【第6回】BASセキュリティ対策をどこまでやるか検討するための手法「CCE」とは何か？：「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説（6）（2/2 ページ）

本連載は、2019年6月にVer.1.0として公開された「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」について、その背景や使い方など、実際に活用する際に必要となることを数回にわたって解説する。第6回は、専門家頼みになりがちなセキュリティ対策で有効な方策について検討してみたい。

[佐々木 弘志 ／ マカフィー，BUILT]

4つの検討ステップから成るCCEの検討手法

　CCEは大きく4つの検討ステップに分かれている（図2）。まずステップ1で検討するのは、対象のビルシステムにおいて「発生してほしくない事象」を洗い出すことだ。ここでは、サイバーセキュリティのことは考慮せず、単に発生してほしくない事象を検討する。ビルシステムであれば、「長期停電によるビルシステムの停止」「火災による人命被害」などが挙げられる。そして、洗い出した事象の優先順位付けを行う。

　次のステップ2では、それらの事象を引き起こす関連システムを洗い出す。ステップ3では、ステップ1の事象をステップ２のシステムを用いて発生させるには、どのようなサイバー攻撃が考えられるかを検討する。最終段階のステップ4で、ステップ3のサイバー攻撃に対応するセキュリティ対策を検討するのだ。

　CCEの優れた点は、途中のステップに「リスク値」のような確率を示す検討がなく、「発生してほしくない事象」と「セキュリティ対策」の紐づけがわかりやすいことだ。つまり、ビルシステム関係者間で、「ビルの安心・安全を守るためには、このセキュリティ対策が必要だ」という意識を共有しやすい。

　また検討の優先順位付けをステップ1で行っていることも大事な点だ。「発生してほしくない事象」の優先順位がそのままセキュリティ対策の優先順位に反映されるため、セキュリティの専門知識がなくても、納得感が得られやすい利点がある。

図2：CCEの4つの検討ステップ

■まとめ

　第6回は、個別のビルシステムのセキュリティ対策をどこまでやるのかの検討手法について紹介した。

　■個別のビルシステムのセキュリティ対策検討が難しい理由は？

⇒　ビルシステムのリスクアセスメントでは、情報システムと同様な手法での「リスク値」の算定が難しく、実施するセキュリティ対策の根拠づけが難しいため。

　■個別のビルシステムのセキュリティ対策をどこまでやるのかを検討する手法とは？

⇒　「発生してほしくない事象」を洗い出して、優先順位付けを行い、それらの事象が起こらないようにするのに必要な対策を検討する手法（CCE）がある。この手法の利点は、セキュリティの専門家でなくても理解できる「発生してほしくない事象」で優先順位付けを行い、かつその事象と「セキュリティ対策」とが「リスク値」を介さず結びついているため、ビルシステム関係者間の共通認識を得やすいところにある。

　次回は、具体的な例をあげて、CCEの使い方について詳しく紹介する。

著者Profile

佐々木 弘志／Hiroshi Sasaki

マカフィー サイバー戦略室 シニア・セキュリティ・アドバイザー CISSP。制御システム機器の開発者として14年間従事した後、マカフィーに2012年12月に入社。産業サイバーセキュリティの文化醸成を目指し、講演、執筆等の啓発及びコンサルティングサービスを提供している。2016年5月から、経済産業省 情報セキュリティ対策専門官（非常勤）、2017年7月からは、IPA産業サイバーセキュリティセンターのサイバー技術研究室の専門委員（非常勤）として、産業サイバーセキュリティ業界の発展をサポートしている（2019年10月現在）。

★連載バックナンバー：

「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説

　■第5回：ビルシステムならではの“リスクポイント”と特有の事情

　■第4回：ビルシステムに対する安全対策と“サイバーセキュリティ対策”の考え方の違いとは？

　■第3回：ビルシステムの環境変化と迫り来る脅威

　●バックナンバー一覧