識者の目

5G時代の産業セキュリティ、サイバー攻撃に強い工場とメーカーとは

ゾーン単位で攻撃を遮断

 連載も今回で最終回。サイバー攻撃に強い工場、サイバー攻撃に強いメーカーになるために何をすればよいのか。論点を整理したいと思う。
 まず工場では、何から始めればよいのか。基本は脅威モデル(サイバー攻撃を行う手口や被害内容のモデリング)の設計にしっかり取り組み、マルウェアの種類によってインシデント検知手法を確認し、緊急時対応と回復シナリオの設計を行うことが重要になる。
 単純にネットワークの監視をすることしか考えていないのは、素人のサイバーセキュリティだ。Wannacryのような感染スピードが早いマルウェアがあるので、インシデント検知したら、通信をセグメント単位やゾーン単位でネットワーク遮断することが基本である。
 クラウド利用もコスト削減を優先するあまり、一つのドメインで全てのサーバー機能を放り込むと、クラウドにマルウェアが入った場合、全滅するリスクが非常に高くなる。
 現場ネットワークとクラウドの間には、制御システム用のDMZ(非武装緩衝地帯)を配置しておくと良い。未知のインシデントを検知してくれるデコイサーバー製品の活用も効果的である。システムの信頼度計算を必ず実施してリスク評価しておくことが必要だ。ログ機能の設置にしてもデータを取り出しやすく、監査・分析を考えた仕様が要る。基本仕様は、ISO/IEC27001(2013年版)やIEC62443規格に準拠できるように採用するべきだ。

ネットワークを業務と開発で分離

 では、サイバー攻撃に強いメーカーになるには、何をしたら良いのか。
 まず、製品開発環境の強化が必要だ。特に、製品開発者のPC1台に業務系ネットワークと製品開発系ネットワークがつながっている場合は、サイバー攻撃側から見ると攻撃のチャンス。PCに侵入して製品開発関係のサーバーへアクセスし、機密情報を搾取するのは容易である。
 対策としては、業務系ネットワークと製品開発系ネットワークを分ける。PCも分ける。ケーブルの色もPCの色も分ける。色を分けることで、間違ってつないでいるのを周りの人間も確認できるようにする。
 また、業務系ネットワークではメールを扱う一方で、製品開発系ネットワークではメールを一切使わないようにするべきだろう。製品開発系ネットワークのサーバーには、CAD/CAM、ソフトウェア開発、構造設計、製品開発スケジュール管理など、製品開発に関する各種サーバーをつなげ、業務系ネットワークには製品開発関連サーバーは一切つながない。
 製品開発ではアウトソーシング先から機密情報が搾取されるリスクもある。対策としては入退出管理システムを設けたセキュアな部屋の用意、Thin Client環境での製品開発、開発ツール環境のクラウド上でのバックアップなどが必要だ。それらができたら、IEC62443―4―1の要件を満たすべく、製品開発プロセスのセキュリティ改善などに取り組む。

サイバー攻撃リスクと企業の信頼

 サイバーセキュリティ対策の必要性を説明すると「顧客からは言われていない」という方がまだ多いようだ。しかし、総務省からIT機器の防衛機能が求められ、経済産業省からサイバーセキュリティ経営ガイドラインも出されている中、「従来の製品で良いよ」という顧客は、いつかはサイバー攻撃を受けて企業信頼を失うリスクが高いのではないか。経営リスク低減のためにも、将来ビジョンを見据えた顧客の開拓を忘れないようにしてほしい。
 また、メーカーが「自社でサイバーセキュリティ対策改善をした」と言っても信用されにくいため、第三者認証を取得して証明書を取得し、客観的信頼を積み上げていくしかない。ISO27001の最新対応とIEC62443―4―1認証/ISA Secure SDLA認証取得を目指すべく、企業体質を改善するべきだ。これらの認証が取得できたらIEC62443―4―2/ISA Secure EDSAの製品認証に取り組むことが必要である。

ICS研究所 代表取締役社長 村上 正志 氏 (日本OPC協議会顧問、VEC事務局長)

長崎県出身、1955年生まれ。火力発電プラントのシステムエンジニア、生産・製造工場のサイバーセキュリティ改善から制御製品のセキュリティ認証経験やICS︱CERT対応などを経て、2015年にICS研究所を創設し、制御システムセキュリティ対策e︱learning教育ビデオ講座コンテンツを開発した。1999年にVEC(Virtual Engineering Company & Virtual End-User Community)を立ち上げ、事務局長として多数の製造現場向けセミナーを開催。2011年には経済産業省「制御システムセキュリティ検討タスクフォース」委員会のステークホルダーも務めた。