JPWO2014184942A1

JPWO2014184942A1 - セキュリティ管理システム、装置、および方法

Info

Publication number: JPWO2014184942A1
Application number: JP2015516850A
Authority: JP
Inventors: 直齋藤; 山田　勉; 山田　　勉; 松本　典剛; 典剛松本
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2013-05-17
Filing date: 2013-05-17
Publication date: 2017-02-23
Also published as: WO2014184942A1

Abstract

セキュリティ管理装置は、通信エージェント装置に問い合わせることにより、制御システムにおける構成機器に関する情報である構成機器情報と、構成機器が通信に用いるプロトコルを識別可能なプロトコル識別情報と、を取得し、構成機器情報に基づいて、プロトコル識別情報によって識別されるプロトコルを用いて、構成機器に問い合わせることにより、構成機器に設定されているセキュリティ設定に関する情報であるセキュリティ設定情報を取得する。通信エージェント装置は、セキュリティ管理装置からの問い合わせを受けて、構成機器情報とプロトコル識別情報とをセキュリティ管理装置に通知する。

Description

本発明は、ファクトリーオートメーション（ＦＡ）、プロセスオートメーション（ＰＡ）に使用されるＤＣＳ（ｄｉｓｔｒｉｂｕｔｅｄｃｏｎｔｒｏｌｓｙｓｔｅｍ）やＰＬＣ（ＰｒｏｇｒａｍｍａｂｌｅＬｏｇｉｃＣｏｎｔｒｏｌｌｅｒ）などの制御装置、および、ＳＣＡＤＡ（ＳｕｐｅｒｖｉｓｏｒｙＣｏｎｔｒｏｌＡｎｄＤａｔａＡｃｑｕｉｓｉｔｉｏｎ）などの制御システムに関する。

製造あるいは発電などのシステムにおいてＦＡ、ＰＡに対して、ＤＣＳやＰＬＣなどの制御装置、あるいはＳＣＡＤＡなどの制御システムが使用される。通常、このような制御装置や制御システムにはパスワード設定などのセキュリティ対策処置が適用される。

セキュリティ対策処置を実現する背景技術として、特開２００６−０７９４９８号公報（特許文献１）に記載された技術がある。

特許文献１には、端末装置にセキュリティ対策処置が必要な場合に、中継装置に対して通信制御指示を送信することにより、端末装置の通信をセキュリティ対策処置に必要な通信に制限する技術が開示されている。特許文献１の記載によれば、これにより、セキュリティ対策処置の必要な端末装置をネットワークから隔離した状態で、ネットワーク経由で遠隔からセキュリティ対策処置を実施することを可能にする。

具体的には、特許文献１には、「端末装置の通信を制御する中継装置を介して、前記端末装置に対するセキュリティ管理を行うセキュリティ管理装置であって、前記端末装置の装置情報を前記端末装置から前記中継装置を介して受信する受信部と、前記受信部により受信された前記端末装置の装置情報に基づき、前記端末装置に対するセキュリティ対策処置が必要であるか否かを判断する対策判断部と、前記対策判断部により前記端末装置に対するセキュリティ対策処置が必要であると判断された場合に、前記中継装置に対して前記端末装置の通信をセキュリティ管理装置との通信に限定するよう指示する通信制限指示を生成する指示生成部と、前記指示生成部により生成された通信制限指示を前記中継装置に対して送信する送信部とを有することを特徴とする」装置が記載されている。

特開２００６−０７９４９８号公報

しかしながら、特許文献１のセキュリティ管理装置は、ＶＰＮヘッダを付与した通信データを構成する手段を備えていない。そのため、そのセキュリティ管理装置を制御システムへ適用する場合に、遠隔のセキュリティ管理装置から外部ネットワークを通して、制御システムを構成する端末へ通信データを送ることができない。

また、特許文献１のセキュリティ管理装置は、制御システムを構成する機器の情報を取得する手段を備えていない。そのため、セキュリティ管理装置を、外部ネットワークを介して制御システムに接続した状態では、セキュリティ管理装置は制御システムを構成する機器とその通信に用いるプロトコルを知ることができない。通信に用いるプロトコルを知らないセキュリティ管理装置は、機器に問い合わせて、セキュリティ設定情報を取得することができない。

本発明の目的は、セキュリティ管理装置が遠隔から外部ネットワークを介して制御システムを構成する機器のセキュリティ設定情報を取得することを可能にする技術を提供することである。

上記目的を達成するために、本発明の一態様によるセキュリティ管理システムは、構成機器を含む制御システムのセキュリティ管理を行うセキュリティ管理システムであって、前記制御システムの外部ネットワークである第１ネットワーク経由で前記構成機器のセキュリティ管理を行うセキュリティ管理装置と、前記制御システムの前記構成機器を接続する制御ネットワークである第２ネットワークにより前記構成機器と接続し、前記第１ネットワーク経由で前記セキュリティ管理装置と接続する通信エージェント装置と、を有し、前記セキュリティ管理装置は、前記通信エージェント装置に問い合わせることにより、前記制御システムにおける前記構成機器に関する情報である構成機器情報と、前記構成機器が通信に用いるプロトコルを識別可能なプロトコル識別情報と、を取得し、前記構成機器情報に基づいて、前記プロトコル識別情報によって識別されるプロトコルを用いて、前記構成機器に問い合わせることにより、該構成機器に設定されているセキュリティ設定に関する情報であるセキュリティ設定情報を取得し、前記通信エージェント装置は、前記セキュリティ管理装置からの問い合わせを受けて、前記構成機器情報と前記プロトコル識別情報とを前記セキュリティ管理装置に通知するものである。

本実施形態によるセキュリティ管理システム１Ａの概略ブロック図である。本実施形態によるセキュリティ管理装置１０Ａの概略ブロック図である。実施例１によるセキュリティ管理システム１の構成例を示すブロック図である。プロトコルとフラグの対応づけの一例を示す図である。セキュリティ管理装置１０が制御システム３０の構成機器３２〜３５のセキュリティ設定情報を取得して検査するための動作手順を示すフローチャートである。制御システム構成問い合わせデータの転送経路示す図である。セキュリティ管理装置１０が制御システム構成機器情報を受信する場合の転送経路を示す図である。マルチベンダ・プロトコル情報管理ＤＢ１４の構成例を示す図である。セキュリティ設定情報管理ＤＢ１３の構成例を示す図である。セキュリティ設定通信データの転送経路の位置例を示す図である。コントローラ３２、３３からの通信データの転送経路を示す図である。実施例２のセキュリティ管理装置１０の動作手順を示すフローチャートである。実施例３におけるセキュリティ管理システムの概略ブロック図である。実施例４におけるセキュリティ管理システムの概略ブロック図である。実施例５におけるセキュリティ管理システムの概略ブロック図である。実施例６におけるセキュリティ管理システムの概略ブロック図である。実施例７におけるセキュリティ管理システムの概略ブロック図である。実施例８におけるセキュリティ管理システムの概略ブロック図である。実施例９におけるセキュリティ管理システムの概略ブロック図である。

