出版書誌データベース

プロセス安全マネジメントにおいて世界をリードするCCPS/AIChE がまとめた，
“Managing Cybersecurity in the Process Industries：A Risk-based Approach” の完訳

プロセス産業および関連産業における制御・運用技術（OT）のサイバーセキュリティの課題に対処するための実践的なテクニックとアプローチを，様々な事例とリスクに基づくプロセス安全（RBPS）をベースに詳細に解説する．

本書を活用することで，“プロセス安全”と“サイバーセキュリティ”の関係性，プロセス安全のサイバーセキュリティを改善する方法，サイバー攻撃への対応方法、サイバーセキュリティ・マネジメントとプロセス安全フレームワークの統合と実装などを理解することができる．サイバー攻撃から自社を守るための知見と理解が深まり，セキュリティ向上につながる有用な一冊．

　略語一覧／用語集

Part I　サイバーセキュリティの概要，背景，歴史

1 　本書の目的
　1.1　対象読者
　1.2　サイバーセキュリティとは？
　　　　1.2.1　プロセス安全専門家は，サイバーセキュリティについて何を知っているのか？　　
　　　　1.2.2　プロセス安全専門家は，サイバーセキュリティについて何を知っておくべきか？　　
　1.3　制御・運用技術（OT）とは？
　1.4　OT があるのはどの業界？
　　　　1.4.1　化学プロセス　　
　　　　1.4.2　ユーティリティ　　
　　　　1.4.3　ディスクリート・マニュファクチャリング　　
　1.5　スコープ
　　　　1.5.1　サイバーセキュリティ　　
　　　　1.5.2　物理的セキュリティと人的セキュリティ　　
　1.6　本書の構成

2 　サイバー攻撃のタイプと攻撃者，その理由
　2.1　サイバー攻撃のタイプ
　　　2.1.1　諜報活動　　
　　　2.1.2　妨害行為　　
　　　2.1.3　恐喝行為　　
　　　2.1.4　スキルの誇示　　
　2.2　サイバー犯罪を起こす人物とその動機
　　　2.2.1　競合他社　　
　　　2.2.2　国　家　　
　　　2.2.3　ハクティビスト
　　　2.2.4　犯罪者　　
　　　2.2.5　不満を抱く従業員　　
　　　2.2.6　ローグ・ウィズ：ならず者のコンピュータの達人　　
　　　2.2.7　スクリプト・キディ　　
　2.3　まとめ

3 　リスク・レセプター/標的のタイプ　
　3.1　サイバーセキュリティ・リスクとは何か
　3.2　一般的なサイバーセキュリティの標的とは？
　　　3.2.1　プロセス安全制御，アラーム，インターロック
　　　3.2.2　その他の接続システム　　
　　　3.2.3　相互接続の脆弱性　　
　3.3　サイバーセキュリティの望ましくない結果のタイプ
　3.4　まとめ

4 　脅威源と攻撃のタイプ
　4.1　非標的型攻撃
　　　4.1.1　非標的型攻撃方法　　
　　　4.1.2　ランサムウェア　　
　4.2　標的型攻撃
　　　4.2.1　サービス妨害　　
　　　4.2.2　中間者　　
　4.3　高度で持続的な脅威（APT）
　4.4　まとめ

5 　誰がサイバー・リスクを引き起こすのか？　インサイダーの脅威 vs. アウトサイダーの脅威
　5.1　インサイダーのサイバーセキュリティ・リスク
　　　5.1.1　インサイダーによる意図的な被害　　
　　　5.1.2　インサイダーによる非意図的な被害　　
　5.2　アウトサイダーのサイバーセキュリティ・リスク
　　　5.2.1　アウトサイダーによる意図的な被害　　
　　　5.2.2　アウトサイダーによる非意図的な被害　　
　5.3　まとめ

6 　事例史（ケース・スタディー）
　6.1　Maroochy Shire
　6.2　Stuxnet（スタックスネット）
　6.3　ドイツの製鉄所
　6.4　ウクライナの電力網
　　　6.4.1　最初の攻撃　　
　　　6.4.2　2 度目の攻撃　　
　6.5　NotPetya（ノットペトヤ）
　6.6　Triton（トリトン）
　6.7　デュッセルドルフ大学病院へのランサムウェア攻撃
　6.8　SolarWinds 社
　6.9　フロリダ州の水処理施設
　6.10　Colonial Pipeline 社へのランサムウェア攻撃
　6.11　まとめ


