「閉域網だから安全」は通用しない、制御システムの攻撃事例に学ぶ“基本”：宮田健の「セキュリティの道も一歩から」（124）（1/2 ページ）

「モノづくりに携わる人」だからこそ、もはや無関心ではいられない情報セキュリティ対策。今回は、IPAが公開する制御システムのサイバーインシデント事例を基に、工場ネットワークにも通じる攻撃の入り口と、基本的なセキュリティ対策の重要性を考えます。

[宮田健，TechFactory]

本記事は「TechFactory」に掲載された会員限定コンテンツをMONOist向けに再編集した転載記事となります。［全文を読む］には、会員登録（無料）およびログインが必要になります。

　情報処理推進機構（IPA）が公開している「制御システムのセキュリティリスク分析ガイド」をご覧になったことはあるでしょうか。2026年4月に第2版が公開され、重要インフラを支える制御システムのセキュリティリスク分析に役立つ内容となっています。

図1　「制御システムのセキュリティリスク分析ガイド 第2版」の表紙［クリックで拡大］ 出所：IPA（https://www.ipa.go.jp/security/controlsystem/riskanalysis.html）

　制御システムといえば、インターネットからは隔離され、一般的なTCP/IPではなく、専用のプロトコルで通信が行われている、というイメージがあるかもしれません。そのため、一般的なマルウェアでは到達しにくく、こういった隔離ネットワークへの攻撃は難しい、と考えられがちです。

　だからといって、対策が不要というわけではありません。監視やメンテナンスをリモートで行えるよう、境界にはVPN（仮想プライベートネットワーク）やルーターなどが設置されているケースもあります。こうしたインターネットとの接点は「アタックサーフェス（攻撃対象となり得る領域）」となり、日々脅威にさらされています。だからこそ、上記のような「セキュリティリスク分析」が欠かせません。

　2026年7月31日、制御システムのセキュリティリスク分析ガイドの補足資料として、「制御システム関連のサイバーインシデント事例」シリーズに新たな事例が追加されました。同事例集では、過去に発生したサイバーインシデントの概要や攻撃の流れが紹介されており、リスク分析やセキュリティ対策の検討に活用できます。制御システムを保有していない企業でも、工場ネットワークを考える上で参考になる部分はあるはずです。実際に起きた攻撃事例を見ることは、意識向上にも必ずプラスになるでしょう。では、事例を追い掛けてみましょう。

「制御システム関連のサイバーインシデント事例」シリーズは宝の山！

　この制御システム関連のサイバーインシデント事例シリーズは、日本のみならず世界で発生した制御システム侵害事例がまとめられているもので、これまで13の事例が取り上げられています。その中に、新たに「【事例12】2023年 デンマークの複数のエネルギー関連企業へのサイバー攻撃」および「【事例13】2025年 ポーランドの市民プールへの攻撃」が加わりました。

関連リンク：

⇒ 制御システムのセキュリティリスク分析ガイド補足資料：「制御システム関連のサイバーインシデント事例」シリーズ｜情報セキュリティ｜IPA

　もし、これまで同事例集を見たことがないという方は、ぜひ自社と同じようなシステムを見つけ、チェックしてほしいところです。ここでは、新たに追加された事例を少しだけ掘り下げてみましょう。

制御システムそのものに影響がなかったとしても