全体概要標準化動向 ISA/ASCI/ISCI について EDSA について日本の取組み 2

Size: px

Start display at page:

Download "全体概要標準化動向 ISA/ASCI/ISCI について EDSA について日本の取組み 2"

きよあつみうら
5 years ago
Views:

1 CSSC 認証ラボラトリー ISASecure EDSA 認証説明会 ISASecure EDSA 認証と日本の取組み 2014 年 1 月 15 日公益財団法人日本適合性認定協会 (JAB) 堀江隆 CSSC 認証ラボラトリー吉松健三小林偉昭 1

2 全体概要標準化動向 ISA/ASCI/ISCI について EDSA について日本の取組み 2

11 地震津波火災水害停電大型ハリケーン内部不正機密情報の持ち出し不正アクセス不正操作サイバー攻撃社会インフラ制御システムも対象に Stuxnet( 破壊動作異常

3 多様化する脅威ハード故障劣化ソフトバグ動作停止誤動作品質不良環境汚染 Control System Security Center 社会政治的災害 9.11 テロ 7.7 テロ自爆テロ大量破壊兵器コミュニティ ( 社会 ) 自然災害障害 3.11 地震津波火災水害停電大型ハリケーン内部不正機密情報の持ち出し不正アクセス不正操作サイバー攻撃社会インフラ制御システムも対象に Stuxnet( 破壊動作異常 ) 情報窃取不正アクセス Web 改竄 DoS 攻撃ウイルスビジネス ( 企業 ) ライフ ( 家庭個人 ) 人為的災害オペレーションミス従業員モラル不法投棄プライバシー問題個人情報保護法 (05/4 施行 ) ( 金融医療データ等 ) 盗聴盗撮サイバー攻撃の脅威に対する社会的関心増大 3

4 サイバー攻撃者に対する防護ハードルを高くしよう! 社会インフラ事業者やシステムを提供運用する事業者 1. サイバー攻撃のリスクを低減する 4 つの対策実施 ( オーストラリア DSD, NIST) 1 アプリケーションに対するホワイトリスティング (Whitelisting) 適用 2 アプリケーションの脆弱性対策パッチ適用 pdf や word など 3 基本ソフト OS の脆弱性対策パッチ適用ネットワーク機器も 4 特権ユーザの数を最小にする上記の対策で 85% 以上のリスク低減が実現できた 2. 継続的な監視 (Continuous Monitoring) によるリスク低減 1 ネットワーク状態やシステムログの継続的監視 : デジタルに加えアナログ情報 2 正常通常状態との差分の継続的監視 :SIEM 技術の拡張 3. 標準準拠認証された製品やシステムの利用 DSD: Defense Signals Directorate 既知の脆弱性を利用した攻撃が 75% 製品ベンダ脆弱性を作りこまないセキュアコーディングファジングストレステスト既知の脆弱性対策の徹底定期的なスキャニングペネトレーションテスト政府業界普及啓発組織等サイバー空間の脅威の周知 ex)nisc サイバーセキュリティ2013 (6/27) NIST 重要インフラ向けCybersecurity Frameworkドラフト ( 推進中 ) 業界等でのセキュリティ対策推進 ex) 米国航空宇宙工学協会 (AIAA) (8/13) FDAガイド (8/13) やVerizon 社の調達条件 FDA: Food and Drug AdministraAon 4

NIST Cybersecurity Framework と ISA/IEC62443 l US government Cybersecurity Framework workshop 2013/11/15 開催産学官から 400 名が出席 l Cybersecurity Framework の drak の内容必要な変更実現の戦略に関して議論された Cybersecurity

5 NIST Cybersecurity Framework と ISA/IEC62443 l US government Cybersecurity Framework workshop 2013/11/15 開催産学官から 400 名が出席 l Cybersecurity Framework の drak の内容必要な変更実現の戦略に関して議論された Cybersecurity Framework は 2013 年 2 月のオバマ大統領の行政命令 ( ExecuAve Order Improving CriAcal Infrastructure Cybersecurity ) により NIST が作成 (DraK は NIST からダウンロード可能 ) Framework Core において ISA/IEC (ISA99) 等がクロスセクタの標準として参照されている Appendix A: Framework Core

