社内にマルウェアが常駐する製造業、セキュリティ対策は何から始めるべきか：産業制御システムのセキュリティ（1/3 ページ）
製造業を取り巻くサイバー攻撃の脅威が増している。サイバーセキュリティ対策を講じる上で意識すべきポイントや課題点は何か。日立ソリューションズ セキュリティマーケティング推進部 部長の扇健一氏に話を聞いた。
製造業を標的としたサイバー攻撃によるセキュリティ被害の報告が後を絶たない。直近では、2020年1月に発覚した三菱電機への不正アクセスに伴う個人情報流出事件が記憶に新しい＊1）。また2016年以降は、ランサムウェアと呼ばれるマルウェア「WannaCry（ワナクライ）」が世界的に猛威を振るい、国内企業でもホンダや日立製作所をはじめ多数の工場が被害を受けている。
＊1）当該問題に関する三菱電機のリリース
こうしたサイバー脅威を前にして、セキュリティ対策を急務と捉える企業も少なくないだろう。これからセキュリティ対策を講じる企業が意識すべきポイントや課題点は何か。製造業をはじめ企業へのセキュリティ関連ソリューションの導入実績を多数持つ日立ソリューションズ セキュリティマーケティング推進部 部長の扇健一氏に話を聞いた。
日本の工場は「セキュリティ能力が低いから」狙われる
MONOist 国内製造業におけるサイバーセキュリティ対策の現状はどのようになっているのでしょうか。
扇健一氏（以下、扇氏） WannaCryや2019年下半期に猛威を振るった「Emotet（エモテット）」などのマルウェア被害に遭って生産ラインに被害を受けた企業は、当然、即座にサイバーセキュリティ対策に着手する。だが、WannaCryなどの被害はメディアで大きく報じられたが、騒動をきっかけにセキュリティ対策を講じ始めたという企業はさほど見受けられない。
むしろ工場のIoT（モノのインターネット）化の取り組みがきっかけでセキュリティ対策を本格化する企業が現状では多い。直近数カ月の話だが、当社でも工場のIoT化に伴うネットワークセキュリティ対策の相談が多く寄せられている。相談内容は「セキュリティ対策をどう進めればいいか」といった曖昧なものから「IoT化を進める上で安全なプラットフォームサービスは何か」など、やや具体性のあるものまで幅広い。
セキュリティ脅威がどれだけニュースで騒がれていても、セキュリティ事故が自社内で発生していない状態では対策を推進する動機が社内に生まれにくいのだろう。一方で、IoT化は業界でも最もホットなトレンドだ。上層部も推進に積極的で、その過程でセキュリティ対策も併せて進めやすいという事情があるようだ。
また東京オリンピックとパラリンピックの開催に伴うテロ対策の一環として、国がさまざまな業界にセキュリティ対策を推進しており、これを契機に工場のセキュリティ対策を始めたという企業もいる。
MONOist セキュリティ被害としてはどのような種類のものが多いのでしょうか。
扇氏 Emotetのようなマルウェアや「トロイの木馬」による被害が一番多い。だが、これらの高度なマルウェア攻撃だけでなく、社内ネットワークを起点としたサイバー攻撃もある。つまりUSBなどを侵入経路として、工場内ネットワークにサイバー脅威が潜在する状況が常態化しているということだ。真偽は分からないが、以前「社内にマルウェアが潜んでいるんだ」と軽い調子で話してくる製造業の担当者に会ったことがある。同様の企業が製造業全体でどの程度存在するかは不明だが、社外ではなく社内を起点とするサイバー攻撃が生じてもおかしくはないように思う。
最近では直接工場の生産ラインを狙うのではなく、IT部門からネットワーク経由して工場のOT部門に侵入するという手口も目立つ。ただマルウェア自体は昔から存在する攻撃手法で、それだけでは一気にまん延する可能性は低い。問題はサポートの切れたOSを使用し続けている工場が多い点だ。Windows XPやWindows 8が現役で稼働しているケースもいまだにある。OS経由の場合、工場内のサーバやPCだけでなく、製造機器やIoT機器などにも被害が広がり深刻だ。
捕捉しておくと、米国やロシア、東欧などの海外諸国では、工場がサイバー攻撃の標的とされる場合、戦争など国家的リスクに関連する企業のOT環境やIoT機器が狙われる例が多い。だが日本は状況が異なる。インフラ系の業務を受注する工場を除くと、単純にセキュリティ能力が低いことで攻撃者に目をつけられやすいというのが実態だ。
Copyright © ITmedia, Inc. All Rights Reserved.