本発明の実施形態について図面を参照して詳細に説明する。

図１は、本実施形態によるセキュリティ管理システム１Ａの概略ブロック図である。

セキュリティ管理システム１Ａは、Ａサイトに配置された制御システム３０Ａに含まれている構成機器３２Ａ、３３Ａのセキュリティ管理を行うシステムである。セキュリティ管理の対象となる制御システム３０Ａは、例えば、火力発電所の制御システム、原子力発電所の制御システム、製鉄所の制御システム、化学プラントの制御システム、製造工場の制御システム、鉄道事業者の制御システム、などである。また、１つのセキュリティ管理システム１Ａが複数サイトの制御システム３０Ａ、更には複数種類の制御システム３０Ａをセキュリティ管理の対象としてもよい。

セキュリティ管理システム１Ａには、セキュリティ管理装置１０Ａと、通信エージェント装置３１Ａとが含まれている。ここでいう構成機器３２Ａ、３３Ａは例えばＡサイトのフィールドデバイスやコントローラである。セキュリティ管理装置１０Ａおよび制御システム３０Ａはインターネットなどの外部ネットワーク４０に接続されている。一般には、制御システム３０Ａは不図示のファイアウォールを介して外部ネットワーク４０に接続される。

セキュリティ管理装置１０Ａは、外部ネットワーク４０経由で構成機器３２Ａ、３３Ａのセキュリティ管理を行う装置である。

セキュリティ管理装置１０Ａは、通信エージェント装置３１Ａに問い合わせることにより、制御システム３０Ａにおける構成機器３２Ａ、３３Ｂに関する情報である構成機器情報と、構成機器３２Ａ、３３Ｂが通信に用いるプロトコルを識別可能なプロトコル識別情報と、を取得する。更に、セキュリティ管理装置３０Ａは、構成機器情報に基づいて、プロトコル識別情報によって識別されるプロトコルを用いて、構成機器３２Ａ、３３Ａに問い合わせることにより、構成機器３２Ａ、３３Ｂに設定されているセキュリティ設定に関する情報であるセキュリティ設定情報を取得する。

通信エージェント装置３１Ａは、制御システム３０Ａの構成機器３２Ａ、３３Ａを接続する制御ネットワーク３６Ａにより構成機器３２Ａ、３３Ａと接続し、外部ネットワーク４０経由でセキュリティ管理装置１０Ａと接続する装置である。通信エージェント装置３１Ａは、セキュリティ管理装置１０Ａからの問い合わせを受けて、構成機器情報とプロトコル識別情報とをセキュリティ管理装置１０Ａに通知する。

以上のように、本実施形態によれば、制御ネットワーク３６Ａで構成機器３２Ａ、３３Ａと接続された通信エージェント装置３１Ａが制御システム３０Ａにおける構成機器３２Ａ、３３Ａの構成などの情報をセキュリティ管理装置１０Ａに通知するので、セキュリティ管理装置１０Ａが遠隔から外部ネットワーク４０を介して制御システム３０Ａを構成する構成機器３２Ａ、３３Ａのセキュリティ設定情報を取得することができる。

また、セキュリティ管理装置１０Ａは、構成機器３２Ａ、３３Ａのメーカおよび型式と、構成機器３２Ａ、３３Ａが用いるプロトコルを示すプロトコル情報と、を対応づけたプロトコル情報管理データベースを予め保持していてもよい。

その場合、通信エージェント装置３１Ａが、構成機器３２Ａ、３３Ａのプロトコル識別情報として、構成機器３２Ａ、３３Ａのメーカおよび型式の少なくとも一方をセキュリティ管理装置１０Ａに通知し、セキュリティ管理装置１０Ａが、通知されたメーカおよび型式の少なくとも一方に基づき、プロトコル情報管理データベースを参照することにより、構成機器３２Ａ、３３Ａが用いるプロトコルを識別するとよい。

これにより、セキュリティ管理装置１０Ａは様々なメーカの様々な型式の構成機器３２Ａ、３３Ａのプロトコルを容易に識別することができる。

また、セキュリティ管理装置１０Ａと通信エージェント装置３１Ａは外部ネットワーク４０経由で仮想プライベートネットワークを構築してもよい。その場合、セキュリティ管理装置１０Ａは、構成機器３２Ａ、３３Ａにセキュリティ設定情報を問い合わせるセキュリティ設定問い合わせ電文に、その電文に用いているプロトコルの表示を含む仮想プライベートネットワーク用ヘッダを付加して送信する。通信エージェント装置３１Ａは、その仮想プライベートネットワーク用ヘッダを終端して、セキュリティ設定問い合わせ電文を構成機器３２Ａ、３３Ａに送信する。

セキュリティ設定問い合わせ電文を受信した構成機器３２Ａ、３３Ａは、それに対する応答として、自装置に設定されているセキュリティ設定を示すセキュリティ設定応答電文を送信する。

そして、通信エージェント装置３１Ａは、セキュリティ設定応答電文を構成機器３２Ａ、３３Ａから受信し、そのセキュリティ設定応答電文に、各構成機器３２Ａ、３３Ａが用いるプロトコルの表示を含む仮想プライベートネットワーク用ヘッダを付加して送信する。セキュリティ管理装置１０Ａは、仮想プライベートネットワークヘッダを終端して、セキュリティ設定応答電文を取得する。

これにより、セキュリティ管理装置１０Ａは、仮想プライベートネットワークによる安全な通信でセキュリティ設定を取得することができる。

また、セキュリティ管理装置１０Ａおよび通信エージェント装置３１Ａは、仮想プライベートネットワーク用ヘッダを付加した電文に、更に、外部ネットワーク４０を疎通するため、または外部ネットワーク４０と制御システム３０Ａの間を中継する中継装置（不図示）を疎通するためのヘッダを付加して送信することにしてもよい。

これにより、外部ネットワーク４０の疎通やファイアウォールやルータなどの中継装置の疎通が可能となる。

また、セキュリティ管理装置１０Ａは、セキュリティ設定の推奨条件を示す推奨設定値を含むセキュリティ設定情報管理データベースを予め保持していてもよい。その場合、セキュリティ管理装置１０Ａは、セキュリティ設定情報管理データベースを参照することにより、構成機器３２Ａ、３３Ａから取得したセキュリティ設定情報を検査することができる。例えば、セキュリティ設定が推奨設定値と一致していればセキュリティ設定は良好と判断できる。

