国内の産業用制御システムは本当に安全か「海外の事例は対岸の火事ではない」：産業制御システムのセキュリティ（1/3 ページ）

海外に比べ、国内の産業用制御システム（ICS）はセキュアなネットワーク構成を採用していることもあり、マルウェア感染をはじめとするインシデントが発生することはほとんどなかった。しかし、この現状に甘んじることなく、インダストリー4.0などのトレンドで外部と接続されることも視野に、対策を検討してほしいとJPCERT/CCは呼び掛ける。

[高橋睦美，MONOist]

　2015年12月、ウクライナの発電所のシステムが不正アクセスを受け、数時間にわたって停電が発生した事件に示される通り、一般的なITシステムだけでなく、産業用制御システム（ICS：Industrial Control Systems）をターゲットにしたさまざまなセキュリティインシデントが発生している。しかし幸いにして、日本国内ではセキュアなネットワーク構成を採用しているためか、サイバー攻撃やマルウェア感染が原因となって制御システムがトラブルに陥ったケースは、今のところ報告されていない。

　ただしこうした状況は、国内企業がICSに対するサイバー脅威を差し迫った問題として捉えず、情報収集にもそれほど積極的ではないという現状を招いているようだ。JPCERTコーディネーションセンター（JPCERT/CC）が2016年11月15日に公開した「2015年度 制御システムセキュリティに関するアセットオーナ実態調査について」からは、そんな状況を読み取ることができる。

　この調査は、JPCERT/CCの制御システムセキュリティ対策グループが、ICSのアセットオーナーのセキュリティに対する認識や対策状況を把握し、ICSのセキュリティ対策を促すことを目的に実施したものだ。2015年11月〜2016年2月の4カ月間にかけてアンケート郵送方式で実施し、必要に応じて電話でのヒアリングや直接取材を行った。

JPCERT/CCの河野一之氏

　調査では、国内の制御システムを所有するアセットオーナーである2308の企業／組織にアンケートを郵送し、26業種／318の企業／組織から回答を得ることができた。従業員規模で見ると300〜1000人の企業／組織が回答の8割を占めており、比較的規模の大きな企業や組織から回答が得られたことになる。

　ICSの利用状況を確認すると、PLC（Programmable Logic Controller）が95.5％、SCADA（Supervisory Control And Data Acquisition）ソフトウェアが15.4％、DCS（Distributed Control System）が19.8％利用されている。また拠点間ネットワーク接続には専用線を用いている企業／組織が35.8％、IP-VPNを採用しているのが14.8％、広域イーサネットが6.6％という結果で、「比較的セキュアな回線が使われていることが分かる」（JPCERT/CC 制御システムセキュリティ対策グループ 情報セキュリティアナリスト 河野一之氏）。また、遠隔からのプラント監視や操作の可否について尋ねたところ、「できない」ようにしている企業／組織が78.6％に達しており、これも国内のICSが比較的安全だと考えられている理由の1つと言えそうだ。

PLC、SCADAソフトウェア、DCSの使用状況（複数回答）（クリックで拡大） 出典：JPCERT/CC

拠点間接続方法（複数回答）（クリックで拡大） 出典：JPCERT/CC