なぜ工場がサイバー攻撃の被害に？
根本的な原因と対策を考える

第1回のコラムでは、マルウェアや不正アクセスといったサイバー攻撃が生産ラインを制御するOperational Technology（OT）ネットワークに悪影響を与え、工場が稼働停止に陥ってしまう事態が、海外はもちろん、国内でも相次いで起こっていることを紹介しました。

中には、こうした事例を耳にしても「うちの工場ではセキュリティ対策をしているから大丈夫」と考える方がいるかもしれません。しかし「大丈夫」と考える前提自体が崩れてきたとしたらどうでしょうか。第2回のコラムでは、DNP 情報イノベーション事業部 PFサービスセンター IoSTプラットフォーム本部 主幹企画員の大野 毅と共に、工場がなぜサイバーリスクにさらされているのか、その原因と対策を掘り下げます。

――マルウェアや不正アクセスなどのサイバー攻撃は、ITネットワークのみならず工場を支えるOTネットワークにもダメージを与え、最悪、工場の操業が停止する事態に追い込まれる企業もあるという事例を紹介していただきました。一体原因はどこにあるのでしょうか。

大野：工場で起こるセキュリティ事故の原因は、主に3つのパターンに分類できます。

DNP 情報イノベーション事業部 PFサービスセンター IoSTプラットフォーム本部 主幹企画員　大野 毅

1つ目は、ネットワークを介した外部からの不正アクセスです。直接OTネットワークが狙われるパターンもなくはありませんが、OTネットワークに付随するITネットワークがまず攻撃され、そこが踏み台となってOTネットワークが攻撃された事例もあります。今後、スマート工場化などの動きを受けて、工場の機器が直接インターネットにつながるようになると、このリスクはますます高まるでしょう。

2つ目は、外部からの不正な端末やUSBメモリの持ち込みです。工場内機器のメンテナンスを委託している外部の事業者が持ち込んだ端末やUSBメモリにマルウェアが含まれていることもあれば、従業員がマルウェアに感染した媒体を、そうとは知らずに工場内に持ち込んでしまう場合も考えられます。それらがOTネットワークに接続されてしまうと、OTネットワーク内部の機器やネットワークの脆弱性対策がしっかり行われていない場合、マルウェアが一気にOTネットワーク内部全体に拡散してしまう恐れがあります。その結果、工場の操業が停止する事態につながった事例が報じられています。また、社内ルールに違反して、無許可の媒体を安易に工場内に持ち込んでしまう従業員のセキュリティ意識の低さや、内部犯行への対策の欠如も一因でしょう。

3つ目は、生産設備に対するリモートメンテナンス用のネットワーク機器（VPN装置等）がセキュリティホールとなり、内部ネットワークに侵入されてしまうパターンです。こうしたネットワーク機器の管理者パスワードが脆弱だったりすると、容易に内部ネットワークに侵入されてしまいます。その結果、内部情報を窃取されたり、マルウェアを内部に仕掛けられたりしてしまうのです。ちょっと特殊ですが、制御アプリケーションの更新用データにマルウェアが混入しており、更新時に感染してしまって情報漏洩につながった事例もあります。

まとめると、「ネットワーク構成の不備」「脆弱性対策の欠如」「不十分な利用者認証や機器間認証」といったシステムなどソフト面での問題に加え、機器の持ち込み防止や強固なパスワード設定などを定めるセキュリティ上必要となる重要なルールや運用が徹底されていないといった実情が、被害につながっていると言えます。

――どうしてこんなに被害が多いのでしょうか。

大野：製造業の多くの企業では、OTネットワークをインターネットや社内ネットワーク等の他のネットワークと接続していないため、工場のサイバーセキュリティリスクは低いと判断してきました。今も、「できることなら外部につながずに済ませたい」と考える工場担当者は少なくないと思います。

しかし、さまざまな要因によって今や状況は変わりつつあります。欧米では、工場をインターネット経由でクラウドにつなぎ、機器やセンサー類の情報を収集し、予知保全や生産性向上に役立てるスマート工場化に向けた動きも広がり始めています。それと同時にセキュリティ対策をしっかり取っておかないと、マルウェア感染や不正アクセスのリスクが生じます。

また、これまで制御機器はOSも含めて独自に開発されるものが多かったのですが、コストや拡張性を考え、WindowsやLinuxといった汎用OSをベースにした制御機器をOTシステムに組み込むことが増えています。汎用OSは利用者が多く安価で便利なため多くの企業が利用していますが、それを狙った攻撃者も多いのです。事実、OS自体を狙ったマルウェア等も増加の一途をたどっています。

