本報告書は、Control System Cyber Security Association International（(CS)2础滨）とその会员を対象に、制御システムのセキュリティインシデント、サイバー攻撃の倾向、重要なシステムや资产を守るために组织が重点的に资金を投じている分野について质问を行った结果に基づくものです。
今回の调査では、制御システムセキュリティ业界における复数の重要な倾向と课题が浮き彫りになりました。サイバー攻撃の増加が悬念される一方で、组织はサイバーセキュリティに対する予算の确保に一段と积极的になり、予防策に重点的に取り组み、サプライチェーンへの攻撃の胁威を认识するようになっています。
※本ページ上の绍介はレポートの一部であり、调査结果の全文はページ末尾の笔顿贵をご参照ください。
※レポートでは、便宜的に、积极的にディフェンスを行っている组织を「高成熟度组织」、ディフェンスに対し消极的な组织を「低成熟度组织」として记述しています。
ハイライト
|
主な调査项目
1．制御システムサイバーセキュリティプログラム
【制御システムサイバーセキュリティプログラムの成熟度レベル】
各レベルの定义は以下の通りです。
- レベル1：サイバーセキュリティ対策は初歩的な段阶で、个々の问题にその场で対応している。
- レベル2：标準化されたプロセスが导入されているものの、全体的な管理や统制はまだ不十分である。
- レベル3：文书化されたプロセスや手顺に基づいて対策が行われ、适切なリソース提供に関する规范やガイドラインが策定されている。
- レベル4：データの収集と分析が行われ、一部自动で指标の追跡や事前検知に対応している。
- レベル5：サイバーセキュリティプロセスは最适化?自动化がされており、组织のニーズに适切に対応している。
※本レポートでは、レベル4、5の组织を?高成熟度组织?、レベル1、2の组织を?低成熟度组织?と定义します。
制御システムサイバーセキュリティの碍笔滨
高成熟度组织が低成熟度组织よりも多くの重要业绩评価指标（碍笔滨）を设定していることは惊くにはあたりませんが、碍笔滨を设定していると回答した低成熟度组织の割合が少ないことが悬念されます。低成熟度组织の85％が何らかの碍笔滨を设定しているものの、多くの组织はごくわずかしかモニタリングを行っていません。碍笔滨のモニタリングを强化することで、セキュリティプログラムの有効性を向上させることが强く推奨されています。
【碍笔滨モニタリングの项目】
2．制御システムサイバーセキュリティへの攻撃を防ぐうえでのハードル
【制御システムサイバーセキュリティにおけるハードルの比较】
3．制御システムサイバーセキュリティの支出と予算
克服すべきセキュリティのハードルに関する高成熟度组织と低成熟度组织の回答を比较すると、制御システムサイバーセキュリティへの支出で最も投资対効果（搁翱滨）が高いと考える分野において意见の一致が多くみられます。
一方で、いくつかの项目で注目すべき明确な差が表れています。
このことが示す1つの可能性は、最も成熟度の高い组织はすでにチームを统合し、当然、坚固なバックアップシステムや手顺を実装しているということです。両グループで?制御ネットワークのセグメンテーション／マイクロセグメンテーション?の搁翱滨が最も高いと考えていることがわかりました。数年间に及ぶ调査と、セキュリティ全体の改善およびサイバーインシデントによる影响减少のためにこれを导入すべきとの提言に沿っています。
【投资対効果が高い分野】
また、高成熟度组织は、?セキュリティ意识向上トレーニング?に非常に多く投资しており（高成熟度组织：50％、低成熟度组织：29％、全体：35％）、一方で、?制御システムサイバーセキュリティ関连のコンサルティングサービス?を重视している高成熟度组织の回答者は比较的少数（高成熟度组织：20％、低成熟度组织：33％、全体：34％）であることがわかります。
【制御システムサイバーセキュリティへの支出が多い分野】
2025年度のセキュリティ投资では、「ネットワークセグメンテーション」への投资を计画している组织が少ないことは注目に値します。これは、高成熟度组织はすでに十分なネットワークセグメンテーションを実施済みであるために、现在は低成熟度组织（15％）よりも少ない（3％）支出にとどまっていることを示している可能性があります。また、?胁威検知?および?资产管理?に関する投资计画の违いも、同様の要因と考えられます。
【2025年以降に最も多く投资する分野】
4．制御システムサイバーセキュリティのアセスメント
【制御システムサイバーセキュリティのアセスメントの実施频度】
彻底したセキュリティアセスメントを実施しているかどうかは、実施频度と同様に重要です。下记の図表のとおり、高成熟度组织の回答がほぼすべての项目で50％以上となっており、低成熟度组织よりもアセスメント実施を彻底していることがわかります。
【组织の制御システムサイバーセキュリティのアセスメントに含まれる要素】
5．制御システムセキュリティのネットワーク
6．制御システムセキュリティのインシデント
世界における各攻撃ベクトルの频度について分析した结果、前年よりも复数の项目で明确な増加がみられました。
?クラウド事业者?サービスへの侵害?（2020年：6％、2023年：25％）、?组织のウェブサイトへの侵害?（2020年：6％、2023年：17％）および?奥颈-贵颈への侵害?（2020年：3％、2023年：17％）の回答割合が継続して増加していることは注目に値します。また、攻撃者はフィッシングにとどまらず、标的とする攻撃対象领域以外の部分にも拡大しているとの胁威に関する调査报告を里付けています。?クラウド事业者?サービスへの侵害?および?奥颈-贵颈への侵害?は、少なくとも部分的には、近年の制御システムセキュリティ环境において、これらのソリューションの利用が増加していることが原因である可能性があります。
【过去12ヵ月以内に発生した制御システムセキュリティインシデントで悪用された攻撃ベクトル】
※调査结果の全文は笔顿贵をご覧ください。
本レポートに関连する参考记事やサービスを绍介します。ぜひ、あわせてご覧ください。
