EN

NRIセキュア ブログ

工場セキュリティ概論~オフィスネットワークと産業用ネットワークの見えない壁~

目次

    Secure SketCH_工場セキュリティ概論

    工場セキュリティでは何が課題になっているのか?
    全4回に渡って「工場・プラントの制御システムのサイバーセキュリティ対策の必要性」についてお伝えします。

     

    第1回となる今回は、昨今工場に対するサイバー攻撃の脅威が高まり、セキュリティ対策強化を検討される企業が増える中で、多くの企業が直面する課題とは何か?その裏にある見えない壁について解説します。

     

    工場セキュリティ強化実践のポイント:3つの悩みと解決策

     

     

    なぜ、いま工場ではサイバーセキュリティ対策が必要なのか

     みなさんは「情報セキュリティの侵害が社会問題になった」というと、真っ先に何をイメージされますか?おそらく個人情報漏洩など、センシティブなものが棄損されることやそれを巡る莫大な補償の発生、身近なサービスが停止になって困ったなど、自身にとって影響のある事件をイメージされると思います。

     

     「どこかの国で原子力発電所が攻撃された」、「工場の生産ラインがランサムウェアに感染して生産停止となった」、「海外で自動車の大きな脆弱性が発見されリコールになった」といった話も耳にはされると思いますが、これまで直接自身に影響が及ぶことが少なかったことから、あまりピンとこないところがあると思います。

     

     こうした背景から、これまでコンピュータや情報通信などオフィスネットワークを中心に「OA系分野へのサイバーセキュリティ対策」が急速に進んできたことは皆様ご承知の通りです。

     

     この場面では主に「社内の情報システム部」が主体となって対応を行ってきました。システムの機能や性能、データ、通信などを正常に保つため、サイバー攻撃(内部・外部からの不正アクセスやマルウェア感染、DDoS攻撃、フィッシング、盗聴、改ざん、なりすましなど)による被害の発生を防ぐための取り組みや、有事の際の対応態勢の整備・CSIRTの構築など、多くの企業がすでに取り組んでいるものです。

     

     対して制御機器やセンシング機器を接続してデータをやり取りする産業用ネットワークは、もともとオフィスネットワークとの接続がされるポイントは少なく、独自のOSや通信プロトコルで構成されてきたことから相対的にサイバーセキュリティ上のリスクは少ないと考えられてきました。

     

     しかしながら、最近では主に以下のような理由から、産業用ネットワークにおいてもセキュリティ対策に無関心でいられなくなる状況となっています。

    • TCP/IPの利用
      Windows などの汎用OS、TCP/IPなどの標準プロトコルが使われ、オフィスネットワークと接続されることが多くなってきた
    • 産業用ネットワークの情報をオフィスネットワークで分析
      スマートファクトリー構想など制御システムから得られたデータをオフィスネットワークを経由して外部に連携し、分析結果を再びオフィスネットワークのI/Oを通じて制御システムにフィードバックするなど、外部とのI/Oが発生する機会が増えてきた
    • シャドーITの利用
      だれでもが安く・手軽にWi-Fiをはじめとした機器を導入することができ、いわゆる「Shadow IT(OT)」が工場や制御システムの現場執行部門にも見受けられるようになってきた

     こうした背景から、これまで本腰を入れて対応してこなかった(対応する必要がなかった)製造部門・制御システム部門でもまず何かをしなければならないわけですが、工場の現場執行部門には、サイバーセキュリティに対する知見が不足している状況にあります。手探りで始めるのではなく、手始めに情報システム部門がオフィスネットワーク向けに策定した「サイバーセキュリティルール・ガイドライン・対策」を参考に対策を進めることに決めるといったアプローチをとられることが多いようです。

     

    新規CTA

    3つの「見えない壁」

     しかしながら、これまでご支援してきたお客様に尋ねると、このアプローチを進める中ですぐに直面する「壁」が出現するといいます。

    その1. ITの常識はOT(PA・FA系)には通じない

     まずひとつ目は、「ITの常識はOT(PA・FA系)には通じない」ということです。

     OTとは、Operational Technologyの略で、直訳すると「運用技術」、ここでは工場のハードウェアを制御・運用するためのテクノロジーのことを言います。


     さらに工場のオートメーションはFAとPAに分けられ、ざっくり次のように説明できます。

    • FA(Factory Automation)とは
      組み立て産業または機械産業向けの工場のOTを制御する仕組みのこと。コントローラとしてPLC(Programmable Logic Controller、シーケンサ)を使う。
    • PA(Process Automation)とは
      素材産業向けの、原料を蒸留、合成、精製して製品を作るオートメーションで、石油化学製品や精製品が挙げられる。主にDCS(Distributed Control System)を使う。

     産業用ネットワークはFAとPAのそれぞれで発展し、それぞれに取り扱う信号や求められるレスポンスタイムの長短などの特徴がありますが、ここでは割愛します。

     工場やプラントの制御システムでは、リアルタイムな動作や中長期にわたる連続運転を求められます。人の安全を確保しながら可用性を重視することもあり、生産設備や製造工程への影響を最小限にしたセキュリティ対策を行う必要があります。