6 NIST Cybersecurity Framework と ISA/IEC62443 Cybersecurity Framework: 任意の標準であるがデファクトになるだろう現在パブリックコメント募集中で 2 月に公開予定 6 6

7 Control System Security Center 制御システム分野での標準化に関する動向制御システムのセキュリティの標準には組織やシステムのレイヤに対応したもの業種や業界に対応したものなど様々な標準が提案されているこうした中で汎用的な標準として IEC62443が注目されてきており一部事業者の調達要件に挙がってきている業界で評価認証が先行しているISCIやWIBの標準が IEC62443のシリーズに統合される動きとなっている制御システム事業者向けセキュリィマネージメントであるCSMS(IEC ) 認証が日本で推進されている標準化対象汎用制御システム石油化学プラント専用 ( 業種 ) システム電力スマートシステムグリッド鉄道システム組織 CSMS 認 NERC CIP NIST IR7628 ISO/IEC システム IEC ISCI SSA 認 WIB 認 IEC61850 コンポーネント EDSA 認 IEEE1686 凡例 ISCI: ISA Security Compliance Institute WIB: International Instrument User s Association 国際標準業界標準認 : 認証スキーム有統合の動き CSMS 認証の動き 7

8 ISA Security Compliance Institute (ISCI) とは組織アセットオーナー ( 制御システム事業者 ) サプライヤ及び業界組織からなるコンソーシアムで ISA の Automa9on Standards Compliance Ins9tute(ASCI) 内に 2007 年に構築された目的制御システム製品向け試験及び認証のための仕様とプロセスの確立アセットオーナーサプライヤ及び利害関係者の間の業界ベースのプログラム確立により制御システムの開発購入及び構築のための時間コスト及びリスクの低減出典 : ISA Security Compliance InsAtute (ISCI) and ISASecure ISASecure のスキームオーナ認定機関認証機関試験デバイスベンダ受診製品機器ベンダ 8

9 ISCI のメンバタイプと加入組織 CSSC は ISCI にアソシエートメンバとして加入 ( 公表 ) 1Strategic Member: Chevron ExxonMobil Honeywell Invensys Siemens Yokogawa Vo9ng 有年会費 50000ドル 2Technical Member: Aramco Services Codenomicon Exida RTP Corpora9on Vo9ng 有年会費 5000ドルから25000ドル 3Associate Member: CSSC( コンソーシアム組織が対象 ) Vo9ng 無年会費 5000ドル 4Government Member : IPA Vo9ng 無年会費 5000ドル 5Informa9on Member: Egemin Globecomm Vo9ng 無年会費 1500ドル加入の目的 : 1)SSA( System Security Assurance ) の検討状況把握及び最終仕様の早期入手 2)EDSAのエンハンス検討状況の早期把握 3) 適宜 CSSCからの評価認証実績に基づくコメント提案等 9

10 Control System Security Center 日本で日本語による世界共通の認証取得を可能に米国 ISCIへ提案承諾されたスキーム現在のスキム Current Scheme ANSI/ACLASS EDSA Scheme Owner IAF/ ILAC MRA IAF : International Accreditation Forum ILAC : International Laboratory Accreditation Cooperation MRA :Mutual Recognition Arrangement Proposal 承諾スキーム Scheme ISO/IEC Accreditate ISO/IEC Accreditate 認定 ISO/IEC Guide65*2 認定 Guide65* *3 Additional EDSA CL (In Japan) Current EDSA CL*1 CSSCがCLとして認定を CL candidates in Japan can get the accreditation 受け認証機関となるよう from JAB, based on CL 現在は米国の candidate needs exida ANSI/ACLASS 一社が MRA. 推進中 accreditation CLとして認定され活動中 for requirements related to ISO/IEC and ISO/IEC Guide65. Japan s Case 日本のベンダ ISO/IEC 17025*3 Other Countries Cases *1 CL: Chartered Laboratory *2 ISO/IEC Guide65:General requirements for Bodies Operating Product Certification Systems *3 ISO/IEC 17025:General requirements for the competence of testing and calibration laboratories *4 CSSC:Control System Security Center 10

11 EDSA 認証の各評価項目概要 EDSA ソフトウェア開発セキュリティ評価 (SDSA) 機能セキュリティ評価 (FSA) 通信ロバストネス試験 (CRT) SDSA FSA CRT の 3 つを評価することで想定脅威に対する対策のカバー範囲が十分であることを認証体系的な設計不良の検出と回避ベンダのソフトウェア開発とメンテナンスのプロセス監査堅牢 (robust) で, セキュアなソフトウェア開発プロセスを当該組織が守っていることを評価する 3 段階のセキュリティレベルにより評価項目数が決まる実装エラー / 実装漏れの検出セキュリティ機能要件について目標とするセキュリティレベルに対応する全要件が実装済みであるかどうかを評価 3 段階のセキュリティレベルにより評価項目数が決まるデバイスの堅牢性を評価する試験コンポーネントのロバストネス ( 堅牢性 ) について試験奇形や無効な形式のメッセージを送り脆弱性等を分析セキュリティレベルによらず評価項目数は同一 EDSA : Embedded Device Security Assurance 注 : 正式には原英文を参照してください Communication Robustness Testing(CRT), Functional Security Assessment(FSA), Software Development Security Assessment(SDSA) 出典 : ISA Security Compliance Institute (ISCI) and ISASecure 及び andre.pdf 11

