日立の工場IoTセキュリティサービスはBCPから、「WannaCry」の経験が生きる：産業制御システムのセキュリティ

日立製作所は、東京都内で開催した「日立セキュリティフォーラム2019」の展示コーナーで、工場IoTセキュリティに関する提案を行った。

[朴尚洙，MONOist]

　日立製作所は2019年6月11日、東京都内で開催した「日立セキュリティフォーラム2019」の展示コーナーで、工場IoT（モノのインターネット）セキュリティに関する提案を行った。

　展示は、同社がこれまで展開してきた「現状把握」「多層防御・検知」「運用・対処」という3つのステップに分かれている。これらのうち「現状把握」のステップでは、事業の継続性を重視したリスク分析を実現するコンサルティングサービス「工場向けサイバーBCPリスクアセスメント」の提供を同日から始めた。

「日立セキュリティフォーラム2019」における工場IoTセキュリティの展示。右から、「現状把握」「多層防御・検知」「運用・対処」の順に並んでいる（クリックで拡大）

　国内製造業の工場では、IoTやAI（人工知能）活用に向けた取り組みが進みつつある一方で、サイバーセキュリティについてはなかなか導入が広がらない状況にある。日立の工場向けサイバーBCPリスクアセスメントは、工場のサイバーセキュリティ以前に、BCP（事業継続計画）の観点で発生したら事業継続が困難にある事象を洗い出していくことが特徴だ。日立製作所 制御プラットフォーム統括本部 大みか事業所 サービス・制御プラットフォームシステム本部 制御セキュリティ設計部 グループリーダ主任技師の山田勉氏は「工場のサイバーセキュリティは、どこから手を着けていいか分からないことが最大の悩みになっている。そこで日立としては、工場のセキュリティ対策の最大の目的は事業を止めないことであると考え、BCPの観点から現状把握を始めた上で、その結果として必要なセキュリティ対策を提案することにした」と語る。

　今回のサービスにおいて、日立はなぜBCPの観点で現状把握から始めようとしているのだろうか。「日立は制御システムを開発、提供するベンダーだが、自社の工場については制御システムのユーザーでもある。だからこそ制御システムが止まることの問題の大きさを強く認識している。そして何より、ランサムウェア『WannaCry』の被害により、一定のセキュリティ対策があったにもかかわらず、事業継続が困難になるという経験を得たことが大きい」（山田氏）という。

　工場向けサイバーBCPリスクアセスメントで現状把握ができ、サイバーセキュリティを含めて何をすべきかが分かれば、それを実現するための候補を網羅的に示し、顧客に選んでもらうことになる。山田氏は「例えば、設備面でコストを掛けられない場合は、人員の運用やルール構築を中心に、新たな設備導入を一部に抑えて対応することもできる。日立には、産業制御システムセキュリテイの国際標準であるIEC 62443などについて高い専門性を有するコンサルタントがいるので、適切な提案ができることも強みだ」と説明する。例えば、山田氏自身は、IEC 62443の規格策定における日本代表であり、同規格の認証基準を策定するIECEE CMCのエキスパートも務めている。

　また、顧客の工場のセキュリティレベルを診断やすくするため、日立の自社工場で策定、運用しているセキュリティガイドラインのノウハウを反映した診断ツールも提供している。この診断ツールも、IEC 62443やNIST（米国立標準技術研究所）サイバーセキュリティフレームワークに準拠している。

　日立の工場IoTセキュリティサービスは、社内の採用事例を含めて既に十数件の提供実績がある。今後は、工場向けサイバーBCPリスクアセスメントなどをてこに、2021年度までに50件の採用を目指す。山田氏は「工場へのサイバーセキュリティ導入では、最初から100点を求めるのではなく、50〜60点で構わないのでまずは取り組みを始めてほしい。そして次の年の目標は55〜65点にするなど、着実に高めて行くことが重要だ。確かに最初は現場の抵抗は大きいかもしれないが、始まりさえすればその後は意外と受け入れられる。いつまでも始めないよりも、まずは始めることを考えてほしい」と述べている。

「運用・対処」のステップでは、2017年11月に設立した「新セキュリティ監視センター」による監視サービスや、不正アクセス防止が可能な一方向中継装置「NX Oneway-Bridge」、未許可の不正端末を検知しネットワークから排除する「NX NetMonitor」、工場におけるマルウェア侵入の最大の要因になっているUSBメモリの接続を管理する「NX UsbMonitor」などを展示していた（クリックで拡大）