2023-11-30

ICS脆弱性分析レポート

2021-03-23

制御システムセキュリティアセスメント報告書

2018-12-04

つながる制御システムをサイバー攻撃から守る（日刊工業新聞社「工場管理」寄稿記事）

2016-11-15

制御システムセキュリティに関するアセットオーナ実態調査

2015-06-09

SHODANを悪用した攻撃に備えて－制御システム編－

2014-08-11

参考資料「制御システム用製品の開発ベンダにおける脆弱性対応について」

2009-11-24

制御システムセキュリティガイドライン、標準、及び認証への取り組みに関する分析

2008-06-25

「制御系プロトコルに関する調査研究」報告書

2008-06-25

国内の制御システム、制御系プロトコルに関する調査報告書

ICS脆弱性分析レポート

JPCERT/CCでは、制御システム（以下「ICS」）関連製品の脆弱性情報をインターネットなどの公開情報から積極的に収集し、深刻かつ影響範囲が広いと思われる脆弱性情報が公表された場合には、注意喚起を発行して利用者に広く対策を呼びかけています。

本レポートは、JPCERT/CCが「注意喚起」の発行を検討するために詳細分析を行ったICS関連製品の脆弱性情報から、特に注目すべき情報について、JPCERT/CCが情報発信に至った経緯やICSユーザー組織に向けた対策などを解説したものです。ICSユーザー組織のセキュリティ担当者が、自組織で利用されるICS関連製品の脆弱性への対応を検討する際の参考としてご活用ください。

Topへ

制御システムセキュリティアセスメント報告書

JPCERT/CCでは、日本国内の制御システムにおけるセキュリティ対策状況の把握などを目的として、制御システムセキュリティアセスメントサービスのトライアルを実施してきました。本報告書は、製造業等の国内6組織に実施した同アセスメントサービスの評価結果をとおしてわかった各組織の対策状況と同アセスメントサービス実施から半年以上経過した後のフォローアップ調査によってわかった各組織のその後の取り組みや課題についてまとめたものです。

本報告書は、国内のアセットオーナーに向けて、アセスメント実施の有効性に関する認知度の向上や、各組織における制御システムのセキュリティの対策の改善に役立てていただくための参考資料としてご活用いただければ幸いです。

Topへ

つながる制御システムをサイバー攻撃から守る（日刊工業新聞社「工場管理」寄稿記事）

これらの文書は、各掲載媒体のご了解を得て公開しています。

Topへ

制御システムセキュリティに関するアセットオーナ実態調査

制御システムにおけるサイバー脅威は年々増してきており、2015年末にサイバー攻撃により発生したウクライナの大規模停電に見るように、海外ではサイバー攻撃により制御システムが甚大な被害をこうむる事態が発生しています。今後日本国内の制御システムもサイバー攻撃を受ける可能性が懸念されます。

JPCERT/CCにおいても、そのような制御システムに対するサイバー脅威が増大していることに鑑み、産業用制御システムのセキュリティ対策の促進のため、国内にて制御システムを所有するアセットオーナの方々のセキュリティに対する認識や対策状況の把握を目的として、アンケート調査を実施いたしました。

本調査では、総務省統計局の日本標準産業分類（平成25年10月改定分）に準拠した各業界において従業員300人以上を有し、制御システムを所有するアセットオーナ (2,308組織) に対してアンケート調査を試み、318組織から回答いただきました。制御システムネットワークの構成や、それら設備へのセキュリティ対策、マルウエアの感染経験、セキュリティ動向や今後の制御システムセキュリティ対策への取り組みに対する認識など、12問にわたる設問への回答をまとめています。

Topへ

SHODANを悪用した攻撃に備えて －制御システム編－

SHODANとは、インターネット上に公開されているさまざまな機器に関する情報をデータベース化し、インターネット上のサービスとして検索可能にするWebサービスです。
SHODANは、使い方によっては攻撃対象となる制御システムの探索に悪用することができます。

本資料は、国内の制御システムがアセットオーナの意図にかかわらずSHODANのデータベースに登録され、その登録データを悪用され攻撃を受けないよう、アセットオーナが行うべき対策等をまとめています。