これにより、セキュリティ管理装置１０Ａは、セキュリティ設定情報管理データベースの参照により容易にセキュリティ設定情報を検査することができる。

また、セキュリティ管理装置１０Ａは、構成機器３２Ａ、３３Ｂのセキュリティ設定情報を検査した結果、セキュリティ設定情報が推奨条件を満たしていなかったら、その構成機器３２Ａ、３３Ａのセキュリティ設定を更新することにしてもよい。

これにより、いずれかの構成機器３２Ａ、３３Ｂのセキュリティ設定が推奨値と異なっていた場合に、セキュリティ管理装置１０Ａは遠隔からそのセキュリティ設定を更新することができる。

図２は、本実施形態によるセキュリティ管理装置１０Ａの概略ブロック図である。

判定部１７Ａは、制御ネットワーク３６Ａにより構成機器３２Ａ、３３Ａと接続し、外部ネットワーク４０経由で接続する通信エージェント装置３１Ａに問い合わせることにより、制御システム３０Ａにおける構成機器３２Ａ、３３Ａに関する構成機器情報と、構成機器３２Ａ、３３Ａが通信に用いるプロトコルを識別可能なプロトコル識別情報とを取得する。

通信部１１Ａは、プロトコル識別情報によって識別されるプロトコルを用いて、構成機器３２Ａ、３３Ａと通信を行う。

管理部１５Ａは、通信部１１Ａによる構成機器３２Ａ、３３Ａとの通信を用い、構成機器情報に基づいて、構成機器３２Ａ、３３Ａに問い合わせることにより、構成機器３２Ａ、３３Ａに設定されているセキュリティ設定に関するセキュリティ設定情報を取得する。

以下、より具体的な実施例について図面を用いて詳細に説明する。

＜セキュリティ管理システムの構成＞

図３は、本実施例によるセキュリティ管理システム１の構成例を示すブロック図である。セキュリティ管理装置１０は外部ネットワーク４０と接続する。この外部ネットワーク４０は、Ａサイト、Ｂサイトなど、複数のサイトと接続されるネットワークである。例えば外部ネットワーク４０はインターネットであっても良い。あるいは、外部ネットワーク４０はその他の公衆回線や社内専用回線などであっても構わない。

外部ネットワーク４０にセキュリティ管理装置１０が接続されることで、複数のサイトのセキュリティを遠隔から一元的に管理することが可能となり、セキュリティ管理に必要な人的コストや物的コストを削減することが可能となる効果が得られる。

また他のサイトやメディアなどから得られる最新のセキュリティリスクに関する情報に基づき、一元的にセキュリティ管理を行うことで、最新のセキュリティ設定を制御システム３０内の管理対象の構成機器３２〜３５に反映するまでの時間を削減することが可能になるという効果や、信頼性を向上させるという効果を得ることができる。本例では管理対象の機器を一例としてコントローラ３２、３３、フィールドデバイス３４、３５としている。これらの機器は異なるベンダが提供する機器であってもよい。本例では、コントローラ３２がベンダＸ１から、コントローラ３３がベンダＸ２から、フィールドデバイス３４がベンダＹ１から、フィールドデバイス３５がベンダＹ２からというように全ての機器の異なるベンダから提供されたものとなっている。

外部ネットワーク４０から接続されるＡサイト内では、ネットワーク間中継装置２０、制御システム３０、その他に、Ａサイトの内部ネットワークのセキュリティを確保するためのファイアウォール（ＦＷ）４１、４２などが配設される。外部ネットワーク４０が制御システム３０へアクセスするために、図中の通信データ（３）のように、ＦＷ４１を介して一旦、ネットワーク間中継装置２０へ通信データ（３）を転送する。ネットワーク間中継装置２０は、通信データ（３）のデータ構成およびプロトコルを識別し、通信データ（３）のヘッダを外部ネットワーク４０用のヘッダ３から、内部ネットワーク用のヘッダ２へと変換することで、通信データ（２）とした上で、ＦＷ４２を介して制御システム３０へ転送する。

逆に、通信データ（２）を受信した場合は、ネットワーク間中継装置２０は、通信データ（２）のデータ構成やプロトコルを識別し、通信データ（２）のヘッダを内部ネットワーク用のヘッダ２から、外部ネットワーク４０用のヘッダ３へと変換することで、通信データ（３）とした上で、ＦＷ４１を介して外部ネットワーク４０へ転送する。

ネットワーク間中継装置２０の内部処理は、具体的には、通信データを通信制御部２１において受信し、ヘッダ判定部２３において外部ネットワーク４０から来た通信データ（３）であるか、内部ネットワークから来た通信データ（２）であるかを判定する。受信した通信データが通信データ（３）であった場合には、ヘッダ変換部２２において、通信データ（３）のヘッダ３をヘッダ２に変換することにより、通信データ（３）を通信データ（２）へと変換する。一方、受信した通信データが通信データ（２）であった場合には、ヘッダ変換部２２において、通信データ（２）のヘッダ２をヘッダ３に変換することにより、通信データ（２）を通信データ（３）へと変換する。これにより、外部ネットワーク４０と制御システム３０との間で、ネットワーク間中継装置２０を介して相互に通信することが可能となる。

制御システム３０は、２４時間３６５日の安定動作の保証が重要であり、外部ネットワーク４０からのアクセスを制限することにより高いセキュリティ性を確保している。そのためにＦＷ４１、４２が設けられ、アクセス可能な通信データの制限を行っている。それにより、ネットワーク間中継装置２０を設置することで外部ネットワーク４０と制御システム３０の間の通信を可能とするとともに、制御システム３０の信頼性を保証することを可能にしている。

制御システム３０は、マルチプロトコルＶＰＮエージェント３１、コントローラ３２、３３、フィールドデバイス３４、３５などで構成される。マルチプロトコルＶＰＮエージェント３１とコントローラ３２、３３の間は、制御ネットワーク３６で相互に接続される。またコントローラ３２、３３とフィールドデバイス３４、３５との間はフィールドバスで接続される。

セキュリティ管理装置１０によるセキュリティ管理の対象となるのは、制御システム３０内のコントローラ３２、３３およびフィールドデバイス３４、３５である。なお、本実施例では、コントローラ３２、３３とフィールドデバイス３４、３５のみを対象として例示しているが、例えばＤＣＳ（分散制御システム）やＰＬＣ（プログラマブルロジックコントローラ）、センサ、アクチュエータなど、その他の機器をセキュリティ管理対象としても構わない。

