えておきます。そこで、脅威が発生し、保守しているすべてのシステムにセキュリティポリシーが適用され、OT ネットワーク内のすべてのデバイスにアクセスしているのはそのシステムだけが内部に存在することを確認したいのです。そしてもちろん、その名前は、未知のデバイス、資産、ラップトップをネットワークに接続している第三者がそうではないことを防ぎます。つまり、その懸念が取り除かれれば、コンプライアンスも実現します。つまり、彼らが遵守していることを確認するためです。つまり、お住まいの国によって異なります。つまり、ヨーロッパに NIS2 があって、ここアメリカにも他の NIS2 があるわけです。しかし、実際にはその重要性も増しています。というのも、実際には規制が6番目に発効しつつあり、実際にそれらのプロセスを整える必要があるからです。しかし、前述したように、オペレーション、オペレーション。繰り返しになりますが、ITとOTのコンバージェンスは実際には私たちの間にあり、利用しているので重要なのは、ITとOTが商品を比較する必要があるということです。なぜなら、ITネットワークには、レポートやスケジューリングの提供、生産の監視など、基本的に環境に接続して情報を引き出すために必要なものがたくさんあるからです。だから、それは実際には避けられなくなってきています。そして、この 2 つのネットワークの統合がより明白になり、レガシーシステムの話になると、攻撃対象領域が大きくなりすぎます。そして、ゼロトラストのプラットフォームやフレームワークがあれば、考えられるさまざまなシナリオ全体のリスクを実際に最小限に抑えることができます。ご存知のように、データやランサムウェアなど、悪用される可能性のあるあらゆる攻撃ベクトルを盗むことです。

30:06 ラグーナンダクマラ

それでは、レガシーインフラストラクチャ全体にゼロを適用する場合の課題について説明する前に、まず、ITとOTがますます統合する必要性についてお話ししたので、統合が加速するにつれて組織が懸念しているサイバーセキュリティの課題や脅威リスクは何か、言い方を変えても構いません。

30:23 カルロスブエナノ

まず第一に、それはノウハウです。つまり、これまで非常に差別化されていたIT/OTネットワークに関しては、OTネットワークはその特定のタスクのみを実行していました。まったく逆です。IT部門は、人々の効率を高めるように設計されたツール、システム、プロセスを実際に提供しますが、本質的に、2つのネットワーク間の考え方はまったく逆です。つまり、最も懸念されるのは、ご存知のとおり、OT ネットワークを IT ネットワークに開放し始めるとすぐにこの理念がぶつかり、それが大きな課題になるということです。IT 担当者が OT の要件を理解できるようにする。というのも、IT 担当者は OT ネットワーク内のデバイスのダイナミクスや、システムが相互に通信するために必要な動作の仕方についても理解していないからです。どうすればそのセグメンテーションを実現できるのでしょうか。そして、その情報やメカニズムを基本的に OT 環境に実装するのは非常に難しく、習得に時間がかかります。そしてもちろん、これらのプロセスを実装するには、製造の観点、OTプロセスの観点からの賛同を得ることが必要ですよね？だからこそ、ネットワークの性質上、ここには非常に多くの課題があります。

32:03 ラグーナンダクマラ

そして、この課題について問い合わせるだけでもう少し先です。明らかに、他の業種では、あらゆる種類のクラウドトランスフォーメーション、つまりデジタルトランスフォーメーションが大きな推進力ですよね？そして、クラウドに移行するアプリケーションのワークロードをどのように保護するかについて、大きな懸念が寄せられています。これは OT 部門でも本当に懸念されることなのでしょうか。それとも、現段階ではOT/ITのコンバージェンスにもっと焦点が当てられているのでしょうか？