Topへ

参考資料「制御システム用製品の開発ベンダにおける脆弱性対応について」

2010年にStuxnetが発見されて以降、制御システムのセキュリティに対する関心が高まりを見せる中、セキュリティの研究者らによってさまざまな制御システム用製品の脆弱性が発見されています。発見された制御システム用製品の脆弱性は、IT製品の脆弱性と同様、適切かつ安全に取り扱われることが望まれます。

2013年度、JPCERT/CCでは、国内の制御システム製品ベンダーにご参加いただいて、「制御システムベンダにおける脆弱性取扱の社内体制整備促進検討会」を開催し、制御システム用製品を扱うベンダーにおける脆弱性関連情報の取扱体制について検討を行いました。

本資料は、制御システム用製品を扱うベンダーが脆弱性関連情報を取り扱う場合に考えられる「必要な機能」「機能を担う体制の在り方」等について、同検討会で交わされた議論をまとめたものです。脆弱性がもたらす事業リスクや制御システム用製品の脆弱性を取り巻く昨今の状況から説き起し、一例として仮想企業A社における対応機能・体制の在り方、外部組織を含めた脆弱性関連情報の取り扱いの流れも紹介しています。

本資料を脆弱性関連情報の取り扱いについて検討される際の参考資料としてご活用いただければ幸いです。 なお、実際の機能・体制の整備に当たっては、自社の状況に合わせ、必要な機能・体制をご検討ください。

Topへ

制御システムセキュリティガイドライン、標準、及び認証への取り組みに関する分析

この文書は、制御システムのセキュリティに対する米国における取組み状況を日本国内の関係者に紹介するため、Digital Bond 社の調査資料をもとに、重要な制御システムのセキュリティガイドライン、標準及び認証への取組み、それぞれの取組みによって最も影響を受けるセクター及び地理的地域、取組みの動向などについてまとめたものです。

Topへ

「制御系プロトコルに関する調査研究」報告書

近年、制御システムで使用されるソフトウエアの脆弱性が発見、報告、公開されるようになってきており、その重要性に鑑み、社会的な関心が高まってきています。JPCERT/CCにおいても、そのような制御システムに関連する脆弱性情報のハンドリングおよび関連情報の公開を行っており、その数は増えつつあります。

これまで発見、公開されている制御システムに関わる脆弱性は、主として、海外で発見され、海外の関係機関から連絡を受けた脆弱性情報であるとともに、 対象としては制御システムで使用されるプロトコルに関する脆弱性がその中心となっています。

JPCERT/CCでは、このような状況を踏まえ、制御系プロトコルに関して、幅広く調査を行うことが今後の制御システムに関わる脆弱性の取り扱いを進めるうえで重要であると考え、調査を行いました。

本報告書は、制御システムの脆弱性取扱いに関連して、現在制御システムで使用されている標準的なプロトコルについて、主としてセキュリティ機能に着目して、 調査結果をとりまとめたものです。

Topへ

国内の制御システム、制御系プロトコルに関する調査報告書

制御システムは、製造業を含むさまざまな産業領域で利用されている他、大規模な石油化学プラントの制御や、電力システムの監視制御、ダムや水供給システムの監視制御など国民生活の基盤サービスを提供する重要なシステムとして利用されています。その一方で、制御システムに関連するソフトウエアに脆弱性が発見されると言う事案も散見され始めています。

国際的な枠組みで脆弱性関連情報の対応の調整を行っている JPCERT/CCにおいても、2006年度以降、海外の脆弱性情報取り扱い組織から制御システムに関する脆弱性情報の報告を受けており、 2008年2月までに計 13 件の脆弱性情報を JVN (Japan Vulnerability Notes) 上で公開しています。 通常の情報処理分野の製品に比してまだ件数は少ないものの、今後も報告件数が増えていく可能性が高いと予測されます。

このような状況を背景に、JPCERT/CCでは、国内で利用されている制御システム関連製品に関する脆弱性情報の届け出が行われた場合、調整機関として迅速かつ的確に影響を推定し、製品開発ベンダーや製品利用業界などとの調整活動を円滑に進めることができるよう、以下 2点につき調査し、報告書としてまとめました。

この報告書では、国内の制御システムにおける標準的な通信プロトコルの利用動向と、同業界内のセキュリティ強化に向けた動きをまとめています。 この分野の方々とセキュリティ専門家との間の共通理解のための一助となることを期待します。

Topへ