高まる製造業のセキュリティリスク。製造ラインなどのセキュリティ対策は？

産業社会へ新たな警鐘

2018年3月、IPA（独立行政法人 情報処理推進機構）から、「制御システム セーフティ・セキュリティ要件検討ガイド ～安全関連システムのセキュリティ向上にむけて～」（以下、「要件検討ガイド」）と題したドキュメントが公開されました。

国のIT施策に深く関わるIPAでは、社会の情報化が進む流れの中で、"節目"となる動きを、このようなガイドや報告書の形に集約しています。そこでこの情報を起点に、産業社会の新たなセキュリティリスクを考えてみましょう。

深刻なダメージを引き起こす制御システムへの攻撃

IPAが発信した「要件検討ガイド」の内容を短くまとめると、"社会インフラを中心とした制御システムのセキュリティリスクとその対策"です。

エネルギーや交通網、金融、企業の生産・物流など、社会の重要なインフラは、ソフトウェアを含む制御システムが支えていますが、近年の情報化の進展によってセキュリティリスクが増し、安全対策が急務になってきました。

日本ではまだ大きなセキュリティインシデントは起きていませんが、海外では制御システムへのサイバー攻撃が社会に深刻な打撃を与えています。2014年にはドイツの製鉄所で溶鉱炉が損壊する事件、2015年と2016年にはウクライナで大規模な停電につながる事件もあり、国内でも大きく報道されました。

主な制御システムに対するセキュリティインシデント

「ICS」のセキュリティ対策が急務

産業用制御システムを一般に、ICS（Industry Control System）と呼んでいます。社会インフラのような巨大なシステムだけでなく、製造ラインを持つ企業にとっても、ICSがサイバー攻撃に遭うと、企業秘密や顧客情報の流出と同等か、それ以上の深刻な打撃を受けかねません。製造ラインのストップ、設計情報の流出、機器の誤動作による事故など、安全にも関わる事態を引き起こすからです。

IPAの「要件検討ガイド」は社会インフラ系の大規模なシステムを中心に採り上げていますが、この警鐘はICSを運用するすべての企業に当てはまるものです。以下では、ICSに対するセキュリティリスクをもう少し具体的に見ていきましょう。

製造系と情報系は分離していた

企業の製造ラインには、1980年代に入った頃から、業種や事業規模を問わず、コンピュータの導入が急速に進み、それらはLANで接続されていきました。この時期からオフィス業務にも、PCなどの情報機器が浸透していきますが、製造系とオフィス系のLANが直接つながることは、あまりありませんでした。

分離していた理由として、製造分野では何よりも安定稼働を優先し、オフィス系はデータの加工のしやすさや相互利用できる機能を重視するなど、業務の性質やニーズの違いがありました。また、製造系はクローズド（閉域）で、多くは自社で構築した独自仕様の制御ソフトを軸に運用していた点も挙げられます。

製造部門にもオープンシステムが浸透

ICSの多くはクローズドの環境で稼働してきましたが、時代が進むにつれて、オフィス系の情報システムやインターネットとの接点が増えてきました。製造部門でも、業務で発生する情報を効率的に管理する目的で、ERP（基幹系業務システム）やデータベース、メールなどの業務アプリの導入が進んだからです。

閉域で運用していたシステムが、インターネットのようなオープン環境、Windowsのような汎用OSとつながる場合、重視しなければならないのは、当然ながらセキュリティです。製造分野における物理的な資産や工程を守る対策に加えて、情報をガードする施策が急務になったのです。

なお、IPAの「要件検討ガイド」では、便宜上、前者を「セーフティ」、後者を「セキュリティ」の表現を使って区分しています。

クローズドではない製造現場

製造部門の情報セキュリティ対策を進める上での課題として、「要件検討ガイド」では、製造と情報システムの双方に精通した技術者が少ない点や、ICSの情報セキュリティ対策の具体的な方法が分からないなどが挙げられています。

もう一つは、製造業の方々には、自社のICSはクローズドという"先入観"があるように感じています。確かに、製造現場にはWebサーバーやメールサーバーなど、インターネットに直接つながる機器はないかもしれません。しかし、ICSの多くは社内LANにはつながっていて、LANは外部とのゲートウェイ（接点）があるはずです。

