CPNI Good Practice Guidelines
この文書は、制御系システムの開発・設計ならびにユーザーが遠隔制御・監視システムを使用するにあたってセキュリティ要件と仕様のガイドとして、英国の国家インフラ保護センター（CPNI：Centre for the Protection of National Infrastructure）が作成したものです。 また、制御系システム開発者がオープン系システムを取り込もうとする場合の手引きにもなります。 JPCERT/CCが翻訳した日本語版は、2007年に公開されています。なお、現在の英国のサイバーセキュリティ政策はNational Cyber Security Centre（NCSC；2016年に設置）が担当しています。
グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ
この文書は、制御系システムの開発・設計ならびにユーザーが SCADA（Supervisory Control and Data Acquisition、遠隔制御・監視システム）を使用するにあたってセキュリティ要件と仕様のガイドとなるものです。 また、制御系システム開発者がオープン系システムを取り込もうとする場合の手引きにもなります。
| 概 要 |
|---|
重要インフラで使用されるシステムには事業とその用途に応じてさまざまな形態があるが、その中でもいくつかの共通機能のコンポーネント化が進んでいる分野がある。 昨今の情報通信技術とオープン化の波は、開発コストの低コスト化、汎用化、ネットワーク化をもたらし、分散制御システム、監視制御、プロセス制御の分野においてもオープン系の技術を取り入れた製品、システムの利用が進んでおり、それらは重要インフラで使用もされている。 SCADA（Supervisory Control And Data Acquisition）は監視・制御データの収集を目的としたシステム全般を指し、小規模システムから大規模プラントまで産業分野に広く用いられている。 本文書は、制御系システムの開発・設計ならびにユーザーがSCADAを使用するにあたってセキュリティ要件と仕様のガイドとなるものである。 また、制御系システム開発者がオープン系システムを取り込もうとする場合の手引きともなる。 |
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | GPG No. 1 - 事業リスクの理解 | 984KB | PGP 署名 |
| 概要：プロセス制御システムのセキュリティを改善するための第一歩は、電子セキュリティの観点から見た事業リスクを完全に理解することである。 事業リスクは、脅威、影響、脆弱性のそれぞれと相関関係にある。企業では、事業リスクを十分に理解して初めて、適切なレベルのセキュリティ保護を実現するために必要なことが判別できるようになる。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | GPG No. 2 - セキュア・アーキテクチャの実装 | 904KB | PGP 署名 |
| 概要：制御系システムは多様な上に、多くのソリューションがあるため、セキュアなシステムアーキテクチャをデザインすることは容易ではない。プロセス制御セキュリティ手段の選択は決して精密科学ではなく、すべてに対応できる「万能」なものでもない。事業リスクを十分に理解することで、制御システムのための総合的なセキュア・アーキテクチャを構築することができるようになる。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | GPG No. 3 - 対応能力の確立 | 984KB | PGP 署名 |
| 概要：アラート／インシデントへの対応機能を確立することは、制御系システムにおけるセキュリティフレームワークの中でも特に重要な部分である。経営層のサポート、責任の明確化、連絡経路の確立、方針および手順の策定、トレーニングおよび演習の実施は、迅速かつ的確な対応につながり、ビジネスインパクトを最低限に抑え、インシデントの影響を低減させる可能性がある。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | GPG No. 4 - 意識とスキルの改善 | 1,004KB | PGP 署名 |
| 概要：セキュリティフレームワークの成功は、最終的には人的要素にかかっている。人は、最も重要なリソースであると同時に、セキュリティにとって最大の脅威となる恐れも秘めている。プロセス制御システムのセキュリティは、意識の向上、スキルの向上、IT セキュリティ担当者との緊密な関係の構築により、向上させることができる。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | GPG No. 5 - サード・パーティ・リスクの管理 | 1MB | PGP 署名 |
| 概要：プロセス制御システムは、ベンダー、サポート組織、サプライ・チェーン内の他の関係者等のサード・パーティによって重大なセキュリティ・リスクがもたらされることがあるので、十分な注意を払う必要がある。サード・パーティ・リスクを認識し可視化することが、そのリスクを管理し始めることを可能にする鍵である。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | GPG No. 6 - プロジェクトへの参画 | 844KB | PGP 署名 |
| 概要：プロセス制御システムは普通、耐用年数が長く、その耐用年限中のシステム変更はごく少ないことを期待して設置される。多くの組織では、大抵いつの時点でも、いくつかのプロセス制御システム関連のプロジェクトが実施されていて、それぞれにセキュリティに影響を及ぼす可能性があるため、積極的なプロジェクトへの参加と、リスク評価が必要である。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | GPG No. 7 - 継続した統制の確立 | 1.1MB | PGP 署名 |
| 概要：プロセス制御システムのセキュリティ管理を、組織全体として首尾一貫した手法で実施するためには、適切なガバナンスが必要である。そのような統制なしでは、プロセス制御システムの防護はその場限りまたは不十分であり、組織をリスクにさらすことになる。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2010-07-06 | グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ | 920KB | PGP 署名 |
| 概要：プロセス制御と SCADA システム セキュリティの必要性を概説し、プロセス制御や、SCADA システム セキュリティとITセキュリティの間の違いを明らかにした上で、プロセス制御システム・セキュリティに対応するための七つのステージを示し、各ステージにおけるグッド・プラクティスの原則を示したドキュメント。 | |||
| 公開日 | タイトル | PGP 署名 | |
|---|---|---|---|
| 2007-06-14 | SCADA およびプロセス制御ネットワークにおけるファイアウォールの利用につい ての NISCC グッド・プラクティス・ガイド | 1.3MB | PGP 署名 |
| 概要：近年、監視制御系システムの通信に、EthernetⓇ、TCP/IP、WindowsⓇ等の商用情報技術を使うことが多くなってきている。これらの共通プロトコルやOSを使用する利点は多いが、一方極めて重要なSCADAやプロセス制御ネットワーク（PCS）を外界から隔離できる度合いがかなり低くなるという問題が生じる。よく推奨される対策は、ファイアウォールを使って SCADA や PCN システムをインターネットや企業ネットワーク（EN）から隔離することである。その際のファイアウォールのアーキテクチャ、設定、管理についてまとめたガイドライン。 | |||