マルチプロトコルＶＰＮエージェント３１では、通信データ（２）を受信すると、ヘッダを解析して、コントローラ３２、３３へ転送すべき通信データであるか否か判定する。コントローラ３２、３３へ転送すべき通信データである場合には、マルチプロトコルＶＰＮエージェント３１は、その通信データ（２）からヘッダ２とフラグ付ＶＰＮヘッダを削除して、通信データ（１）へと変換する。そして、マルチプロトコルＶＰＮエージェント３１は、その通信データ（１）を、制御ネットワーク３６を経由してコントローラ３２、３３へと転送する。

また、通信データ（１）が更にフィールドデバイス３４、３５へ転送すべき通信データである場合には、通信データ（１）はコントローラ３２、３３からフィールドバスを経由してフィールドデバイス３４、３５へ転送される。ここでいうフィールドパスは、コントローラ３２とフィールドデバイス３４の間の通信路や、コントローラ３３とフィールドデバイス３５の間の通信路のことを言う。

また通信データ（２）がマルチプロトコルＶＰＮエージェント３１宛である場合には、マルチプロトコルＶＰＮエージェント３１はその通信データ（２）の通信データ（１）への変換および転送を行わない。

一方、コントローラ３２、３３側から通信データ（１）を受信した場合、マルチプロトコルＶＰＮエージェント３１は、通信制御部３１２において受信した通信データ（１）を管理システム構成管理部３１１の情報と照合した上で、プロトコル判定部３１３でそのプロトコルを判定する。更に、フラグ生成部３１４において、上記判定で得られたプロトコルに対応するフラグを生成し、そのフラグを付与したフラグ付ＶＰＮヘッダを生成する。更に、ヘッダ変換部３１５において、通信データ（２）で必要なヘッダ２とフラグ付ＶＰＮヘッダを通信データ（１）に付加することにより、通信データ（１）を通信データ（２）に変換する。その上で、通信制御部３１２が通信データ（２）をネットワーク間中継装置２０へと転送する。

一般に情報ネットワークとして用いられるのはイーサネット（Ｅｔｈｅｒｎｅｔ（登録商標））が主流である。そのため、ＶＰＮ（仮想プライベートネットワーク）プロトコルを用いてカプセル化されるプロトコルはイーサネットをベースとしたＩＰ（インターネットプロトコル）に限定される。しかし、制御ネットワーク３６で実際に運用されているプロトコルは、イーサネットやＩＰプロトコルに限らず、Ｐｒｏｆｉｂｕｓ（登録商標）、ＨＡＲＴ（登録商標）など、複数の様々なプロトコルが存在する。そのため、通信データをＶＰＮプロトコルでカプセル化した場合に、受信側に対してどのプロトコルの通信データがカプセル化されているかを識別できるように、ヘッダにプロトコルを示すフラグを付加する。

プロトコルとフラグの対応づけの一例を図４に示す。

フラグ付ＶＰＮヘッダの一部としてフラグが格納されている。ここではフラグが３ビットで構成されている。フラグ０００はＥｔｈｅｒｎｅｔ、フラグ００１はＰｒｏｆｉｂｕｓ、フラグ０１０はＨＡＲＴ、フラグ０１１はＦｉｅｌｄｂｕｓ、といったように、フラグによってカプセル化されるプロトコルを識別することが可能となる。このようにフラグを付加してプロトコルを識別可能とすることで、セキュリティ管理装置１０において管理対象とする制御システム３０の構成機器３２〜３５がそれぞれ異なるプロトコルを用いたとしても、それらのセキュリティを一括管理することが可能となる。その結果、複数のサイトにある制御システム３０の構成機器３２〜３５を管理し易くなり、セキュリティ管理に要するコストや時間を削減可能であるという効果を得られる。

＜セキュリティ管理装置１０の動作手順＞

次にセキュリティ管理装置１０から、制御システム３０内の管理対象の構成機器（コントローラ、フィールドデバイス）３２〜３５などに対して、セキュリティ設定を問い合わせて取得する手順について説明する。

図５は、セキュリティ管理装置１０が制御システム３０の構成機器３２〜３５のセキュリティ設定情報を取得して検査するための動作手順を示すフローチャートである。ステップＳ００において、セキュリティ管理装置１０は動作を開始し、ステップＳ０１において、セキュリティ管理装置１０は、制御システム３０のマルチプロトコルＶＰＮエージェント３１へ、制御システム構成問い合わせ通信データ（電文）を送信する。

制御システム構成問い合わせデータの転送経路を図６に示す。セキュリティ管理装置１０は、制御システム構成判定部１７から、制御システム構成問い合わせ通信データを出力する。制御システム構成問い合わせ通信データは、外部ネットワーク４０を経由してＡサイトへ到達し、ＦＷ４１、ネットワーク間中継装置２０、ＦＷ４２を経由してマルチプロトコルＶＰＮエージェント３１で受信される。

制御システム構成問い合わせ通信データは、マルチプロトコルＶＰＮエージェント３１では、通信制御部３１２により、制御システム構成管理部３１１に保存されている制御システム３０の機器情報と照合される。

セキュリティ管理装置１０は、外部ネットワーク４０に接続されているため、制御システム３０内の機器構成を予め知得しておくことは難しい。特に制御システム３０内の構成が変更される場合には、セキュリティ管理をするためには機器構成の情報を事前に知得することが必要となるが、それが難しい。

仮に、図３において、セキュリティ管理装置１０が、マルチプロトコルＶＰＮエージェント３１の位置、すなわち、Ａサイトの制御システム３０内にあり、制御ネットワーク３６に直接接続されているような場合には、セキュリティ管理装置１０と管理対象機器であるコントローラ３２、３３とが制御ネットワーク３６によって物理的に接続されることになる。そのため、セキュリティ管理装置１０が制御システム構成機器情報を直接取得することが容易に可能である。

しかしながら、図３に示したように、セキュリティ管理装置１０は外部ネットワーク４０を介してコントローラ３２、３３と接続されているため、制御システム構成機器情報を直接取得することができない。そこで、セキュリティ管理装置１０は、制御システム構成問い合わせ通信データを送信し、制御システム構成機器情報を取得することで、あたかもセキュリティ管理装置１０が制御ネットワーク３６に接続されている場合と同等の機能を実現することを可能にしている。

外部ネットワーク４０にセキュリティ管理装置１０を接続することで、遠隔のセキュリティ管理装置１０がＡサイトやＢサイトなど複数のサイトの制御システム３０を一元的に管理することを可能とし、かつ、セキュリティ管理装置１０は制御ネットワーク３６に直接接続されている場合と同様に、制御システム３０内の制御システム構成機器情報を取得することが可能となり、セキュリティ管理の効率を向上させることが可能という効果を有する。