一方で、生産設備というのはITシステムほど寿命が短くありません。一度導入したら10年、20年といった単位で稼働し続けることも珍しくはなく、サポート期間が終了した古いOSが使われ続けることも珍しくありません。これもまた、攻撃者にとっては格好のターゲットになっています。

大野：特に問題なのは「閉域網だから安全だ」という前提で運用してきた結果、OTネットワーク内部にあるPCや制御機器に付随する端末で、適切にセキュリティ管理が行われなくなってしまうということです。従来は、壁 (ファイアウォール) で守られていたので、 OTネットワーク内部の端末にセキュリティパッチが適用されていなくてもあまり影響がなかったのですが、その前提が崩れつつある今ではもはやその考え方は通用しません。むしろ、ひとたび内側に侵入されてしまうと非常にもろく、あっという間にマルウェアが拡散してしまう危険性があります。企業が把握できていない個人所有のIT機器は「シャドーIT」と呼ばれ、工場に持ち込まれネットワークに接続されることによって、マルウェア感染や不正アクセス、データ盗難などの問題の原因となる恐れもあります。

同様に「OTネットワークは閉じているから」「工場全体が閉域網だから」と、細かくセグメントを分けずに、それぞれに適切なセキュリティ対策を取らずに運用している場合、これも大きなリスク要因となります。こうした運用になっていると、工場のどこか1カ所でマルウェア感染が起こると、あちこちに、時には国境をまたいで他国の工場にまで波及する恐れがあります。

さらにもう一つ、従業員、業務を委託している企業、あるいはサプライチェーンを構成するパートナーもリスク要因となる可能性があります。例え従業員や取引先など「正しい相手」でも、利用している端末がすでにマルウェアに感染していたり、アカウントが乗っ取られていたりすると、前出のように重大な被害につながってしまうかもしれません。

――課題は多いですね。

大野：はい。IT部門のみならず工場の運用を担うOT部門も人員削減を余儀なくされる中、守るべき資産は増える一方で、しかもやるべきタスクもまたどんどん増えている実情があります。上からは「スマート工場化に取り組め」「コロナ禍なのでリモート接続するように」「操業は決して止めるな」とさまざまな任務を課せられ、悩んでいる方は多いと思います。

――そんな難しい状況の中、取るべき対策は何でしょうか？

大野：まずは、工場内にどのような資産があるか、それぞれどのような脆弱性を持つかを可視化し、把握することです。現状を把握した上で、「何をどんなリスクから守るべきか」を整理し、技術的な対策だけに偏らず、人や体制も含めた総合的なセキュリティ対策を取ることが必要です。

その際に参考にしたいのが「ゼロトラスト」という考え方です。これまでのように「壁で守られている内側にあるもの」や従業員などの「関係者」を無条件に信用するのではなく、正しいはずの人や機器が通信する際、その都度きちんと相手が正しいか相互に認証した上で通信を許可していきます。IDとパスワードだけでなく、端末の状態などさまざまな要素を含めて確認し、その上でアクセスすべき領域に限定して許可することで、ネットワークの内外問わず、安全な通信を行うことが可能になります。

このゼロトラストを実装するに当たり、基本的な考え方である「ゼロトラスト・アーキテクチャ」が「NIST SP800-207」にまとめられています。こうしたガイドラインをふまえながら、従来から工場の産業・制御機器向けのセキュリティガイドラインとして参照されている「NIST SP800-82」などの規格も参照しつつ、十分なセキュリティ対策を実践していくことが必要です。とはいえ、いきなりすべての対策を同時に行うことは困難なため、自社の状況を見ながら優先度を決定し、できるところから取り組むことが重要であると考えます。

＜脚注>
NIST：米国国立標準研究所（National Institute of Standards and Technology）
NIST SP800：NISTがコンピューターセキュリティに関して発表しているガイドライン。SP800シリーズは、セキュリティ管理やリスク管理、セキュリティ対策などに関するものが多い。SP800−171など、米国の連邦政府調達基準として利用されるものもある。

（了）

第1回： マルウェアが工場を止める――もはや他人事ではないOTを巡る脅威
第2回： なぜ工場がサイバー攻撃の被害に？ 根本的な原因と対策を考える　（現在のページ）
第3回： グローバルなガイドラインを参考に、工場のゼロトラストを理解する
第4回： ゼロトラスト、そしてその先に求められる包括的な対策とは
第5回： ICカード専門工場に見る「高セキュリティ工場」の具体例

・漫画で伝える「工場に迫る危機」動画（1分）
・Discover DNP / トレンド講座【セキュリティ】「新しい働き方」を狙うランサムウェアの脅威