米国 テネシー川流域公社 監察官監査 非電源ダムの制御システムのサイバーセキュリティ (2022.06.01)

こんにちは、丸山満彦です。

テネシー川流域公社の内部監査部門 (Tennessee Valley Authority Office of the Inspector General) が非電源ダムの制御システムのサイバーセキュリティについての監査を実施し、その内容を公表していますね。。。

● Oversight.Gov

・2022.06.01 Non-Power Dam Control System Cybersecurity

Non-Power Dam Control System Cybersecurity	非電源ダム制御システムサイバーセキュリティ
Tennessee Valley Authority OIG	テネシー川流域公社 監察官局
Report Description:	報告書の内容
As part of our annual audit plan, we performed an audit of Tennessee Valley Authority’s (TVA) non-power dam control system cybersecurity. Our objective was to determine if the cybersecurity controls of TVA’s non-power dam control system were operating effectively. In summary, we found (1) no clear ownership of the non-power dam control system, (2) vulnerable versions of operating systems and control system software, (3) inappropriate logical and physical access, and (4) internal information technology controls were not operating effectively or had not been designed and implemented. Prior to completion of our audit, TVA clarified the ownership of the control system and took actions to address the inappropriate logical and physical access. We recommend the Senior Vice President, Resource Management and Operations Services, update the non power dam control system to address the identified vulnerabilities and information technology control weaknesses. TVA management agreed with our recommendation and provided information on planned actions.	年間監査計画の一環として、テネシー・バレー・オーソリティー（TVA）の非電力ダム制御システムのサイバーセキュリティの監査を実施しました。我々の目的は、TVA の非火力ダム制御システムのサイバーセキュリティ制御が効果的に運用されているかどうかを判断することであった。要約すると、（1）非電源ダム制御システムの明確なオーナーシップがないこと、（2）オペレーティングシステムと制御システムソフトウェアの脆弱なバージョン、（3）不適切な論理的・物理的アクセス、（4）内部情報技術制御が有効に機能していないか設計・実施されていないこと、が判明しました。我々の監査が完了する前に、TVAはコントロールシステムのオーナーシップを明確にし、不適切な論理的・物理的アクセスに対処するための行動を起こしました。我々は、資源管理・運営サービス担当上級副長官が、特定された脆弱性と情報技術管理の弱点に対処するため、非電源ダム管理システムを更新することを推奨しています。TVA の経営陣は我々の勧告に同意し、計画されたアクションに関する情報を提供しました。

・[PDF] 2022-17340