制御システム構成問い合わせ通信データに対する応答として、セキュリティ管理装置１０が制御システム構成機器情報を受信する場合の転送経路を図７に示す（図５のステップＳ０２）。制御システム構成機器情報は、マルチプロトコルＶＰＮエージェント３１内の制御システム構成管理部３１１から通信制御部３１２を経て出力され、制御ネットワーク３６を介して、ＦＷ４２、ネットワーク間中継装置２０、ＦＷ４１を経由し、外部ネットワーク４０を介して、セキュリティ管理装置１０内の制御システム構成判定部１７で受信される。

受信された制御システム構成機器情報は、セキュリティ管理装置１０内のマルチベンダ・プロトコル情報管理ＤＢ（データベース）１４とセキュリティ設定情報管理ＤＢ１３へと入力され、マルチベンダ・プロトコル情報管理ＤＢ１４に保存されたマルチベンダ・プロトコル情報、およびセキュリティ設定情報管理ＤＢ１３に保存されたセキュリティ設定情報と照合される。

マルチベンダ・プロトコル情報管理ＤＢ１４の構成例を図８に示す。

制御システム構成機器情報に含まれる機器情報にはメーカと型式を示す情報がある。その情報に基づき制御ネットワーク３６で使用されるプロトコルを識別可能である。例えばメーカがＭ１で型式がＫＡ１である場合、図８によれば、プロトコルはＥｔｈｅｒｎｅｔであるということが分かる。

またセキュリティ設定情報管理ＤＢ１３の構成例を図９に示す。

上述のように、制御システム構成機器情報に含まれる機器情報にはメーカと型式を示す情報があり、その情報に基づきセキュリティ設定情報管理ＤＢ１３を参照することで、構成機器のセキュリティ設定情報を識別可能である。例えばメーカがＭ１で型式がＫＡ１である場合、図９によれば、セキュリティ設定情報として設定Ａ１、Ａ２、Ａ３があるということが分かる。

ここで設定Ａ１は、セキュリティ設定情報の一例として、パスワード文字数の設定情報である。セキュリティ設定情報の他の例として、パスワードの更新期間や、その他のセキュリティに関連する情報が該当しうる。

なお、ここで示したマルチベンダ・プロトコル情報管理ＤＢ１４とセキュリティ設定情報管理ＤＢ１３は構成の一例であり、他の構成としても構わない。

このように各種機器に対応するデータベースをセキュリティ管理装置１０が予め保有することにより、制御システム３０内の構成機器３２〜３５が変更されたり、新規に追加されたりした場合でも、そのままの状態のセキュリティ管理装置１０によって対応することが可能になるという効果を有する。また、新たなサイトとしてＣサイトを追加し、そのＣサイトの制御システム３０内の構成機器３２〜３５をセキュリティ管理装置１０の管理対象に追加することも容易に実現可能となる。また、セキュリティ管理装置１０によってデータベースを一元的に管理することが可能であるため、サイト毎に別々にデータベースを配置する場合に比較して、データベースのためのハードや記憶容量を削減することが可能となり、コストの削減や更新期間の短縮が可能といった効果を有する。

図５に戻り、次にステップＳ０３として、セキュリティ管理装置１０は、制御システム構成機器情報について、セキュリティ設定の検査対象となる構成機器があるか否かを判定する。例えば、マルチベンダ・プロトコル情報管理ＤＢ１４およびセキュリティ設定情報管理ＤＢ１３に機器情報が存在する構成機器は検査対象であるというような判定方法が考えられる。

検査対象の機器が無い（Ｎｏ）の場合、処理は終了となる（ステップＳ０７）。検査対象の機器がある（Ｙｅｓ）の場合は、セキュリティ管理装置１０は、ステップＳ０４として以下の処理を実行する。

セキュリティ管理装置１０は、取得した機器情報に基づきセキュリティ設定通信データをセキュリティ管理装置１０から送信する。セキュリティ設定通信データは、制御システム３０の構成機器３２〜３５にセキュリティ設定を問い合わせるための通信データである。例えば、パスワードの文字数が何文字となっているかを問い合わせるための電文が該当する。

セキュリティ設定通信データの転送経路の位置例を図１０に示す。

セキュリティ管理装置１０内のセキュリティ設定通信部１１では、制御システム構成機器情報に基づき、指定されるセキュリティ設定情報管理ＤＢ１３の情報からヘッダ１とデータからなるセキュリティ設定通信データを構成する。例えば、図９ではメーカがＭ１で型式がＫＡ１の機器にはパスワード文字数の設定Ａ１が対応づけられているので、パスワード文字数を問い合わせるためのセキュリティ設定通信データが構成される。

また、マルチプロトコルＶＰＮ通信部１２では、制御システム構成機器情報に基づき、指定されるマルチベンダ・プロトコル情報管理ＤＢ１４の情報からフラグ付ＶＰＮヘッダを生成し、セキュリティ設定通信データに付加してＶＰＮ通信データを構成する。例えば、図８では、メーカがＭ１で型式がＫＡ１の機器にはプロトコルとしてＥｔｈｅｒｎｅｔが用いられるので、Ｅｔｈｅｒｎｅｔを示すフラグがフラグ付きＶＰＮヘッダに付与される。

外部ネットワーク通信部１８では、ヘッダ３を生成してＶＰＮ通信データに付加することで外部ネットワーク通信データを構成する。

このようにしてセキュリティ設定通信データは、外部ネットワーク通信データとしてカプセル化され、外部ネットワーク４０を介してＡサイトに入力され、ＦＷ４１、ネットワーク間中継装置２０、ＦＷ４２を経由して、通信データ（２）に変換されてマルチプロトコルＶＰＮエージェント３１において一旦受信される。そしてマルチプロトコルＶＰＮエージェント３１において通信データ（２）から通信データ（１）へ変換されて、コントローラ３２、３３に送られる。

次にコントローラ３２、３３では、受信した通信データ（１）のデータ部に含まれるセキュリティ設定情報に基づき、セキュリティ設定情報設定値を、新たな通信データ（１）のデータとして構成して返送する。例えば、受信した通信データ（１）がパスワード文字数を問い合わせるものであれば、コントローラ３２、３３は自装置に設定されているパスワードの文字数を含む通信データ（１）を生成する。

コントローラ３２、３３からの通信データの転送経路を図１１に示す。

通信データ（１）はマルチプロトコルＶＰＮエージェント３１において受信され、そこで通信データ（１）から通信データ（２）へ変換されて出力される。マルチプロトコルＶＰＮエージェント３１内部での通信データの変換処理は上述と同様であるため、ここでは説明を省略する。