32:27 カルロスブエナノ

正直に言うと、新しいテクノロジーやIoT環境へのテクノロジーの導入に関しては、私たちは原動力になっています。ベンダーがこのペンに駆り立てられています。そして、ベンダーがそれをサポートしてくれなければ、私たちはどうしても行かないでしょう。デジタルトランスフォーメーションに関しては、業界やメーカーによって異なり、実際にこれらのシステムを開発する場合でも、SCADAサーバーをハイパーバイザーにインストールしたり、クラウドにホストしたりできる場合とできない場合があります。これは、テクノロジーがまだ存在していないか、ベンダーが提供していないためです。ですから、そういうわけで、それが推進力になるとは思いません。ドライバーは本当に経済的なので、ドライバーはフットプリントを減らすことになるでしょう。彼らは管理コストや製造コストを使っていますが、セキュリティについてはあまり使っていません。

33:28 ラグーナンダクマラ

理解しました。ゼロトラストに戻りましょう。レガシーインフラストラクチャが非常に多い場合に、ゼロトラスト戦略を採用するにあたってどのような課題があるのでしょうか。

33:39 カルロスブエナノ

そこで課題となるのは、基本的にはどのように実装するか、そして多くの変更を加える必要があるときに、それらのポリシーを基本的にどのように実施できるかということです。前に述べたように、レガシーシステムの中には、ゼロトラストの実装に必要な要件やテクノロジーをサポートしていないものがあります。それもその一つです。第二に、レガシーシステムにはパフォーマンスがない可能性があります。どのようなポリシーが導入されているかを認証または検証する機能がないことは間違いありません。そしてもちろん、それをどのように実装する時間があるかということです。そこで、ゼロトラストが機能するために必要なネットワークの変更を実装できるように、その機会を見つけ、再構築または再定義するための変更を加え、次にネットワークを構築します。つまり、これが基本的に私たちが直面している課題です。

34:42 ラグーナンダクマラ

では、組織からアドバイスを求められ、「OK、私のIT/OT環境を保護するためにゼロトラスト戦略を採用したい」と言われたら、どこから始めて、どのように始めるべきかをどのように導くのでしょうか。

34:53 カルロスブエナノ

ですから、このコミュニケーション、ご存知の通り、正直に伝える必要があります。しかし、常に境界はあります。境界線から始めると、境界線はシステムの奥深くまで入り始めます。つまり、基本的に、たとえば OT ネットワークをあまり変更しなくても、新しい DMZ を確立できます。そしてそこから、さまざまなシステムへの道筋を見つけて、ゼロトラスト方式の実現に取り掛かります。そこで、ネットワークのセキュリティを確保しましょう。非常に創造的でなければなりません。ネットワークをある程度理解し、可視性を獲得し、ネットワークが互いにどのように通信できるかを理解してから、意思決定を開始する必要があります。ご存知の通り、リスクアセスメントです。繰り返しますが、コミュニケーションは常に重要です。前に述べたように、運用の観点からメリットを表現してください。そして、運用側の観点から賛同を得ようとします。なぜなら、彼らはプロセスを理解していて、プロセスの観点からこれらのシステムの実装を開始するうえでどのような能力があるかを知っているからです。これは簡単な作業ではありません。あまり気にしないように、まずは可視化を行い、保護する必要があるデバイスを理解してもらい、ビジネスに不可欠なデバイスを理解し、ビジネスに不可欠なデバイスを理解し、それらのビジネスクリティカルなデバイスを分離し、ゼロトラストを実装して、最後までプログラムによるプロセスとして拡大していく必要があります。それはそれほど小さな道のりでも短い旅でもありません。長い道のりになるでしょう。しかし、それを少しずつ進めていけば、少なくとも最初の目標であるネットワークのセキュリティを確保することはできます。そして 2 つ目の目標を、ネットワークの保護が完了するまで続けます。

36:58 ラグーナンダクマラ

私はあなたがそれを表現する方法が大好きです。それをまとめると、それが実際にセキュリティで測定可能な改善が見られるようになるための本当の道筋だと思うからですよね？おっしゃるように、こうした環境にはあらゆる課題が存在しますが、大規模に何かをしようとすることはほとんど不可能です。

