前へ 1 2 3 次へ

人材不足解消を目指し、フォーティネットが“未来のホワイトハッカーたち”に特別授業

技術系学生がいま「OTセキュリティの考え方」を学ぶ意義とは？

文●大塚昭彦／TECH.ASCII.jp

  • この記事をはてなブックマークに追加
  • 本文印刷

ITセキュリティとは大きく異なる「OTセキュリティの考え方」とは

　この授業は、期間を空けながら数回（数日間）に分けて実施される。授業の内容は、フォーティネットがパートナーや顧客企業のIT／セキュリティ担当者に行う「OTセキュリティ研修」がベースとなっており、説明の表現こそ学生向けにやさしくしてあるものの、教える内容は“社会人向け”と変わらないという。

　第2回の授業となったこの日は、第1回（オンライン、座学）で学んだOTセキュリティの基礎知識をふまえ、数人ずつのグループワーク形式で、架空の化学薬品メーカーを題材に「OT現場のリスクシナリオ検討」「サイバー脅威の侵入口の発見」「ビジネスリスクとのひも付け検討」に取り組んだ。

この日行われたグループワークの概要

架空の化学薬品メーカーを題材に、OTセキュリティを考えていく。かなり“リアルな”設定がなされている

　いくつかのグループワークを通じて、小泉氏が特に強調したのが、検討の最初にあたる部分、OTセキュリティにおける「リスク」の考え方だ。一般にITセキュリティにおいては、たとえば「システムの乗っ取り」「データ漏洩」「データ改竄」「ランサムウェア」……といったサイバー脅威がリスクと捉えられるが、OTセキュリティではそこから考え始めるべきではないという。

　「まずは、いったんサイバー（脅威）のことは忘れて、『現場で起きて欲しくないことは何か』から考えてみてください。たとえば工場などであれば、働く人に危害が及んだり、大きな事故が起きたりして操業が停止してしまう。あるいは環境被害をもたらしたり、製品の品質が維持できずに出荷できなくなったり、といったことです。そうした現場リスク、そしてビジネスリスクを検討したうえで、それにどうサイバー要因が関わるのかを考えます」（小泉氏）

小泉氏は、物理的な影響／被害が発生するOTセキュリティでは、まず「現場で本当に起きて欲しくないこと（＝ビジネスリスク）」から考えることを強調した

　ふだん、物事を“ITセキュリティ視点”で見慣れている学生たちにとって、OTセキュリティ視点から考える体験は新鮮だったようだ。グループワークでは、各チームとも積極的な議論が交わされていた。

　この日の授業では複数のグループワークが行われ、学生たちは“OTセキュリティならでは”の検討ポイントなどを体感した。その後、各チームには9月の最終発表会に向けた課題が出された。現実に発生したサイバーインシデントを題材に、その「リスク要因分析」「対策方針策定」「セキュリティ対策の提案書作成」などを、チームで行うという計画になっている。

前へ 1 2 3 次へ
Fortinet トップへ