通信データ（２）はＦＷ４２、ネットワーク間中継装置２０、ＦＷ４１を経由し、ヘッダの変更により通信データ（３）に変換され、通信データ（３）として、外部ネットワーク４０を介してセキュリティ管理装置１０に受信される（ステップＳ０５）。

セキュリティ管理装置１０内の外部ネットワーク通信部１８において受信された通信データ（３）は、ヘッダ３が除去されてＶＰＮ通信データとなる。更に、プロトコル判定部１６がフラグ付ＶＰＮヘッダを参照してプロトコルを判定する。

次に、通信データはセキュリティ設定検査部１５に転送される。セキュリティ設定検査部１５は、データに含まれるセキュリティ設定情報の設定値と、セキュリティ設定情報管理ＤＢに保存されている推奨設定値と、を比較して、対象機器のセキュリティ設定値が正しいかを検査する（ステップＳ０６）。例えば、セキュリティ設定情報に含まれていたパスワード文字数と、推奨設定値として設定されているパスワード文字数以上になっているか否かの検査が行われる。

セキュリティ管理装置１０は、ステップＳ０６が終了すると、ステップＳ０３に戻り、セキュリティ設定の検査対象である機器が無くなるまで、同様の処理（ステップＳ０４、Ｓ０５、Ｓ０６）を繰り返す。セキュリティ設定の検査対象である機器が無くなると、セキュリティ管理装置１０は動作を終了する（ステップＳ０７）。

以上、セキュリティ管理装置１０の動作手順について説明した。このような動作手順に基づくことにより、セキュリティ管理装置１０を、外部ネットワーク４０を経由して遠隔に設置することが可能となり、セキュリティ管理に要する人的、物的コストを削減することが可能となる効果を得られる。

また、複数のサイトのセキュリティを遠隔のセキュリティ管理装置１０で一元的に管理することが可能であるため、最新のセキュリティ設定情報に基づき、遠隔に設置されたＤＢ情報を更新し、複数のサイトにおける制御システムのセキュリティ設定に反映させることが容易となり、反映までの時間を短縮することが可能となるという効果を得られる。

更に、セキュリティの一括管理を行うセキュリティ管理装置１０が最新のセキュリティ設定情報に基づいてセキュリティ管理を行うことで、制御システム３０の信頼性が向上し、制御システム３０の可用性を向上させることが可能であるという効果が得られる。

本実施例は、セキュリティ設定情報の検査の結果、セキュリティ設定が推奨される条件を満たしていなかった場合に、そのセキュリティ設定を推奨される条件を満たすように更新する機能をセキュリティ管理装置１０に備えている点で実施例１と異なる。すなわち、本実施例のセキュリティ管理システム１ではセキュリティ管理装置１０における新たな動作手順が追加されている。

本実施例のセキュリティ管理システム１におけるセキュリティ管理装置１０の基本的な構成は実施例１のものと同様である。ここでは実施例１と異なる動作手順について説明する。

図１２は、実施例２のセキュリティ管理装置１０の動作手順を示すフローチャートである。図１２では、図５に示したステップと同じステップについては同じ符号を付与している。ステップＳ０８、Ｓ０９、Ｓ１０が図１２で新たに追加されたステップである。ここでは新たに追加された部分を中心に説明を行う。

セキュリティ管理装置１０は、ステップＳ０６においてセキュリティ設定情報を検査した結果、管理対象の構成機器３２〜３５のセキュリティ設定値が適正であるか否かを判定する（ステップＳ０８）。

セキュリティ設定値が適正であれば（ステップＳ０８のＹｅｓ）であれば、セキュリティ管理装置１０は、何もせずにステップＳ０３へと戻る。

一方、セキュリティ設定値が適正でなければ（ステップＳ０８のＮｏ）、セキュリティ管理装置１０は、セキュリティ設定更新データを送信する（ステップＳ０９）。セキュリティ設定更新データは、セキュリティ設定を適正な設定に更新するためのデータである。例えば、パスワード文字数が不足していた場合、セキュリティ設定更新データとして、十分な文字数のパスワードを送ればよい。このとき、セキュリティ設定更新データは、図１０に示したセキュリティ設定通信データと同様の経路によって転送される。

例えば、コントローラ３２、３３にセキュリティ設定通信データが送られたとすると、次にコントローラ３２、３３からセキュリティ設定更新結果が出力され、図１１に示したセキュリティ設定情報設定値と同様の経路によって転送されてセキュリティ管理装置１０に受信される（ステップＳ１０）。

セキュリティ設定更新結果を受信したセキュリティ管理装置１０は、そのセキュリティ設定更新結果を確認した上で、ステップＳ０３へと戻り、同様の処理を繰り返す。

以上、実施例２におけるセキュリティ管理装置１０の動作手順について説明した。ここに示した実施例２に基づく動作手順を実行することで、セキュリティ管理の対象機器のセキュリティ設定値を適正値に更新することが可能となる。制御システム３０を構成する機器やシステムの信頼性を向上させることが可能となるという効果を得られる。

図１３は、実施例３におけるセキュリティ管理システムの概略ブロック図である。

実施例３では、上述したセキュリティ管理装置１０を火力発電所の制御システム３０におけるセキュリティ管理に適用した場合を例示する。複数のサイトに火力発電所が配置されており、外部ネットワーク４０を介して遠隔に配置された上述のセキュリティ管理装置１０が各サイトの制御システム３０のセキュリティ設定を一括で管理するというものである。

図１３に示すように、外部ネットワーク４０には、火力発電所Ａサイト、Ｂサイト、Ｃサイトなど、複数のサイトの火力発電所が接続されている。これらの火力発電所に対して、セキュリティ管理装置１０は外部ネットワーク４０を介して接続される。各サイトには、制御システム３０を構成するコントローラ等の各種構成機器３２〜３５と、マルチプロトコルＶＰＮエージェント３１が配置されている。

セキュリティ管理装置１０は外部ネットワーク４０経由で各サイトのマルチプロトコルＶＰＮエージェント３１に問い合わせることにより、各サイトの構成機器３２〜３５を把握し、各構成機器３２〜３５に問い合わせることにより、それぞれのセキュリティ設定を取得し、それを検査する。

以上、実施例３における火力発電所の複数のサイトに対するセキュリティ設定の管理について説明した。本実施例に基づく構成を用いることで火力発電所の複数のサイトのセキュリティ設定を容易に管理可能となり、信頼性を向上させることが可能であるという効果を得られる。

