SIerがOTネットワークのレジリエンスを迅速に実現するために：ブラウンフィールドにおける3つの主要課題の克服方法 NEW

強靭なOTネットワークの構築は、かつてないほど複雑化しており、SIerは、IEC 62443などの厳格なサイバーセキュリティ規制への準拠と、ダウンタイムを許容できない現場の要求との両立を迫られ、板挟みになるという困難な状況に置かれています。ブラウンフィールドにおいて高度なセキュリティ対策を導入すると、統合作業が難航し、深刻なトラブルや生産停止のリスクが生じて支障をきたすことがあり、SIerにとって大きな負担となります。

では、こうした予期せぬ問題を回避しながら、システム統合プロジェクトを迅速に進めるにはどうすればよいのでしょうか？ この記事では、安全性、信頼性、規格適合性を備えたネットワークを構築するためのポイントを、3つの主要課題とその解決策に沿って解説します。

課題 ①：システム全体でIEC 62443準拠を実現するためにかかる多大な作業負荷

顧客から求められるIEC 62443への厳格な適合対応に、課題を感じていませんか？IEC 62443は、産業オートメーション制御システム (IACS) のコンポーネント、システム、およびシステム統合に関する幅広いサイバーセキュリティ要求事項を定めた規格群です。

SIerが直面する代表的な課題のひとつは、デバイスレベルのセキュリティ機能と、システム全体で実現すべきセキュリティ要件とのギャップを埋めるために、多大な作業負荷がかかることです。IEC 62443-4-2に準拠したセキュリティ強化済みのデバイスを導入することは重要な第一歩ですが、SIerやアセット (資産) オーナーは、IEC 62443-3-3が定めるシステム全体にわたる複雑な要件にも対処しなければなりません。脆弱性のあるネットワークを、厳格な規格に適合するよう再設計するには、多大な時間と労力が必要となります。

Moxaの解決策：規格適合に向けた取り組みを効率化させる

システムレベルでの規格適合を実現するために、すべての製品が個別に認証を取得している必要があるとは限りません。厳格なセキュリティ開発プロセスに基づいて設計された機器を選択することで、SIerはより幅広く信頼性の高いソリューションを活用できます。Moxaは、IEC 62443-4-1 ML3認証を取得したセキュア開発ライフサイクル (SDL) プロセスを採用しています。これにより、ネットワーク製品ポートフォリオ全体で、設計段階からセキュリティを考慮した「セキュア・バイ・デザイン」の基盤を保証しています。

Moxaは、認証取得済みのハードウェアが必須となるプロジェクトに向けて、IEC 62443-4-2 セキュリティレベル2 (SL2) 認証を取得した製品を幅広く提供しています。主な製品として、セキュアマネージドスイッチのEDS-4000/G4000シリーズや、産業用ファイアウォールのEDR-G9010シリーズがあります。セキュアな製品開発の考え方と、認証取得済み製品の充実したラインナップを兼ね備えたベンダーと連携することで、SIerは、規格適合を考慮した多層防御アーキテクチャの構築を効率化できます。

Moxaは、IEC 62443-4-1 ML3認証を取得した企業として、また、IEC 62443-4-2認証取得製品を提供するネットワークソリューションプロバイダーとして、レジリエンス (耐障害性) の高いネットワークセキュリティの構築と、IEC 62443-3-3へのシステム全体での適合に向けた取り組みを支援します。ネットワークの観点からIEC 62443-3-3の要求事項を実装する方法について、 詳しくは下記のホワイトペーパーをご覧ください。

■ ホワイトペーパー：IEC 62443-3-3準拠に向けた強靭なネットワークセキュリティ基盤の構築

課題 ②：ブラウンフィールド環境でのネットワークセグメンテーションに伴う「全面入れ替え」のリスク

ブラウンフィールド環境において、SIerにとって大きな障壁となるのが、セグメンテーションの更新に伴い、PLCのIPアドレスを変更しなければならないケースです。IPアドレスの変更はリスクが高く、生産停止につながるおそれがあります。さらに、インライン型のセキュリティ機器が故障すると、フェイルクローズ (異常時の通信遮断) の状態に陥り、重要な制御ループが停止して、分単位で大きな損失が発生する可能性もあります。

