用心すべきは工場だけじゃない、脅威増すサイバー攻撃への対策の現状：製造マネジメント インタビュー（1/3 ページ）

製造業を標的としたサイバー攻撃の事例が多数報道されるようになって、危機意識が醸成されたためか、セキュリティ対策の遅れが指摘されていた国内製造業でも、大手企業を中心に取り組む企業が増えたように見受けられる。現在の国内製造業のサイバーセキュリティへの意識や対策の進捗をどう見るか。日立ソリューションズ担当者に話を聞いた。

[池谷翼，MONOist]

　近頃、国内製造業に対するサイバー攻撃の報告を多く耳にするようになったという人も多いのではないか。2022年2月には重要情報を人質に金銭的対価を要求するランサムウェアでサプライヤーの小島プレス工業が攻撃を受けたことが原因でトヨタ自動車と日野自動車の工場が稼働を停止した。サプライチェーン攻撃が現実化した際に生じ得る甚大な被害を目の当たりにして、多くの国内企業が衝撃を受けたことだろう。

　当たり前のことだが、こうしたサイバー攻撃は今になって突然始まったものではない。過去には「Emotet」や「WannaCry」「Ekans」などさまざまなマルウェアが猛威を振るい、自動車関連に限らず国内製造業の工場、事業所に多大な被害を与え続けてきた。その中で、かねてセキュリティ対策の遅れが指摘されていた国内製造業でも、大手企業を中心にサイバー攻撃の脅威が広く認知されはじめ、取り組みを進める企業が増えてきたように見受けられる。

　現在の国内製造業のサイバーセキュリティへの意識や対策の進捗をどう見るか。日立ソリューションズ セキュリティソリューション事業部企画本部 セキュリティマーケティング推進部 部長の扇健一氏に話を聞いた。MONOistでは同氏に2020年にもインタビューを行っているが、現在までの約2年間での業界の変化なども併せて尋ねた。

日立ソリューションズ セキュリティソリューション事業部企画本部 セキュリティマーケティング推進部 部長の扇健一氏 出所：日立ソリューションズ

販売店も攻撃者の侵入口に

MONOist　以前のインタビューでは、「社内にマルウェアが潜んでいる」と語る製造業担当者の話などが印象的でした。2年がたちましたが、その間、国内製造業のサイバーセキュリティ対策への意識は変化しましたか。

扇健一氏（以下、扇氏）　かなり変わってきたと思う。最初の転機となったのは新型コロナウイルス感染症（COVID-19）だ。事業継続性への意識向上に加えて、リモートワークの普及によるセキュリティ対策を講じなければならなくなった。さらにその辺りから、製造業をはじめ多くの企業がランサムウェアで被害に遭ったという報道が多くなり、危機感がさらに醸成され、トヨタ自動車と小島プレス工業の件がその傾向に拍車を掛けたように見える。

　当社がゼロトラストセキュリティのソリューションを本格的に拡販し始めたのは2020年3月あたりだが、当時は「ゼロトラスト」という概念の認知度自体が高くなかった。だが現在は、多くの企業で中期経営計画に盛り込むなど、経営戦略レベルでゼロトラストが意識されるようになっている。特に製造業はゼロトラストの商材の引き合いが一番強い業種だ。

　一部の大手企業を除けば、2019年くらいまではセキュリティに意識が向いていない企業が多かった。しかしサイバー攻撃の激化で、グローバルサプライチェーンのセキュリティ対策に危機感を抱くようになりつつある。ランサムウェアにより海外子会社が被害に遭うという事例も多く、グローバルに拠点を持つ製造業も脅威に感じるようになったのではないか。

　ゼロトラスト環境を導入すれば、セキュリティポリシーを日本本社で制御できるので、セキュリティ対策にグローバルガバナンスを利かせられる。ただ、ゼロトラスト導入を検討しているのは、製造業の場合あくまでも大手企業が中心だ。情報通信業だとむしろ中堅以下の規模企業から導入の相談が来るが、製造業ではそれとは逆に5000人規模以上の大手企業が多い。昨今の情勢を鑑みると、サイバーセキュリティの標的になっているのは中小企業が多いので、課題はまだ残されているように思う。

MONOist　サプライチェーン全体でセキュリティリスクを低減するための取り組みが急務とされています。

扇氏　取引先を含めたサプライチェーンセキュリティ対策も大事だが、最近では自動車メーカーなど大手製造業において、自社製品の販売店に関する悩みが増えているようだ。販売店には顧客情報が保管されており、本社とネットワークもつながっていることが多い。実際に、販売店がサイバー攻撃を受け、個人情報が漏えいした事件もあった。

　販売店が直営店であれば対策もしやすいが、問題はフランチャイズ店だった場合だ。セキュリティコストの転嫁が利益供与と見なされるリスクがあるので、親企業も実効性のあるセキュリティ対策を導入しづらい。具体的な被害が発生するまで、対策してもらえないという話も聞く。だが、ファイルサーバやメールで本社とデータが行き来する可能性もあるので、攻撃者の侵入口になりやすい。