37:16 カルロスブエナノ

グリーンフィールドプロジェクトやブラウンフィールドプロジェクトがない限り、それは不可能です。

37:20 ラグーナンダクマラ

うん。というのも、実際のマクロビューから進んでいくうちに完了するようなものだからです。そうだね？そして、あなたは洗練し続けて、洗練して、洗練し続けています。ゼロトラストのセキュリティ原則を制御メッセージなどに適用して、たとえば攻撃者がコントローラーを乗っ取ることができず、実質的に違法なメッセージを送ることができないような場合に活用する機会はありますか？そして申し訳ありませんが、条件がすべて間違っています。

37:52 カルロスブエナノ

大丈夫です。大丈夫。しかし、私が見てみると、答えは「はい」です。オッケー。答えは間違いなく「はい」です。ベンダーがサイバーセキュリティの現実に慣れてきて、これまでに見たことのない要件が出てくるにつれて、ベンダーはセキュリティを中心とした設計を始めていると思います。そのため、変更やコントローラーの変更を認証する方法を検討し始めており、感知できないようにしています。さて、これらの変更を行うためのプロトコルを暗号化することを検討し始めています。しかし今では、実際にラインに接続できるシステムが登場しつつあります。つまり、デバイスをラインに接続し、そのデバイスを PLC ネットワークに接続するというシステムです。そして、PLCへのセッションを持つエンジニアがネットワークを介して行う必要があるすべての構成は、その通信が認証される必要があります。また、認証やアクセス制御の提供、誰が変更できるか、この人がどのような変更を行えるかというポリシーの理解、考え方、ポリシーなどに、ゼロトラストを使用しています。これは、システムを使い続けるためのアクセスを取得するという点では、実際には非常に良いことです。

39:16 ラグーナンダクマラ

つまり、WAFのようなものと同じですか？

39:18 カルロスブエナノ

正しい、そうだね。

39:20 ラグーナンダクマラ

それで、私たちが前に進むにつれ、いくつかの業界でゼロトラスト戦略が採用されているようなものについて少し話しました。そして、さまざまな地域で、この一歩前進に向けたさまざまなアプローチが採用されているように見えます。米国の場合は、ゼロトラスト戦略を採用する方向性があることは明らかです。一方、EUを例にとってみましょう。私たちはコンプライアンスに基づくアプローチをはるかに採用しています。これらのアプローチの長所と短所、そしてそれを加速させるために何が必要かについて、あなたはどう思いますか？

39:52 カルロスブエナノ

ええ、だから、それはすべて基本的に政府と国、そして彼らが快適に感じる規制次第です。さて、実際に、いくつかの国では、あなたがおっしゃったように、私たちがよりよく理解しているリソースがあり、要件についてよく理解していることがわかります。そして、例えば、米国がゼロトラストを採用していることは、おっしゃるとおりで、ヨーロッパのコンプライアンスももう少し進んでいることがわかります。しかし、現実には、システムを保護するためにできることが多ければ多いほど良いということです。私の意見では、コンプライアンスフレームワークはそのような人にとって素晴らしい出発点です。なぜなら、フレームワークを見ると、一部のフレームワークは、システムの保護を開始するためのプロセスを実際に導入し始めるように設計されているからです。わかりました。それは素晴らしいことだ素晴らしいスタートだしかし、実際のところ、制御に関しては、もう少し徹底する必要があります。そして、本当にお互いを分離できると言っておきます。これらのフレームワークの中には、認証が必要なものもありますが、ゼロトランスはそれを超えるものです。つまり、認証以外にも多くのことがあります。認証と検証ですが、ゼロトラストは、ユーザーの観点からだけでなく、デバイスの観点からも、基本的に誰が実際にアクセスしているのかということを超えています。これは基本的には一歩前進です。そして、それにはもっと成熟が必要です。しかし、私の意見では、どちらも保護される可能性が高くなければなりません。しかし、運用の観点から見ると、正直に言うと、変更プロセスの管理を実際にゼロトラストと連携させて、ネットワーク、デバイス、またはプロセスで行われている変更を基本的に監視および検証し、より徹底的な制御が可能になるという点が気に入っています。そして、生産性、プロセス、インテグリティに関して言えば。