図１４は、実施例４におけるセキュリティ管理システムの概略ブロック図である。

実施例４では、上述したセキュリティ管理装置１０を原子力発電所の制御システム３０におけるセキュリティ管理に適用した場合を例示する。複数のサイトに原子力発電所が配置されており、外部ネットワーク４０を介して遠隔に配置された上述のセキュリティ管理装置１０が各サイトの制御システム３０のセキュリティ設定を一括で管理するというものである。

図１４に示すように、外部ネットワーク４０には、原子力発電所Ａサイト、Ｂサイト、Ｃサイトなど、複数のサイトの原子力発電所が接続されている。これらの原子力発電所に対して、セキュリティ管理装置１０は外部ネットワーク４０を介して接続される。各サイトには、制御システム３０を構成するコントローラ等の各種構成機器３２〜３５と、マルチプロトコルＶＰＮエージェント３１が配置されている。

以上、実施例４における電子力発電所の複数のサイトに対するセキュリティ設定の管理について説明した。本実施例に基づく構成を用いることで原子力発電所の複数のサイトのセキュリティ設定を容易に管理可能となり、信頼性を向上させることが可能であるという効果を得られる。

図１５は、実施例５におけるセキュリティ管理システムの概略ブロック図である。

実施例５では、上述したセキュリティ管理装置１０を製鉄所の制御システム３０におけるセキュリティ管理に適用した場合を例示する。複数のサイトに製鉄所が配置されており、外部ネットワーク４０を介して遠隔に配置された上述のセキュリティ管理装置１０が各サイトの制御システム３０のセキュリティ設定を一括で管理するというものである。

図１５に示すように、外部ネットワーク４０には、製鉄所Ａサイト、Ｂサイト、Ｃサイトなど、複数のサイトの製鉄所が接続されている。これらの製鉄所に対して、セキュリティ管理装置１０は外部ネットワーク４０を介して接続される。各サイトには、制御システム３０を構成するコントローラ等の各種構成機器３２〜３５と、マルチプロトコルＶＰＮエージェント３１が配置されている。

以上、実施例５における製鉄所の複数のサイトに対するセキュリティ設定の管理について説明した。本実施例に基づく構成を用いることで製鉄所の複数のサイトのセキュリティ設定を容易に管理可能となり、信頼性を向上させることが可能であるという効果を得られる。

図１６は、実施例６におけるセキュリティ管理システムの概略ブロック図である。

実施例６では、上述したセキュリティ管理装置１０を化学プラントの制御システム３０におけるセキュリティ管理に適用した場合を例示する。複数のサイトに化学プラントが配置されており、外部ネットワーク４０を介して遠隔に配置された上述のセキュリティ管理装置１０が各サイトの制御システム３０のセキュリティ設定を一括で管理するというものである。

図１６に示すように、外部ネットワーク４０には、化学プラントＡサイト、Ｂサイト、Ｃサイトなど、複数のサイトの化学プラントが接続されている。これらの化学プラントに対して、セキュリティ管理装置１０は外部ネットワーク４０を介して接続される。各サイトには、制御システム３０を構成するコントローラ等の各種構成機器３２〜３５と、マルチプロトコルＶＰＮエージェント３１が配置されている。

以上、実施例６における化学プラントの複数のサイトに対するセキュリティ設定の管理について説明した。本実施例に基づく構成を用いることで化学プラントの複数のサイトのセキュリティ設定を容易に管理可能となり、信頼性を向上させることが可能であるという効果を得られる。

図１７は、実施例７におけるセキュリティ管理システムの概略ブロック図である。

実施例７では、上述したセキュリティ管理装置１０を製造工場の制御システム３０におけるセキュリティ管理に適用した場合を例示する。複数のサイトに製造工場が配置されており、外部ネットワーク４０を介して遠隔に配置された上述のセキュリティ管理装置１０が各サイトの制御システム３０のセキュリティ設定を一括で管理するというものである。

図１７に示すように、外部ネットワーク４０には、製造工場Ａサイト、Ｂサイト、Ｃサイトなど、複数のサイトの製造工場が接続されている。これらの製造工場に対して、セキュリティ管理装置１０は外部ネットワーク４０を介して接続される。各サイトには、制御システム３０を構成するコントローラ等の各種構成機器３２〜３５と、マルチプロトコルＶＰＮエージェント３１が配置されている。

以上、実施例７における製造工場の複数のサイトに対するセキュリティ設定の管理について説明した。本実施例に基づく構成を用いることで製造工場の複数のサイトのセキュリティ設定を容易に管理可能となり、信頼性を向上させることが可能であるという効果を得られる。

図１８は、実施例８におけるセキュリティ管理システムの概略ブロック図である。

実施例３では、上述したセキュリティ管理装置１０を鉄道事業者の制御システム３０におけるセキュリティ管理に適用した場合を例示する。複数のサイトに鉄道事業者の施設が配置されており、外部ネットワーク４０を介して遠隔に配置された上述のセキュリティ管理装置１０が各サイトの制御システム３０のセキュリティ設定を一括で管理するというものである。

図１８に示すように、外部ネットワーク４０には、鉄道事業者Ａサイト、Ｂサイト、Ｃサイトなど、複数のサイトの施設が接続されている。これらの施設に対して、セキュリティ管理装置１０は外部ネットワーク４０を介して接続される。各サイトには、制御システム３０を構成するコントローラ等の各種構成機器３２〜３５と、マルチプロトコルＶＰＮエージェント３１が配置されている。

以上、実施例８における鉄道事業者の複数のサイトに対するセキュリティ設定の管理について説明した。本実施例に基づく構成を用いることで鉄道事業者の複数のサイトのセキュリティ設定を容易に管理可能となり、信頼性を向上させることが可能であるという効果を得られる。

図１９は、実施例９におけるセキュリティ管理システムの概略ブロック図である。

実施例９では、上述したセキュリティ管理装置１０を火力発電所、原子力発電所、製鉄所といった種類の異なる複数サイトの制御システム３０におけるセキュリティ管理に適用した場合を例示する。複数のサイトのそれぞれに火力発電所、原子力発電所、製鉄所が配置されており、外部ネットワーク４０を介して遠隔に配置された上述のセキュリティ管理装置１０が各サイトの制御システム３０のセキュリティ設定を一括で管理するというものである。

図１９に示すように、外部ネットワーク４０には、火力発電所Ａサイト、原子力発電所Ｂサイト、製鉄所Ｃサイトなど、複数のサイトの施設が接続されている。これらの施設に対して、セキュリティ管理装置１０は外部ネットワーク４０を介して接続される。各サイトには、制御システム３０を構成するコントローラ等の各種構成機器３２〜３５と、マルチプロトコルＶＰＮエージェント３１が配置されている。