加えて、工場内で大量のデータをやり取りするニーズが高まっていることも考慮しなければなりません。複数のプロジェクトを同時に管理するだけでも大きな負担ですが、セキュリティ要件や稼働率 (アップタイム) の要求がそれぞれ異なる顧客に対して、適切なソリューションを選定・検証する作業は、SIerの負担をさらに増大させます。

Moxaの解決策：ブラウンフィールドの更新に対応するワンストップソリューション

Moxaは、多様なセキュリティやパフォーマンスの要件に対応するため、マネージドスイッチと産業用ファイアウォールを幅広く提供しています。複数のベンダーの製品を組み合わせるのではなく、Moxaのソリューションを活用することで、ブラウンフィールド環境のさまざまな課題に対応できます。

ステップ 1：基本的なネットワーク分割を実現する

ブラウンフィールドのセキュリティを早期に強化するには、アンマネージドスイッチをセキュアマネージドスイッチに置き換える方法が有効です。ネットワークの状態を可視化できるほか、VLANやサブネット分割を活用することで、シンプルかつ効果的なネットワークセグメンテーションを実現することができます。

ステップ 2：レガシーシステムをシームレスに保護する

MoxaのEDF-G1002-BPファイアウォールは、レイヤー2透過型ブリッジとして動作できます。Windows XP搭載のHMIなど、パッチ適用が難しいレガシーシステムの保護に適しています。レガシーマシンの前にファイアウォールを配置することで、既存のIPアドレスやルーティング設定を維持したまま、セキュリティ対策を導入できます。

稼働継続を最優先するOT環境では、段階的な導入を推奨します。まず、IDS (侵入検知システム) モードから開始します。このモードでは、通信を遮断することなくトラフィックを受動的に監視・記録し、通常のOT通信パターンを把握できます。このアプローチは、OT環境で特に懸念される「ファイアウォールが必要な通信まで遮断し、生産ラインを停止させてしまうのではないか」という問題への対策にもなります。IDSによる監視を先行させることで、通信の実態を把握し、実際に通信を制御する前に、必要な判断材料と確信を得ることができます。

通常の通信パターンを十分に把握した後、検知した脅威のシグネチャに対応するIPS (侵入防止システム) やDPI (ディープパケットインスペクション) のルールを段階的に有効化できます。また、時間的制約のある制御トラフィックをIPSの検査対象から除外することで、OT制御ループの時刻確定性を維持し、セキュリティ対策によって運用パフォーマンスが損なわれることを防ぎます。

こちらのホワイトペーパーでは、ルーティング型と透過型のファイアウォールの技術的な違いと、 プロジェクトに適した産業用ファイアウォールを選定する際のポイントについて、詳しく解説しています。

■ ホワイトペーパー：適切な産業用ファイアウォールの選択方法：トップ7の検討事項

また、セキュリティと稼働率の両立をサポートする産業用ファイアウォールの新潮流についての詳細は、下記の技術情報をご覧ください。

■ 技術情報：セキュリティと稼働率の両立へ - LANファイアウォールの新潮流 -

ステップ 3：ネットワークセグメンテーションとリモートアクセスを拡張する

大規模なネットワークセグメンテーションを実現するためには、MoxaのEDR-8010シリーズのファイアウォールが適しています。複数の複雑なネットワークセグメントを構築できるほか、同一のIPアドレス設定を使用する製造装置 (OEMスキッド) に対して1:1 NAT (1対1のネットワークアドレス変換) をサポートします。また、セキュアなVPNトンネルによるリモートアクセスも実現できます。

ステップ 4：妥協のない信頼性を確保する

OT環境では、何よりもシステムの稼働継続が求められます。そのため、Moxaのセキュリティソリューションは、単一障害点を回避できるように設計されています。EDF-G1002-BP や EDR-G9004シリーズなどの高度な産業用ファイアウォールには、Gen3 (第3世代) LANバイパス技術が搭載されています。ファイアウォールの電源が失われた場合やシステム障害が発生した場合でも、機械式リレーが即座に「フェイル・トゥ・ワイヤ」バイパスを起動し、PLCとI/O間の重要な通信を中断することなく維持します。また、セキュアマネージドスイッチやEDR-8010/G9010シリーズのファイアウォールは、堅牢なフェイルセーフ型の冗長化機能を備えているため、大量のデータ負荷がかかる状況下でも、大規模ネットワークを円滑に稼働させ続けます。