41:55 ラグーナンダクマラ

それは本当に興味深い見解です。ゼロトラストを実際のプロセス自体に適用し、それをより良い実践を促進するための原動力として利用することについて、誰もそう言うのを聞いたことがありません。そうだね。つまり、必ずしも新しいテクノロジーや採用などを推進しているわけではありませんが、「現段階では、変更プロセスの一部として物事が忍び寄ることは許さない」と言っているだけです。

42:17 カルロスブエナノ

正しい。正しい。そして、それが私が一番好きなパターンです。

42:21 ラグーナンダクマラ

さて、まとめが近づいている今、このような視点を提供できるとしたら、今日の重要な国家インフラ分野は、大規模なサイバー攻撃に耐えられるようにどのように準備されていると思いますか？それに対するあなたの自信は？

42:38 カルロスブエナノ

ですから、これも非常に難しい質問です。しかし、ほら、彼らにはリソースがあり、フレームワークがあり、良いアイデアがあり、基本的にシステムを保護することは問題ありません。しかし、現実には、特定のインシデントから対応する必要がある人々を実装するために必要な人材を確保することに関しては、まだ発展途上の段階であり、彼らが生き残るための優れた立場に立つにはまだ初期段階です。それが良い言葉かどうかはわかりませんが、対応して修復できること、そして大規模なインシデントに対応できることは間違いありません。実際、彼らにはたくさんの作業が行われていることが分かります。実際の手順はたくさんあり、メカニズムやフレームワークもたくさんあります。しかし、規模が大きいと、非常に難しくなります。Log4j の例を挙げると、私たちは皆、コミュニティとしてそのために取り組んでいます。しかし、ある意味では、私たちはお互いに非常に孤立していました。実際、誰もが自分のことをやって、自立して生き残ろうとしていました。また、準備が整っていても、まだやるべきことがたくさんある組織もありました。そして、中にはまだ回復を試みている企業もあります。つまり、これは私たちに必要なものが揃っているかを示す一例に過ぎないのです。はい。でも、やるべきだと言ったことを実際に実行できるでしょうか？まだ準備ができていないと思います。

44:09 ラグーナンダクマラ

君の言い方が好きだね。だって、君はガラスの半分いっぱいの絵を見せていると思うから。皆さんは、私たちがほとんど同じようなツールを導入していて、今や採用を促進する必要があると楽観視しています。そして、孤立した状態ではなく、実際にコミュニティとして働くことについて話していました。これは、「セキュリティを向上させるにはとても重要」だと思います。では、カルロス、将来を見据えているんですね？どんな会話でもAIについて話さなければ、誰もSEOを話さず、SEOは台無しになりますよね？では、OT 分野における AI の関連性は、サイバーセキュリティの観点からだけでなく、運用面でのメリット、そしてもちろん、そのセキュリティを確保するための用途など、どのような観点から見ればよいのでしょうか。

44:56 カルロスブエナノ

ほら、AI はとても、とてもパワフルなツールですよね？つまり、データさえあれば、レポーティングを自動化した結果を実際に活用できるということです。つまり、AI に関しては多くのメリットがあります。私たちは基本的に AI をプロダクションシステムで使用して情報を相互に関連づけ、より効率的になるようにレポートを作成し、基本的にはポジティブでありながら他の結果が出ないような方法でデータを管理します。しかし残念なことに、それは常にコインの反対側ですよね？つまり、実際に有効に使用する必要があり、利益を得るために使用する必要があります。OT環境では、特に脆弱性を利用して悪用するためにAIが使用され始めています。これは実際、すでにいくつかの攻撃、サイバー攻撃、AIの使用、およびこれらのレガシーシステムの脆弱性を悪用し、残念ながらこれらのレガシーシステムの脆弱性を悪用しています。基本的な悪用方法を理解するためにAIを使用するマシンにログインする必要すらありませんその脆弱性を解決してください。しかし同時に、AIを使ったいくつかのツールを実際に使用してそれに対抗することもできます。だから、私の立場はそれが素晴らしいということだと思います。だから、私たちは長い間、何でもそうだとしても、デザインの面でそれをうまく使いますよね？ええ、プロダクションの改善に使えるみたいな感じです。これを使ってセキュリティを向上させることができます。しかし同時に、それが正しく実装されず、実際に悪人の手に渡った場合、基本的に私たちに不利に働く可能性があるため、非常に注意する必要があります。