以上、実施例８における火力発電所、原子力発電所、製鉄所などの複数のサイトに対するセキュリティ設定の管理について説明した。本実施例に基づく構成を用いることで、種類の異なる複数のサイトのセキュリティ設定を容易に管理可能となり、信頼性を向上させることが可能であるという効果を得られる。

以上、本発明の実施形態および実施例について説明したが、本発明は実施形態あるいは実施例に限定されるものではない。特許請求の範囲に定義された本発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

Claims

構成機器を含む制御システムのセキュリティ管理を行うセキュリティ管理システムであって、
前記制御システムの外部ネットワークである第１ネットワーク経由で前記構成機器のセキュリティ管理を行うセキュリティ管理装置と、
前記制御システムの前記構成機器を接続する制御ネットワークである第２ネットワークにより前記構成機器と接続し、前記第１ネットワーク経由で前記セキュリティ管理装置と接続する通信エージェント装置と、を有し、
前記セキュリティ管理装置は、前記通信エージェント装置に問い合わせることにより、前記制御システムにおける前記構成機器に関する情報である構成機器情報と、前記構成機器が通信に用いるプロトコルを識別可能なプロトコル識別情報と、を取得し、前記構成機器情報に基づいて、前記プロトコル識別情報によって識別されるプロトコルを用いて、前記構成機器に問い合わせることにより、該構成機器に設定されているセキュリティ設定に関する情報であるセキュリティ設定情報を取得し、
前記通信エージェント装置は、前記セキュリティ管理装置からの問い合わせを受けて、前記構成機器情報と前記プロトコル識別情報とを前記セキュリティ管理装置に通知する、
セキュリティ管理システム。
前記セキュリティ管理装置は、構成機器のメーカおよび型式と、該構成機器が用いるプロトコルを示すプロトコル情報と、を対応づけたプロトコル情報管理データベースを予め保持し、
前記通信エージェント装置は、前記構成機器の前記プロトコル識別情報として、メーカおよび型式の少なくとも一方を前記セキュリティ管理装置に通知し、
前記セキュリティ管理装置は、通知された前記メーカおよび前記型式の少なくとも一方に基づき、前記プロトコル情報管理データベースを参照することにより、前記構成機器が用いるプロトコルを識別する、
請求項１に記載のセキュリティ管理システム。
前記セキュリティ管理装置と前記通信エージェント装置は前記第１ネットワーク経由で仮想プライベートネットワークを構築し、
前記セキュリティ管理装置は、前記構成機器に前記セキュリティ設定情報を問い合わせるセキュリティ設定問い合わせ電文に、前記電文に用いているプロトコルの表示を含む仮想プライベートネットワーク用ヘッダを付加して送信し、
前記通信エージェント装置は、前記仮想プライベートネットワーク用ヘッダを終端して、前記セキュリティ設定問い合わせ電文を前記構成機器に送信し、前記セキュリティ設定問い合わせ電文に対する応答であるセキュリティ設定応答電文を前記構成機器から受信し、前記セキュリティ設定応答電文に、前記プロトコルの表示を含む仮想プライベートネットワーク用ヘッダを付加して送信し、
前記セキュリティ管理装置は、前記仮想プライベートネットワークヘッダを終端して、前記セキュリティ設定応答電文を取得する、
請求項１に記載のセキュリティ管理システム。
前記セキュリティ管理装置および前記通信エージェント装置は、前記仮想プライベートネットワーク用ヘッダを付加した電文に、更に、前記外部ネットワークを疎通するため、または前記外部ネットワークと前記制御システムの間を中継する中継装置を疎通するためのヘッダを付加して送信する、請求項３に記載のセキュリティ管理システム。
前記セキュリティ管理装置は、セキュリティ設定の推奨条件を示す推奨設定値を含むセキュリティ設定情報管理データベースを予め保持し、前記セキュリティ設定情報管理データベースを参照することにより、前記構成機器から取得した前記セキュリティ設定情報を検査する、
請求項１に記載のセキュリティ管理システム。
前記セキュリティ管理装置は、前記構成機器の前記セキュリティ設定情報を検査した結果、前記セキュリティ設定情報が前記推奨条件を満たしていなかったら、前記構成機器の前記セキュリティ設定を更新する、請求項５に記載のセキュリティ管理システム。
前記セキュリティ管理装置が管理する制御システムが、火力発電所の制御システム、原子力発電所の制御システム、製鉄所の制御システム、化学プラントの制御システム、製造工場の制御システム、鉄道事業者の制御システム、のいずれか１つまたは複数または全てである、請求項１に記載のセキュリティ管理システム。
構成機器を含む制御システムのセキュリティ管理を行うセキュリティ管理システムにおいて、前記制御システムの外部ネットワークである第１ネットワーク経由で前記構成機器のセキュリティ管理を行うセキュリティ管理装置であって、
前記制御システムの前記構成機器を接続する制御ネットワークである第２ネットワークにより前記構成機器と接続し、前記第１ネットワーク経由で接続する通信エージェント装置に問い合わせることにより、前記制御システムにおける前記構成機器に関する情報である構成機器情報と、前記構成機器が通信に用いるプロトコルを識別可能なプロトコル識別情報と、を取得する判定部（制御システム構成判定部）と、
前記プロトコル識別情報によって識別されるプロトコルを用いて、前記構成機器と通信する通信部（セキュリティ設定通信部）と、
前記構成機器との通信を用い、前記構成機器情報に基づいて、前記構成機器に問い合わせることにより、該構成機器に設定されているセキュリティ設定に関する情報であるセキュリティ設定情報を取得する管理部（セキュリティ設定検査部）と、を有するセキュリティ管理装置。
構成機器を含む制御システムの外部ネットワークである第１ネットワーク経由で前記構成機器のセキュリティ管理を行うセキュリティ管理装置と、前記制御システムの前記構成機器を接続する制御ネットワークである第２ネットワークにより前記構成機器と接続し、前記第１ネットワーク経由で前記セキュリティ管理装置と接続する通信エージェント装置と、を有するセキュリティ管理システムによりセキュリティ管理を行うためのセキュリティ管理方法あって、
前記セキュリティ管理装置が、前記制御システムにおける前記構成機器に関する情報である構成機器情報を、前記通信エージェント装置に問い合わせ、
前記通信エージェント装置が、前記構成機器情報と、前記構成機器が通信に用いるプロトコルを識別可能なプロトコル識別情報と、を前記セキュリティ管理装置に通知し、
前記セキュリティ管理装置が、前記構成機器情報に基づいて、前記プロトコル識別情報によって識別されるプロトコルを用い、前記構成機器に、該構成機器に設定されているセキュリティ設定に関する情報であるセキュリティ設定情報を問い合わせる、
セキュリティ管理方法。