概要

2024年、欧州におけるEUサイバーレジリエンス法（Cyber Resilience Act、以下CRA）により、製造業者に対して製品の安全を確保し、適合証明書を取得することを義務付け、長期間のサポートなどを要求されるようになります。これらは日本の製造業企業にも影響が及びます。

本セミナーでは、立命館大学 上原教授と株式会社 東芝 製品セキュリティ推進室 鬼頭様をお招きし、製造業における脆弱性対応の取り組みについて事例を交えて解説していただきます。

また、脆弱性管理クラウドサービス「FutureVuls」のPSIRT向け機能の紹介や、脆弱性検知後の優先順位付けのためのフレームワークであるSSVC（Stakeholder-Specific Vulnerability Categorization）のサプライヤー向け決定木の紹介と自動化の試みについても紹介します。

製造業における脆弱性管理の課題と対応方法

製造業界の近年の課題

■概要
製造業における近年のサイバーセキュリティを取り巻く状況について改めて振り返るとともに、現状のサイバーセキュリティにおける課題と今後対応すべき課題についてご紹介します。その中で特に脆弱性管理にフォーカスし、具体的にどのような課題があり、どんな対応が求められているのかについてお伝えします。

基調講演 　IT vs OT マインドの違いを乗り越えて

■概要
製造業におけるOT（Operational Technology）環境は、生産ラインの効率性と安定性が重視されるため、脆弱性管理が特に困難です。しかし、昨今のサプライチェーン攻撃による外部環境の変化により、製造業のセキュリティ対策も避けることはできません。本セッションでは、OT環境特有のリスクを理解し、それにどう対応するかに焦点を当てます。

■登壇者
立命館大学 情報理工学部
上原 哲太郎 教授

株式会社東芝の運用事例や活用課題

■概要
エネルギー・社会インフラ・ストレージ・ICT等、社会基盤となる事業を行う東芝は、デジタルを活用し、社会課題の解決に取り組んでいます。 今回、これら多くの事業を通じて培っていた製品セキュリティへの取組み、脆弱性対応における課題や対応方針、そして今後の展望についてご紹介します。
■登壇者
株式会社東芝 鬼頭 利之 様
サイバーセキュリティセンター　製品セキュリティ推進室
エキスパート

Futureからのご紹介

■概要

• FutureVulsのPSIRT向け機能のご紹介(新機能)＋デモ
• コンサル支援のご紹介

SSVC Supplier Treeの概要と自動化

■概要
米国CISAがオススメする脆弱性管理の優先順位付け手法として注目されているSSVC（Stakeholder-Specific Vulnerability Categorization）の概要を説明し、PSIRT用の決定木であるSupplier Treeを紹介します。SSVCは検知した脆弱性をリスクベースで優先度付けを行うフレームワークでありますが、そのまま組織へ適用しても人間が判断する部分が残り人的工数と専門知識が必要です。講演者は、SSVCの組織への導入には自動化が肝であると考えており、自動化の方法を模索しています。本セッションでは、SSVC Supplier Treeを用いて製造業のPSIRTの脆弱性トリアージを自動化する方法を探求します。具体的には、Supplier Treeの各Decision Pointを分解し、最近CISAから公開されたNVDを補完する脆弱性情報「Vulnrichment」等の判断に利用できるデータソースとロジックを参加者に共有し、自動化のための現実的な実装方法を模索します。

■登壇者
フューチャー株式会社　神戸康多
サイバーセキュリティイノベーショングループ　シニアアーキテクト
「脆弱性スキャナVuls 作者」

タイムスケジュール

こんな方におススメ

• 製造業界のセキュリティ動向が知りたい
• 脆弱性管理製品の最新情報が知りたい
• 他社はどのように取り組んでいるか知りたい