46:56 ラグーナンダクマラ

ええ、絶対に。そうだね。そして、あなたが触れたのはAIで、攻撃者の手に渡ることで、はるかに詳細な可視性と分析が可能になり、今日では多くのサイクルを費やす必要があるでしょう。そこで、ゼロトラストの観点から考えると、環境に対するユーザーの視点を可能な限り限定し、分析の推進に必要な情報をできるだけ少なくするには、どうすればよいかということです。

47:25 カルロスブエナノ

基本的に、認証の観点からすべての可能性をセグメント化し、認証する必要があります。そのため、侵入する必要があるため、脆弱性を悪用することはできません。ビジネスクリティカルな観点から見ると、このような広がりを回避するためのゼロトラスト手法があるため、実際に本番環境に影響を与えるために必要なレベルに到達することはできません。さて、そのネットワークセグメントができました。そして、おっと、そこに着いたみたいだ。でも前に進めばいいそこに着いたらそれは、ええ、

48:01 ラグーナンダクマラ

絶対に。それでは、楽しいことで締めくくりましょう。カルロス、あなたの好きなゼロトラストの例えは何ですか？では、カルロスがゼロトラストを5歳の子供に説明するとしたら、あなたはどう説明しますか？

48:12 カルロスブエナノ

セキュリティ部分みたいだよね？だから、デザインはできるけど、ちょっと例えを変えて、家をデザインできるんだ。私が息子たちにセキュリティを説明する方法は、実はこうです。家は設計でき、その家には窓とドアがあります。安全ですか？すると彼らは「うん」と言う、オーケー、窓を割ったらどうする？ああ。鍵を開けたらどうなる？じゃあ、他に何ができる？そうか、バーや窓を引っ張ってもいいよオッケー、エンドアングルグラインダーを持ってきて装置に角度をつけて窓を割れるとしたら？まあ、実際にローラードアを入れることもできるし、ゼロトラストはそういうふうに思える。ほら、セキュリティプロセスを維持するために細分化して家の安全を確保するための一連の方法論ですよね？ですから、実際に定義し、リスクを冒して評価し、どのようにセキュリティを確保し、統制を実施するかを理解する必要があります。その制御の 1 つがビデオカメラです。たとえば、誰がアクセスしているかを把握するためのものです。もう1つは、非常に安全な認証システムを導入して、ユーザーが家に入ることができるようにすることです。家に入ってカメラを手に入れると、実際に何をしているかがわかります。しかし、ある部屋に入ると、その部屋にしか入ることができません。それはあなたの部屋です。座って、横になって、そこで寝ます。でも、弟の部屋に行こうとしても、入れないから行けない。ほら、あれは本当に楽しいよ。

49:51 ラグーナンダクマラ

私はそれが大好きです。息子さんたちとゼロトラストで会話をしているような感じで、とても気に入っています。カルロス、今日お話しできて本当に嬉しかったです。OT 環境におけるセキュリティ、将来の課題、ゼロトラストの関連性について、このような啓発的な概要を説明していただきありがとうございます。実際、そのような環境について何も理解していない私にとっては目を見張るものがありました。ですから、本当に感謝しています。まだ機会がない方のために、Armisは最近、サイバーセキュリティの解剖学、つまり攻撃環境を分析した素晴らしい調査レポートを発表しました。皆さんにもぜひ行って確認してもらいたいと思います。カルロス、どうもありがとう。

50:32 カルロスブエナノ

呼んでくれてどうもありがとう楽しかったよ。

50:35 ラグーナンダクマラ

今週のThe Segmentのエピソードを視聴していただきありがとうございます。2週間後に次のエピソードで戻ってきます。それまでの間、ゼロトラストに関するその他のリソースについては、必ず当社のウェブサイトwww.illumio.comにアクセスし、ショーノートのリンクを使用してLinkedInとXで私たちを見つけてください。本日は以上です。ホストのラグー・ナンダクマラです。またすぐにお話しします。

‍