事例から見る、製造現場でのセキュリティ導入の“ツボ”：産業制御システムのセキュリティ（5）（2/2 ページ）

増加する“制御システムを取り巻く脅威”に対し、制御システムセキュリティ対策が急務になっているが、そこには製造現場ならではの課題も多い。現場で実際に起こったセキュリティ事例から、製造現場でのセキュリティ導入の“ツボ”を考える。

[西坂真人，MONOist]

「可用性」が製造現場導入のポイント

　製造現場でセキュリティに精通した専任担当者を設けている例はまだ少なく、これらインシデント（脅威となる事象の発生）を未然に防ぐ役割を担っているのは、その会社の情報システム部門であるケースが多い。

　トレンドマイクロで事業開発本部担当部長代行を務める瀬戸弘和氏は「生産効率が優先される製造現場では、情報システム系とは異なるセキュリティソリューションが求められる」と語る。

　制御システムでは現場の作業工程を犠牲にしないこと――「可用性（システムが継続して稼働できる能力）」がポイントとなる。

　「現場では『あなたの仕事は何ですか？』というのが出発点。決してセキュリティが主ではなく、品質を高めたり、生産効率を上げたり、業務効率化であったりする。これらはセキュリティ対策を導入する際に最優先しなくてはいけない。セキュリティ要件を満たしながら現場にフィットしやすいものが求められる」（瀬戸氏）。

　安定して操業を続けられるということを最重視するのが現場の考え。セキュリティ対策のためにシステムを停止することや、対策ソフトのインストールでシステムパフォーマンスに影響が出ることは現場では受け入れ難いのだ。

　「われわれが提案するのは“予防・検知・駆除”。“予防”のレイヤーはホワイトリスト（アプリケーション制御）と脆弱性対策を組み合わせた『ロックダウン型』で対応し、“検知”と“駆除”はUSBメモリ型ツールで行うという運用スタイルが、製造現場向けのソリューションとして出てきた」（瀬戸氏）。

現場導入の決め手は「使いやすさ」

　製造現場部門でのセキュリティソリューション導入のポイントとしては、

• 導入に手間がかからない
• 管理のための工数を増やさない
• 使いやすい（手順書に組み入れやすい）
• 誤操作を招かない

などが挙げられる。特に「使いやすさ」は、現場にとって重要なファクターだ。

　例えば、トレンドマイクロが先日発表したUSBメモリ型のウイルス検索・駆除ツール「Trend Micro Portable Security（TMPS）2」では、外からスキャン結果が容易に判断できるよう、赤、黄、青のLEDを装備した。トレンドマイクロ 事業開発本部ビジネスマネジメント部マーケティングマネジメント課担当課長代理の釜池聡太氏によると、この機能は現場からの声を反映したものだという。

トレンドマイクロ 事業開発本部ビジネスマネジメント部マーケティングマネジメント課担当課長代理の釜池聡太氏

　「（TMPSの前モデル含め）従来のツールは、情報システム部門を主なターゲットとしていたため、スキャンの結果も管理画面を確認しないといけなかった。これが現場だと、作業の手を止めてモニタの画面を見に行かなければならず、管理工数を増やすことになっていた。新製品はUSBメモリ型本体のLEDの色を見るだけで、結果が分かるようになった」（釜池氏）。

　色は言語とは違って全世界共通なので、仮に現場の技術者が外国人でも色ならすぐ理解してもらえる。「必ず業務の最後にスキャンして色を確認する」という作業なら、手順書にも組み入れやすいというわけだ。

現場と情シスとの協力体制が必要

　現場の技術者は必ずしもセキュリティに精通しているわけではない。課題解決には、情報システム部門と現場部門の協力体制が必要と瀬戸氏は説く。

　「情報システム部門が持つ情報セキュリティの知見を制御システムに活用し、人材育成や統合管理のための協力体制を構築していくことが必要になってくる。現場部門としては、制御システム環境が変化している点を認識する。それにともなってセキュリティ意識の向上が必要。一方、情報システム部門側としては、制御システムの状況把握が必要で、その際に情報システムとは異なるセキュリティ要件があることを理解しなければいけない」（瀬戸氏）。

　このような異なる両部門のナレッジを共有し合うには、残念ながらボトムアップではなかなか難しく、トップダウンでマネジメント層からの力のあるメッセージが必要になってくる。

　「トップダウンがうまく働いた最近のユーザー事例では、トップからの『指針^※に準拠しろ』という明確な指示があったことで全社一体で制御システムセキュリティへ着手できたケースがある。自社の問題だけでない。製造業であればその先にお客がいる。重要インフラであればユーザーがいる。お客さま視点で考えていくと、現場だけに任せるというよりも、きちんと会社の問題、経営課題としてとらえることが必要」（瀬戸氏）。

　

※内閣官房情報セキュリティセンターの重要インフラ情報セキュリティ対策指針

危機を迎える制御システムのセキュリティ対策とは？：「制御システムセキュリティ」コーナーへ

工場やプラントなどの制御システム機器へのサイバー攻撃から工場を守るためには何が必要なのでしょうか。「制御システムセキュリティ」コーナーでは、制御システムセキュリティ関連の最新情報をお伝えしています。併せてご覧ください。