     「サイバーセキュリティリスク」を所掌する部署が情報システム部である場合、工場やプラントについて実態を把握できておらず、オフィスネットワークと同様のセキュリティ対策を進めることには工場やプラントの所掌部門から「現場がわかっていない」との厳しい反応があることが多いとされます。


     たとえば、ウイルス対策ソフトを制御NWに導入したことで処理CPU・メモリに負荷が生じ、上記に示したリアルタイムな動作制御へ悪影響を及ぼす可能性が生じます。セキュリティパッチを適用することで必要なサービスが更新され、結果として稼働が停止することもあり得ます。

     

     筆者がご支援したある工場(FA)では、マルウェアに感染していることが分かった場合も、「仮に保菌していても発症しないのであれば、殺菌しなくてよい。発症しないような方法を教えてほしい。」といったこともありました。

     

     また、「構成管理」はITやPAの常識からは当たり前に求められますが、工場(FA)では「ライン変更や装置交換などが頻繁に行われ、管理台帳や図面に追い付かない、ずれが生じたまま実態は現確すること以外にない。どこに脆弱性のある機器・システムがあるかわからないが、現場の稼働コストを割いても特定が必要か」との話もありました。

    オフィスネットワークのサイバーセキュリティ対策の常識つまり、ITの常識はそのままOTには通用しない」これが1つ目の壁です。

     

    ITにおけるセキュリティ対策の常識はOTには通用しない

    その2. 踏み込めない聖域

     

     2つ目の見えない壁は、「業務所掌」です。
     製造部門や制御プラントは情報システム部の担当役員の所掌・責任と異なるため、情報システム部は介入できないし、してこなかった、「聖域になっている」という話が聞こえてきます。


     CISOが製造部門・制御部門のいずれも所掌している例は、これまでご支援したお客様にはほとんどありません。ITはわかってもOTはわからない、あるいはその逆なので、「どうもまずそうだ」と気にはなっても積極的には踏み込めないようです。

     

     製造業・プラント事業では、まさに工場・制御システムの稼働、製造ライン・供給ラインを動かし続けることこそが利益の源泉であり、そこにコーポレート部門が踏み込むこと・踏み込まれることへの抵抗感、コーポレート部門からみての遠慮・躊躇は相当なものがあるようです。


     それでもうまく取り組めている企業は、かなり上位の経営層(例えば副社長)が情報セキュリティリスク・サイバーセキュリティリスクを管掌しており、トップダウンで双方に情報セキュリティの重要性を訴えかけ、協調して対応するよう指示・モニタリングをおこなう動きが取れている企業です。


    業務所掌・役員管掌のまたがりによる踏み込めない聖域の存在」これが2つ目の壁です。

    その3. 安全第一

     3つ目の見えない壁は、「安全第一」が徹底していることです。
     工場・制御システムはオフィスネットワーク機器・システムに比べて一般的に長いライフサイクルにあります。現場に往査すると、Windows CEはまだまだ現役で稼働していますし、PC9801までが稼働している状況が見受けられます。


     オフィスネットワークでは、特に重要なシステムには開発環境等でテストを重ね、適用環境も冗長化されるような配慮がされています。しかしながら、制御システムでは個々の仕組みが高価である場合や安価なものを含めた多数の部品からなるものもあり、冗長する仕組みはあくまでも「稼働を継続すること」を目的にしたものです。

     

     筆者がご支援したお客様の大半では、工場にはセキュリティパッチの適用テストを目的とした環境はなく、結果本番環境の稼働冗長性が担保できなくなるため、パッチを適用することによる影響が見えないなかで適用することは難しいということが多くありました。

     

     工場・制御システムにおける情報セキュリティの考え方、「何を重要視するか」は、まず第一に「可用性」であり、情報セキュリティの構成要素からは一旦外れる「安全性」にあるといえます。たとえ古いものでも、安定して安全に稼働している、生産できている、制御できているのであれば、よほどの理由がない限りは手を入れない、「安全第一」「稼働第一」というのが軸となる考え方といえます。

     

    工場セキュリティ_安全第一

    おわりに

     第1回目の連載では、オフィスネットワークと産業用ネットワークの象徴的な3つの「見えない壁」を取り上げました。
     ここでお伝えしたかったことは、これまでのオフィスネットワークへのサイバーセキュリティ対策の常識をそのまますべてを適用できるものではありませんが、対策内容や組織・制度設計を見直し、工場に当てはめてアレンジ・準用していくこと、相互に理解を進めていくこと、経営の理解が進め方のポイントになるということです。

     次回は、工場における具体的なセキュリティ対策を進める上でのポイントについてお伝えしたいと思います。


    ◇シリーズ:【徹底解剖】工場セキュリティ

     

    第2回 工場セキュリティ対策のポイント(前編)|”現状把握”が最初の一歩

     

    第3回 工場セキュリティ対策のポイント(後編)|ポイントは「構成情報管理」の効率化

     

    第4回 工場セキュリティ実践編|サイバー攻撃はネットワークで検知せよ

     

     

     

     

    新規CTA