製造業の情報セキュリティ対策

モノがインターネットと繋がる IoT は注目のキーワードとされています。製造業においてはスマート工場化により、生産性や品質管理の向上に寄与する事例も広まっています。一方、スマート工場には製造業特有のリスクが潜んでいます。

IoT 機器に対するセキュリティ意識

PC やサーバー等、重要データを保存している情報機器の脆弱性に対する認識は高まってきました。Windows やウィルスチェックソフトのアップデートはほとんどの人が行っていることでしょう。一方、重要データを保存してはいないがネットワークに繋がっている機器、いわゆる「IoT 機器」に対しては、いまだセキュリティ意識が高まっているとは言い難い状況です。

一例を挙げると、2016 年に Mirai というマルウェアが猛威を振るいました。これは Web カメラ（観光地の映像や防犯に使っているもの等）を主とする IoT 機器のうち、設定が甘く脆弱性があるものに感染し、そこを踏み台にして一斉に攻撃をするというものです。
この Mirai を利用したサイバー攻撃では、数十万台の IoT 機器が踏み台にされたと言われ、大手 DNS プロバイダーが狙われた事例では、世界的に大きなアクセス障害が発生しました。
これも IoT 機器にも脆弱性が存在するということを意識しない現状がもたらしたものです。

スマート工場の考え方

スマート工場とは、工場の監視や制御のシステム機器を、相互に関係させることで部品調達の効率化や省電力化などの生産効率向上、また故障予測や耐用予測などの品質管理向上を実現させるものです。
このために最低限必要なものが制御システムの IoT 化です。そして、これが今までの工場のセキュリティ概念を変えてしまう要因なのです。

制御システムの脆弱性対応パッチの扱い

制御システムとは他の機器やシステムを管理し制御するシステムのことです。工場のラインには、それぞれの機械の組み込みシステム等、多数の制御システムが使われています。

事務で使う PC は、何らかの理由で起動しなくなったとしても、それ 1 台の問題なので、極端な話別の事務用 PC を用意すれば代替が可能です。しかし、工場で使われている制御システムは独自開発したプログラムも多く、代替システムを持っていないケースの方が多いと思われます。そのうえ 1 つでも止まるとライン全体が止まってしまいますから、企業に大きな損害をもたらすことになります。

一般の PC は、「情報が漏れないこと」（機密性）を最優先に考慮しますので、OS 等のセキュリティパッチが公開されれば、すぐに適用させることが普通です。一方、工場機器の制御システムは「止まらず使えること」（可用性）が企業としては最重要となります。

そのため、たとえ脆弱性が公表され、セキュリティパッチが出たとしても、それを適用することにより、システムが止まる可能性が大きなリスクとなります。セキュリティパッチを当てるには、適用して問題が無いか、いちいちテストをしなければなりません。そうしないと、制御システム独自のプログラムとセキュリティパッチの相性により、ラインがストップしてしまうかも知れないからです。

今までは工場内の制御システムはインターネットと繋がっていませんでした。ですから USB メモリ等の物理媒体を使いでもしない限り、既存の脆弱性を攻撃することはできませんでした。
そのため、システムに脆弱性が存在していても、止まらないことを優先し、セキュリティパッチを当てない方が妥当な選択でもありました。

しかし、インターネットと繋がる IoT 化されたスマート工場では、止まるリスクを考慮してもセキュリティパッチを当てるのか、止まるリスクを避けて脆弱性が存在したままの制御システムで何か別途のセキュリティ対策を立てるのか、の選択をしなければなりません。そうしなければ、「工場のラインを止める」攻撃を狙われる可能性が出てくるのです。

このような現状は国も憂慮しており、独立行政法人情報処理推進機構（IPA）では、IoT セキュリティに関する専用ページを設け、啓発に努めています。

工場のネットワーク化、スマート工場化は製造ラインの監視や最適化等、数々のメリットがあり、推進すべきであることは間違いありません。とはいえ、セキュリティの観点を疎かにすると、大事故に繋がりかねないことも事実です。
様々な機器がネットワークに繋がっていくこの時代、製造業であっても、サイバーセキュリティは「良くわからない」では済まされなくなっているのです。