Part II　サイバーセキュリティ・マネジメントの，プロセス安全フレームワークへの統合

7 　サイバーセキュリティ・リスクを理解するための一般的なモデル　　　　　　
　7.1　サイバーセキュリティ・ライフサイクル
　　　7.1.1　アセスメント・フェーズ　　
　　　7.1.2　導入フェーズ　　
　　　7.1.3　維持管理フェーズ　　
　7.2　統合化されたサイバーセキュリティと安全のライフサイクル
　7.3　NISTのサイバーセキュリティ・フレームワーク
　　　7.3.1　『識別（ID）』　　
　　　7.3.2　『防御（PR）』　　
　　　7.3.3　『検知（DE）』　　
　　　7.3.4　『対応（RS）』　　
　　　7.3.5　『復旧（RC）』　　
　7.4　まとめ

8 　セキュアな産業用オートメーションおよび制御システム（IACS）の設計　　　　
　8.1　IT とOT 間のリスク・マネジメントの断絶
　　　8.1.1　優先順位の違い　　
　　　8.1.2　IT―エクストリーム・コネクティビティ　　
　　　8.1.3　OT―エクストリーム・コンパートメント化　　
　8.2　本質安全 vs. 本質的なセキュリティ向上
　8.3　多層防御
　8.4　ネットワーク分割
　　　8.4.1　ネットワーク分割のタイプ　　
　　　8.4.2　安全システムと制御システムの分離　　
　　　8.4.3　遠隔アクセスのセキュア化　　
　　　8.4.4　継続的な遠隔オペレーションのセキュア化　
　　　8.4.5　コネクティビティのタイプ　　
　8.5　システム・ハードニング
　　　8.5.1　パッチ・マネジメント　　
　　　8.5.2　アンチ・ウイルス　　
　8.6　セキュリティ・モニタリング
　8.7　リスク適合性アセスメント
　8.8　まとめ

9 　ハザードの同定とリスク解析（HIRA）
　9.1　サイバーセキュリティ・リスクの同定とマネジメントのためのプロセス安全ツールの使用
　9.2　定性的な方法
　　　9.2.1　サイバーセキュリティPHA/HAZOP　　
　　　9.2.2　サイバーセキュリティ・チェックリスト　　
　　　9.2.3　故障モード影響解析
　　　9.2.4　サイバーセキュリティ脆弱性アセスメント　
　9.3　定量的な方法
　　　9.3.1　サイバーセキュリティ・データベースの可用性
　　　9.3.2　ボウ・タイ　　
　　　9.3.3　防護層解析　　
　　　9.3.4　定量的リスク・アセスメント　　
　9.4　どのようにリスク低減策の優先順位をつけるか？
　9.5　妥当性の再確認/再アセスメント
　9.6　まとめ

