【第11回】ビルシステムの“ネットワークセキュリティ監視サービス”をビジネス化するための鍵（上）：「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説（11）（2/2 ページ）

本連載は、経済産業省によって、2017年12月に立ち上げられた「産業サイバーセキュリティ研究会」のワーキンググループのもとで策定され、2019年6月にVer.1.0として公開された「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」について、その背景や使い方など、実際に活用する際に必要となることを数回にわたって解説する。今回から上下編で、「ビルシステムのセキュリティ監視サービス」のビジネス化を成功させるには？を主題に、実事例として森ビルとパナソニックの取り組みを採り上げる。

[佐々木 弘志 ／ マカフィー，BUILT]

2．監視サービスのビジネス化に向けた課題解決のアプローチとは？

　これらの1〜3の課題解決のため、森ビルとパナソニックは、ビジネス対象となる標準的なビルシステムのリファレンスモデルを設定し、そのモデルにおける脅威やリスクをシナリオベースで分析するアプローチをとった。

　その結果、得られた一般的な脅威とリスクをビルオーナーに提示することで、セキュリティ対策の必要性を訴求し、また、セキュリティ監視サービスの設計に反映することもできるようになった。このような標準化のアプローチは、一般的に業界団体主導で行われることが多いが、今回の民間企業主導でのアプローチは、森ビルとパナソニックの検討結果をデファクトにしようという意欲的な取り組みとして捉えられる。

　では、その課題解決のアプローチについて詳しく説明する。まず、既存の中規模ビルを参考に設定した標準的なビルシステムをリファレンスモデルとして定めた（図1）。

図1：ビルシステムのセキュリティ対策検討用のリファレンスモデル　提供：森ビル

　そして、そのリファレンスモデルに対し、「居住者（テナント）の安全確保・資産保障」「ビルオーナーとしての責務」の2つの視点をもとに、IPAの「制御システムのセキュリティリスク分析ガイド」※4を用いてリスクを分析した。具体的な手法は、侵入経路を洗い出し、どうやって攻撃を仕掛けるかというシナリオベースの検討である。図中で例として、3つの侵入経路を示したが、それぞれ本ガイドラインの別紙表のインシデント番号と紐（ひも）づいており、対応するセキュリティ対策を参照することができる。

　また、シナリオを先に進める上で、どのようなサイバー攻撃を仕掛けるのかという技術的な手法については、攻撃者の視点から攻撃の目的・行動・方法を体系化した「MITRE ATT＆CK（マイター・アタック）フレームワーク」※5を採用した。

　その結果として、取得したビルシステムリファレンスモデルの攻撃手段（セキュリティ脅威）とリスクを表にまとめた（図2）。

※4 IPA「制御システムのセキュリティリスク分析ガイド」

※5 「MITRE ATT＆CK（マイター・アタック）」：MITREは、米国政府の支援を受けたサイバーセキュリティの非営利研究組織で、セキュリティの脆弱性管理でも知られている。ATT&CKは、Adversarial Tactics, Techniques, and Common Knowledgeの略称で、サイバー攻撃の戦術やテクニックなどをライフサイクル別で体系化したデータベース（外部リンク：MITRE ATT＆CK）

図2：ビルシステムリファレンスモデルの攻撃手段（セキュリティ脅威）と重要リスクの例　提供：森ビル

　この「重要リスク」は、顧客であるビルオーナーに監視サービスの必要性を理解してもらうのに用いることができるし、セキュリティ脅威は、具体的な攻撃手段にまで落とし込まれているので、セキュリティ監視サービスの設計段階でインプットして生かすことができる。そして、このような脅威とリスクが標準（デファクトスタンダード）となって業界全体が発展すれば、森ビルとパナソニックは、他の業界参入者に対して、先行者利益を得ることができるかもしれない。

　今回は、森ビルとパナソニックが共同で取り組む「ビルシステムのセキュリティ監視サービス」のビジネス化のうち、サービス化に向けたビジネス課題と解決のアプローチについて紹介した。

■まとめ

　■ビルシステムのネットワークセキュリティ監視サービスのビジネス化に向けた課題とは？

⇒ ビルシステムは、情報システムのように脅威やリスクが標準化されておらず、顧客であるビルオーナーとのコンセンサスを取るのが難しい上、監視サービスを標準化してコストを抑えるための設計のインプットが足りない状態である。

　■監視サービスのビジネス化に向けた課題解決のアプローチとは？

⇒ ビルシステムのリファレンスモデルを定め、ビルオーナーだけでなくベンダーの目線を加えてリスク分析を行い、標準的な攻撃手法（脅威）と重要リスクを洗い出した。すなわち、標準化されていないものを自ら開発し、デファクトにしようというアプローチを取った。

　もし、この取り組みが、森ビルの特定のビルシステムをパナソニックが監視するというものであれば、当然のことながらこのような分析結果が公開されることはない。しかし、監視サービスのビジネス化を見据えた取り組みであるがゆえに、情報が公開され、ビルシステムセキュリティの業界全体の発展につながっていることは大変幸運なことである。次回は、このリスク分析結果をもとにして、具体的にどのような監視サービスに落とし込んでいるかについて、技術的な観点も交えて解説する。

著者Profile

佐々木 弘志／Hiroshi Sasaki

マカフィー サイバー戦略室 シニア・セキュリティ・アドバイザー CISSP。制御システム機器の開発者として14年間従事した後、マカフィーに2012年12月に入社。産業サイバーセキュリティの文化醸成を目指し、講演、執筆等の啓発及びコンサルティングサービスを提供している。2016年5月から、経済産業省 情報セキュリティ対策専門官（非常勤）、2017年7月からは、IPA産業サイバーセキュリティセンターのサイバー技術研究室の専門委員（非常勤）として、産業サイバーセキュリティ業界の発展をサポートしている（2019年10月現在）。

★連載バックナンバー：

「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説

　■第10回：スマートビルの“セキュリティ監視”が運用改善にも役立つ理由

　■第9回：既存ビルのセキュリティ対策で、押さえておくべきポイント

　■第8回：セキュリティ対策に必要な体制とプロセスとは？（新築の大規模ビル編）

　●バックナンバー一覧