成熟度と産業用制御システムサイバーセキュリティのライフサイクル

産業用制御システム（industrial control systems: ICS）をネットワークやコンピュータからの攻撃や毀損から安全に保つ必要性に関して、ここ数年、多大の関心が集まっている。「ICS サイバーセキュリティ」の用語をウェブ検索するだけで、数十万件の参照が得られるほどである。その多くは、有効な防御対策のために要求される標準やガイドラインやそれに類する文書の類である。

このところ、専門家たちは、現状のシステムの評価と変更に何が必要となるかを特定するために、あるいは当面する危険水準に対応するためのセキュリティ水準を満たす新システムを設計するのに、プロジェクトベースの手法を活用するよう助言している。残念なことに、そのような手法のほとんどは、現状のシステム向けに限ってセキュリティ対策を特定し導入することにフォーカスしているために、不十分である。その手法では、何が現状に即して必要な支援であるかを考慮せず、最終的にこれらのシステムの交換あるいは新システムの特定と選考のために何が必要かを考慮する必要がないからである。

これより包括的な手法では、産業用制御システムのシステムライフサイクルの全ての段階における配慮が必要となってくる。増大しつつあるリスクを目前にして、システムを運転し、維持継続しつつ、求められるセキュリティレベルを維持するのに何が必要かという問題に応えることが重要である。このためには、改善機会を見出すために、サイバーセキュリティ管理プログラムの周期的な評価作業が求められる。そしてこの評価作業には、それぞれのプログラムに対応した極めて限定的な条件が求められる。