当たり前のようにスマート工場がサイバー攻撃を受ける時代に求められるもの：スマート工場に潜むサイバーセキュリティリスク（5）（2/3 ページ）

[石原陽平／トレンドマイクロ，MONOist]

スマート工場に必要な「ゼロトラスト」の考え方

　前ページの表1の「セキュリティオーナー」に記載している事項から分かる通り、スマート工場セキュリティには多くの人間や企業がかかわるということをあらためて認識する必要がある。工場のスマート化が進めば進むほど、ソフトウェアサプライチェーンはますます複雑になっていく。スマート工場の構築と運用は、自社内においても多くの部署、多くの担当者が関係する取り組みであり、外部の信頼できるパートナーの力を合わせて構築されている。さらには、その先に機器メーカーやその開発者、そしてオープンコミュニティーなどがつながっており、その数珠つなぎの信頼関係が、スマート工場を作り上げていると言っても過言ではない（図2）。

図2　複雑化するスマート工場のエコシステム（クリックで拡大）出典：トレンドマイクロ

　しかし、今回の実験で実証された攻撃は、その数珠つなぎの信頼関係の隙を突く攻撃であったといえる。そのような攻撃によるリスクを減らしていくために、スマート工場に関わる業界全体で対策に取り組み、セキュリティレベルを向上していく必要がある。

　工場のスマート化は、工場のソフトウェア的な進化であり、メーカーやインテグレーター、そしてスマート工場を持つユーザー企業が、複雑に絡み合うエコシステムを作り上げている。エコシステム内のあらゆる場所でソフトウェアが作られ、流通するため、どこから悪意あるソフトウェアが侵入してくるかを判別することがますます難しくなっていく。そのような環境下において、工場機器を提供するメーカーやインテグレーターは「自社製品が悪用される可能性がある」ということを前提に製品の設計を行うことが最良のセキュリティ戦略となる。一方、スマート工場を保有するユーザー企業は「いつどこから悪意あるソフトウェアが入ってくるか分からない」ということを前提とすることが大前提となる。

　これはすなわち、工場のスマート化を進めれば進めるほど「セキュリティバイデザイン」と「ゼロトラスト」を前提とするセキュリティ対策がより重要になることを意味している。

　セキュリティ対策とはすなわち、リスクにどう対応するかを判断することに他ならない。従って、どのようなリスクに備えるべきかの分析が重要となり、その分析は、セキュリティバイデザインとゼロトラストのコンセプトに基づいて行われるべきである。そして、セキュリティリスクに備えるためには、自社のリソースを充てる必要があるわけだが、最も重要なことは、セキュリティを経営課題として取り扱えるかどうかということだ。経営課題としてそのテーマを考慮することで、はじめて継続性を持ったセキュリティ計画の立案が可能となるからである。加えて、エコシステム内の関係者同士が共通理解を構築するため、業界標準規格（IEC62443）の内容をそれぞれ理解し、それに対応することも有効だ。その上で、最終的に個別のセキュリティ対策を具現化していく。これが、スマート工場のセキュリティを実装する際の有効なロードマップである（図3）。

図3　スマート工場セキュリティ実装のためのロードマップ（クリックで拡大）出典：トレンドマイクロ

　特に、今後はソフトウェア特有のセキュリティ課題である脆弱性への対応がより重要性を増す。個別の脆弱性に対応していくことももちろんだが、脆弱性が発見された時の社内プロセスを整えていくことでより効率的に対策をおこなえるだろう。そして、OTシステムだけでなく、ITシステムひいてはクラウドサービスを含めたシステム全体のセキュリティを俯瞰できる人材の育成と、セキュリティパートナーの選定が重要となる。