10 　リスクをマネジメントする
　10.1　マネジメント・アプローチ
　10.2　最初のステップ
　　　10.2.1　アクセス制御の強化　　
　　　10.2.2　訓練とオリエンテーション　　
　　　10.2.3　継続的な強化の開始
　　　10.2.4　IACSをセキュアにするための設計　　
　10.3　サイバーセキュリティ文化
　　　10.3.1　サイバーセキュリティ上の懸念　　
　　　10.3.2　サイバーセキュリティ活動　　
　10.4　規範の遵守
　　　10.4.1　サイバーセキュリティ上の懸念　
　　　10.4.2　サイバーセキュリティ活動　　
　10.5　サイバーセキュリティ・コンピテンシ
　　　10.5.1　サイバーセキュリティ上の懸念　　
　　　10.5.2　サイバーセキュリティ活動　　
　10.6　従業員の参画
　　　10.6.1　サイバーセキュリティ上の懸念　　
　　　10.6.2　サイバーセキュリティ活動　　
　10.7　ステークホルダとの良好な関係
　　　10.7.1　サイバーセキュリティ上の懸念　　
　　　10.7.2　サイバーセキュリティ活動　　
　10.8　プロセス知識マネジメント
　　　10.8.1　サイバーセキュリティ上の懸念　　
　　　10.8.2　サイバーセキュリティ活動　　
　10.9　運転手順
　　　10.9.1　サイバーセキュリティ上の懸念　　
　　　10.9.2　サイバーセキュリティ活動　　
　10.10　安全な作業の実行
　　　10.10.1　サイバーセキュリティ上の懸念　　
　　　10.10.2　サイバーセキュリティ活動　　
　10.11　変更管理
　　　10.11.1　サイバーセキュリティ上の懸念　　
　　　10.11.2　サイバーセキュリティ活動　　
　10.12　設備資産の健全性と信頼性
　　　10.12.1　サイバーセキュリティ上の懸念　　
　　　10.12.2　サイバーセキュリティ活動　
　10.13　協力会社の管理
　　　10.13.1　サイバーセキュリティ上の懸念　　
　　　10.13.2　サイバーセキュリティ活動　
　10.14　訓練とパフォーマンス保証
　　　10.14.1　サイバーセキュリティ上の懸念　　
　　　10.14.2　サイバーセキュリティ活動　　
　10.15　運転準備
　　　10.15.1　サイバーセキュリティ上の懸念　　
　　　10.15.2　サイバーセキュリティ活動　
　10.16　操業の遂行
　　　10.16.1　サイバーセキュリティ上の懸念　　
　　　10.16.2　サイバーセキュリティ活動　　
　10.17　緊急時のマネジメント
　　　10.17.1　サイバーセキュリティ上の懸念　　
　　　10.17.2　サイバーセキュリティ活動　　
　10.18　インシデント調査
　　　10.18.1　サイバーセキュリティ上の懸念　　
　　　10.18.2　サイバーセキュリティ活動　　
　10.19　測定とメトリクス
　　　10.19.1　サイバーセキュリティ上の懸念　　
　　　10.19.2　サイバーセキュリティ活動　　
　10.20　監　査
　　　10.20.1　サイバーセキュリティに関する懸念　　
　　　10.20.2　サイバーセキュリティ活動　　
　10.21　マネジメント・レビューと継続的な改善
　　　10.21.1　サイバーセキュリティ上の懸念　　
　　　10.21.2　サイバーセキュリティ活動　　
　10.22　まとめ

11 　安全とサイバーセキュリティに対する統合的なアプローチの実装　　
　11.1　サイバーセキュリティ・マネジメント・システム（CSMS）
　　　11.1.1　役割と責任　　
　　　11.1.2　監　査　　
　　　11.1.3　CSMS の継続的な改善　
　11.2　CSMS とPSM の統合
　　　11.2.1　ライフサイクル・アプローチ　　
　　　11.2.2　CSMS とPSM の重複エリア　　
　11.3　まとめ


Part III　ここから，どこへ行くのか？

12 　次は何？　今後の展開の可能性
　12.1　サイバーセキュリティの採用動向
　　　12.1.1　IT とOT の融合/連携　　
　　　12.1.2　セキュリティ・オペレーション・センター
　　　12.1.3　ゼロトラスト・アーキテクチャとソフトウェア定義ネットワーク　　
　　　12.1.4　セキュアな開発プラクティス／ソフトウェア部品表　　
　　　12.1.5　サイバーセキュリティ保険　　
　12.2　エマージング・テクノロジー
　　　12.2.1　5Gの実装　　
　　　12.2.2　エッジ・コンピューティング　　
　　　12.2.3　機械学習と人工知能　　
　12.3　まとめ

13 　利用可能なリソース
　13.1　ローカル， リージョナル（地域），グローバルなトピック
　　　13.1.1　共有リスク・プロファイル　　
　　　13.1.2　標準（スタンダード），規制（レギュレーション），施行（エンフォースメント）における地域差　　
　　　13.1.3　攻撃はどこにあり，異なる性質をもつのか？
　13.2　サイバーセキュリティ・インシデント・リポジトリ
　13.3　コンピテンシ要件と訓練の可用性
　　　13.3.1　役割に基づくコンピテンシ要件　　
　　　13.3.2　認証 ― 何が利用可能か？　　
　13.4　アドミニストレーション（管理）機能 vs. アカウンタビリティ（説明責任）機能
　13.5　まとめ

付 録
　付録 A　NIST サイバーセキュリティ・フレームワーク
　付録 B　サイバーセキュリティPHA とLOPA の詳細例
　　　B.1　システムの基本　　
　　　B.2　初期リスク・アセスメント　　
　　　B.3　詳細リスク・アセスメント（サイバーPHA／HAZOP）
　　　B.4　 LOPA/半定量的SL 検証　　
　付録 C　サイバーセキュリティ・メトリクスの例
　付録 D　サイバーセキュリティ監査用の質問リストの例
　付録 E　マネジメント・システム・レビューの例


参考文献
　
索　引