課題 ③：導入・運用の複雑さと、継続課金型ライセンスの負担

市場に流通するファイアウォール製品の中には、管理インターフェースが複雑なものや、追加機能の利用に継続的なサブスクリプション契約が必要なものがあります。SIerにとって、こうした製品は導入時の大きなボトルネックとなります。多数の機器に対してネットワーク設定やファイアウォールルールを展開する作業が煩雑になり、導入・設定に多くの工数を要することがあります。

さらに、この問題はプロジェクトの引き渡し後にも続きます。顧客が日常の保守・運用で複雑な設定に対応できず、ネットワークに関する専門知識がなければ、簡単な設定変更やトラブル対応さえ難しくなる場合があります。加えて、サブスクリプションの継続的な更新が必要な製品では、ライセンスの更新忘れが大きなリスクになります。市場にある一部のソリューションでは、ライセンスの期限切れによって管理機能が利用できなくなったり、トラフィックの転送そのものが停止したりする場合があります。このような事態は、回避可能なシステム停止を招き、SIerの信頼を損なうことにもつながります。

Moxaの解決策：導入・運用を効率化し、TCOを予測可能にする

Moxaのソリューションは、迅速な導入、トラブルシューティングの簡素化、安心して引き渡せるシステム構築を支援します。複雑さを取り除くことで、SIerは導入プロジェクトの収益性を高めるとともに、顧客にとって保守・運用しやすいネットワーク環境を実現できます。

ネットワークとセキュリティの状態を一元的に可視化

Moxaは、産業現場の担当者が使いやすい、2つのソフトウェアによるネットワーク管理アプローチを提供しています。複雑なコマンドライン操作に頼ることなく、直感的なビジュアルインターフェースからネットワークを管理できます。

• MXview One：物理ネットワークのトポロジーを自動的にマッピングし、機器の稼働状態、リンクステータス、ネットワークの冗長化状態をリアルタイムに可視化します。SIerが、導入時に発生した物理接続の問題を迅速に特定するのに役立ちます。
• MXsecurity：システムの中枢として機能し、ファイアウォールポリシーの設定、IPSシグネチャの更新、脅威の監視などを一元管理します。ビジュアルインターフェースを通じて多数のリモート機器を効率的に管理でき、わずか数回の操作で多数の機器に一貫したポリシーを展開できます。大規模な機器導入時の作業負担を軽減し、人的ミスのリスクを抑えます。

設備投資 (CapEx) に適したライセンス体系と、標準搭載のセキュリティ機能で、導入コストを最適化

Moxaは、OT環境に適した製品購入・ライセンスモデルを採用しています。ルーティング、NAT、ファイアウォールによる通信フィルタリングなどの基本機能はハードウェアに組み込まれており、利用にあたって継続的なサブスクリプション契約は必要ありません。

EDF-G1002-BPなどの高度な産業用ファイアウォールには、工場出荷時にIPSライセンスがインストールされています。新たな脅威に対応するためのIPSシグネチャ更新については、ポイント制のサブスクリプションを利用できます。

万が一、IPSシグネチャ更新のサブスクリプションを更新し忘れた場合でも、IPS機能そのものは引き続き動作します。ただし、新しいIPSシグネチャは提供されなくなります。サブスクリプションの期限切れだけを理由に、ネットワークのトラフィック転送が停止することはありません。これにより、顧客に対してTCO (総保有コスト) を明確かつ予測可能な形で提示できます。サブスクリプションの期限切れによるシステム停止や、予期せぬ機能停止に悩まされることなく、安定して稼働し続けるネットワークを構築できます。

ネットワーク統合の複雑さに悩まされることなく、セキュリティと信頼性を強化しませんか？ 真にレジリエンスの高いOTネットワークを実現するには、単一の機器を導入するだけでは不十分です。マネージドスイッチ、産業用ファイアウォール、一元管理ソフトウェアを組み合わせたMoxaのセキュアネットワークソリューションが、ブラウンフィールド環境で直面する課題の克服を支援します。

システム統合プロジェクトに最適な、Moxaの幅広いセキュアネットワークソリューションについての詳細は、下記の技術情報をご覧ください。

■ 技術情報：ネットワークリスクを低減し、OT運用を強化 - 強靭なOT運用を支えるセキュアなネットワークアーキテクチャの構築を支援