「ゼロトラスト」時代の産業向け IoT 機器のセキュリティ管理とは

「ゼロトラスト」が 2020 年に入って急速に注目されてきている。その理由はいくつかあるがビジネスシーンでは（１）BYOD の普及、（２）クラウドサービスの普及、（３）テレワークの普及などがあげられる。従来であればオフィスなど物理的な場所とサイバーセキュリティを施す場所が同一であった。しかし、コロナ渦では場所を選ばないクラウドサービスの普及、1 人の人間が複数のデバイスを用い複数のサービス（リソース）にアクセスする事で生産効率性向上を行ってきており、これらの状況変化において従来の境界セキュリティでは対応が難しくなってきている。

そもそも、「ゼロトラスト」とは、社内外のネットワークを区別せず、信頼しないことを前提として、すべての接続者、接続端末に対してアクセス認証を行い、毎回セキュリティレベルに達しているのかを検査することでセキュリティを担保する考え方だ。

近年、製造業を中心に IoT システムの導入が急速に増え、産業 IoT においてもセキュリティ対策が強く求められるようになっている。産業向け IoT 機器においても「ゼロトラスト」が有効となる背景を製造業を例に解説する。昨今の製造業では以下のような工程が一般的になっている。

生産効率を向上させるため自動化が普及
生産現場の可視化のためデータを収集・分析・管理を行い
生産計画へ反映

これまで産業 IoT において定説となっているサイバーセキュリティは、" インターネットにつながない。" という対応方針をとっているお客様が多かった。近年は生産現場でのデータ活用が進み、IoT システムの導入が加速している。また、弊社で提供している情報システムの「脆弱性診断サービス」で実際に発見された事例として、情報システム部門が把握していないところで現場作業者がデータ把握のため独自のデータネットワークを追加していたり、アクセスポイントを設置しデータをクラウドに送信しているケースがあった。現場では作業効率の向上に対して常にプレッシャーを受けており、データ収集、分析に対する時間効率を向上させていく意欲があるため現場改善対応としては当然起こりえる行為であるが、サイバーセキュリティ攻撃者にとっては絶好の標的となる。

過去に公表されている建物などを対象にしたサイバー攻撃事例を下記に示す。

では、なぜ建物設備などの産業制御システムがサイバー攻撃に狙われるのか紐解いていく。設備導入要件に対する優先順位について、一般的な（IT）システムでは（C・I・A）であるのに対して、産業制御システム（OT）では（A・I・C）であり優先順位が真逆である。

さらに、攻撃者から見た産業設備の特徴として

常時接続：365 日 24 時間運転接続
脆弱性：セキュリティ対策が不十分な機器が多い
低コスト：IoT 機器のボット化は PC などよりも費用対効果が高い
管理者不在：無人環境で使われるケースが多い。所有者スキルに依存し、脆弱性対策などに対する保守が不完全なケースが多い。
長期利用：いったん設置されると長期利用されるケースが多く、利用後もネットワーク接続したまま放置されるケースも多い。

がある。
また、攻撃者の資金獲得源としてはランサムウエアであることが多く、攻撃被害者は工場停止もしくは身代金支払いの二者択一に迫られる。攻撃者としては、システムの中で最も脆弱な機器一つを停止させれば運用停止に追い込むことが可能で、攻撃者側に有意な環境が OT 側には多数存在する。

では、産業制御システムではどのような攻撃手段があるのかをご紹介する。

産業制御設備に対するサイバー攻撃手法として一般的なものは物理的な不正侵入である。外部からの攻撃は多くの企業で適切に運用されており、外部からそのまま侵入することは非常に困難であるといえる。
しかしながら、一旦施設の内部に入られてしまうと脆弱な状況になっている。攻撃者にとって最も簡単なアクセスは内部ネットワークに直接接続できるアクセスポイントを探すことになる。保守用の USB ポートに携帯電話を接続するだけで簡単にアクセスポイントが構築できる。またマルウェアの移植については、作業用保守 PC などにいったん侵入し、USB などで産業制御システムのアップデートを行う際にそのまま感染させるケースが IPA などでも報告されている。それほど各設備がネットワークに接続されたときに脆弱な状況なのである。

第二章では、サイバー攻撃などのリスクに対する政府対応・産業界対応などについて述べる。