POSにもマルウェアが巣くう

分野は違いますが、数年前、米国の大手流通企業で、社内LANの"穴"を突かれて、大量の個人情報が漏えいした事件が起きました。POS（販売時点情報管理）システムにマルウェアが仕掛けられ、クリスマス商戦の最中、攻撃者のコンピュータにカード番号を含む個人情報が転送されていたのです。

POS自体はインターネットに接続されていないとしても、売上データの転送などでLANにはつながっていたはずです。攻撃の詳細までは明らかにされていませんが、社内LANのどこからかマルウェアが侵入し（起点は空調業者のログイン情報の漏えいとされる）、脆弱性を残していたPOS系のサーバーに潜んだと推測されています。

ターゲットはICSからIoTへ

POSを狙ったような攻撃は、製造分野にも及んできます。インターネットやWindowsなどの汎用的な環境が拡がる一方、製造現場のシステムの多くは、サーバーソフトなどに比べると脆弱性情報も少なく、マメなメンテナンスが困難という性質があります。安定稼働を優先する製造分野では、システムのライフサイクルも長く、改修なしで数年運用するケースは珍しくありません。

もう一つの"不安要素"は、IoT（Internet of Things）です。IoTの進展によって、ICSの基幹システムと情報系のシステムに加えて、設備管理、防犯システム、各種センサーなどがネットワークにつながれていきます。

制御系や防犯システムにつながるデバイスは、リソースの制限からウイルス対策ソフトなどの搭載が難しいケースも多く、攻撃者にとっては格好の"穴"になるリスクを抱えてしまうのです。

現場が取りうる対策は？

オープン化とIoTが進展する製造現場が考えるべき対策は、まず情報セキュリティの面では、やはり基本に立ち返ることです。例えば、「エンドポイントセキュリティ」や「メールセキュリティ」の強化といった基本的な対応の見直しは欠かせません。

特に、データの暗号化やコンピュータの起動に必要なファイルを破壊してシステムを利用不能にし、復元するための「身代金」を要求する「ランサムウェア」は、製造分野でも警戒すべき攻撃とされています。攻撃者にとっては、製造現場はシステムのロックなどの実害を与えやすい環境であるからです。

IoT環境には強固なガードを

製造現場が取りうるもう一つの対策は、ICSの安全強化です。繰り返しますが、ICSへのサイバー攻撃は、製造ラインのストップや安心安全に関わる事態を引き起こします。

前半でも簡単に触れましたが、海外ではサイバー攻撃による深刻な事件が多発しています。2010年にイランの核施設でウラン濃縮用の遠心分離機が機能不全に陥った事件の原因は、外部からの不正アクセスではなく、内部職員を介したUSBメモリに入ったマルウェアとされています。

交通標識や電子看板などが書き換えられる事件は頻繁に起きており、国内においても表面化しないだけで、これに近い事案は発生していると推測できます。影響が企業内に止まる"軽微"な犯罪は、サイバー攻撃と気づかないケースもあるかもしれません。

今後、拡張が予想されるIoT環境に対する"穴"を作らないためには、ファイアウォール機能の点検と強化、そして情報システムの状況をリアルタイムに分析する「SIEM（Security Information and Event Management）」のようなソリューションが有効です。

管理態勢の確立を

システム面に加えてもう一つの対策は、企業全体の安全管理体制の確立です。IPAでは「要件検討ガイド」の公開時に、「基本編」と「ケーススタディ編」として、ガイドブックの形で発表しています。以下のような内容を含み、安全管理体制に関する記述もありますので、必要に応じて参照してみてください。

・セーフティ＆セキュリティ検討の基本的な考え方
・セーフティ＆セキュリティ検討のプロセス
・ガイドを産業別に適用する際のポイント
・国内工場における稼働中のシステムをモデルにした解説

＜参考＞独立行政法人情報処理推進機構 ソフトウェア高信頼化センター(https://www.ipa.go.jp/sec/reports/20180319.html)