12 ISASecure 3 段階のセキュリティレベル評価項目の数によって 3 段階の認証レベルを規定 LEVEL 3 LEVEL 1 Software Development Security Assessment (129) Functional Security Assessment(21) LEVEL 2 Software Development Security Assessment (148) Functional Security Assessment(50) Software Development Security Assessment (169) Functional Security Assessment(83) Communication Robustness Testing(69) 出典 :ICSJWG Spring 2011, (ASCI) ValidaAng the Security Assurance of Industrial AutomaAon Products 12

EDSA 標準のドキュメント体系評価認証 Certification Schem e (EDSA -100) 機関認定ツール承認

recognition (EDSA -201) ISA Secure certification requirem ents (EDSA

通信評価機能評価開発環境評価 CRT FSA SDSA (EDSA -310) (EDSA -311) (EDSA -312)

-404) UDP (EDSA -405) TCP (EDSA -406) IPA により翻訳された EDSA 標準の対訳版は ISCI

13 EDSA 標準のドキュメント体系評価認証 Certification Schem e (EDSA -100) 機関認定ツール承認認証要件 Chartered lab operations and accreditation (EDSA -200) CR T tool recognition (EDSA -201) ISA Secure certification requirem ents (EDSA -300) 認証要件の維持管理 M aintenance of ISA Secure certification (EDSA -301) 通信評価機能評価開発環境評価 CRT FSA SDSA (EDSA -310) (EDSA -311) (EDSA -312) Ethernet (EDSA -401) ARP (EDSA -402) IP v 4 (EDSA -403) ICM Pv4 (EDSA -404) UDP (EDSA -405) TCP (EDSA -406) IPA により翻訳された EDSA 標準の対訳版は ISCI ウェブサイトにて公開 h[p://isasecure.org/isasecure- Program/Japanese- ISASecure- Program.aspx 13

Electronic Device (IED), Digital Protec9ve Relay Smart Motor Starter/Controller, SCADA Controller, Remote Terminal Unit (RTU) Turbine

14 EDSA 製品認証の動向 EDSA 認証対象 : 制御システム向けの組込み機器 l 組込み機器とは産業プロセスを直接監視制御及び駆動するよう設計された組込みソフトウェアを実行する特定目的を持ったデバイス l 例 : Programmable Logic Controller (PLC), Distributed Control System (DCS) controller Safety Logic Solver, Programmable Automa9on Controller (PAC) Intelligent Electronic Device (IED), Digital Protec9ve Relay Smart Motor Starter/Controller, SCADA Controller, Remote Terminal Unit (RTU) Turbine controller, Vibra9on monitoring controller, Compressor controller l ISASecure EDSA 認証取得済組込み機器 : 出典 : ISA Security Compliance InsAtute (ISCI) and ISASecure 14

15 SME Group Steering Commi[ee CoordinaAon Group GIAC Control System Security Center まとめ標準と認証 Standard & CerAficaAon 標準 EO13636 サイバーセキュリティ 2013 日本の重要インフラ認証 GICSP NISC IPA JPCERT/CC METI CSSC 参照推進推進 CSSC ISA/IEC62443 参照 ISA JAB IEC ISASecure(EDSA, SSA) ISA ISCI 連携 ANSI Exida NIST Cybersecurity Framework CSMS(IEC ) IEC JIPDEC 参照米国の重要インフラ JQA 制御システムセキュリティプロフェッショナル ( 人 ) 認証 (GICSP: Global Industrial Cyber Security Professional ISA/IEC62663 と NERC CIP が参照されている ) 制御システムシステムや機器認証 ICS : Industrial Control Systems 制御システム運用供給組織認証 15

Control System Security Center CSSC 認証ラボラトリー ISASecure EDSA 認証説明会 ISASecure EDSA CRT 説明 2014 年 1 月 15 日 CSSC 認証ラボラトリー評価員田中貴志 1

Control System Security Center CSSC 認証ラボラトリー ISASecure EDSA 認証説明会 ISASecure EDSA CRT 説明 2014 年 1 月 15 日 CSSC 認証ラボラトリー評価員田中貴志 1 CSSC 認証ラボラトリー ISASecure EDSA 認証説明会 ISASecure EDSA CRT 説明 2014 年 1 月 15 日 CSSC 認証ラボラトリー評価員田中貴志 1 目次 ISASecure EDSA の CRT 説明 1. CRT 試験とは 2. CRT 試験の内容 3. CRT 試験の準備 4. まとめ 2 1.CRT 試験とは CRT 試験の位置づけ EDSA ソフトウェア開発

全体概要 標準化動向 ISA/ASCI/ISCI について EDSA について 日本の取組み 2

全体概要標準化動向 ISA/ASCI/ISCI について EDSA について日本の取組み 2