産業サイバーセキュリティとは:工場をインターネットに接続することで生まれる新たなリスク

工場のOTシステムをインターネットに接続すると、本来想定されていなかった攻撃経路にさらされることになります。PLC、SCADAコントローラ、DCSプラットフォームを含むOTシステムは、信頼性と稼働継続を目的に設計されており、セキュリティを前提としていません。多くはパッチを適用すると生産を停止せざるを得ないレガシーOSで稼働しています。また、多くはセグメンテーションのないフラットなネットワーク上で運用されています。ひとたび侵入を許せば、ITシステムから工場フロアへ数分でラテラルムーブメント(水平展開)し、生産ラインの停止、設備の損傷、あるいは安全上のインシデントを引き起こしかねません。本ガイドでは、OT接続に伴う具体的なリスク、基本となるセキュリティアーキテクチャの姿、そしてベトナムの製造業者が運用システムを外部ネットワークに接続する前に対応すべき事項を解説します。

OTセキュリティがITセキュリティと異なる理由

ITセキュリティはデータを守ります。OTセキュリティは物理的なプロセスを守ります。

ITの世界では、システムをパッチ適用のために一時停止し、インシデント後に再起動し、バックアップから復元することができます。OTの世界では、PLCを停止させればラインそのものが止まります。SCADAシステムの再起動には、生産プロセス全体の再稼働が必要になる場合もあります。ダウンタイムへの許容度はほぼゼロです。頻繁なパッチ適用、エンドポイントエージェントの導入、定期的な再起動といった標準的なITセキュリティの手法は、OT環境にそのまま適用できません。

OTシステムは稼働寿命も長いという特徴があります。工場フロアでは、15年前に導入され、この10年間セキュリティアップデートを受けていないOSで稼働するPLCが今も使われていることがあります。こうしたシステムは、そもそもインターネットへの接続を想定して設計されていません。そのセキュリティモデルは物理的な隔離を前提としていました。しかし同じネットワークがERP連携、リモート監視、クラウドへのデータパイプラインといったトラフィックを、生産制御トラフィックと共に流すようになった今、その前提はもはや成り立ちません。

OTネットワークとITネットワークが融合すると何が起きるか

IIoTセンサー、ERP連携、リモート保守アクセス、クラウド型データヒストリアンなど、インダストリー4.0の接続性は、OTネットワークとITネットワーク間のデータ交換を必要とします。この融合は業務上必要なものですが、同時に新たな攻撃対象領域(アタックサーフェス)を生み出します。

ここで問題となるのがラテラルムーブメントです。フィッシングメール、侵害されたベンダー認証情報、あるいはインターネットに公開されたシステムの脆弱性を通じてITネットワークへの侵入に成功した攻撃者は、両者が適切にセグメント化されていなければOTネットワークへと横展開できます。OTネットワークに侵入されれば、攻撃者は生産制御システムへのアクセス権を手にすることになります。

その影響はITの侵害とは質的に異なります。ITシステムへのランサムウェア攻撃はファイルを暗号化します。OTシステムへのランサムウェア攻撃は生産そのものを止めます。攻撃者がプロセスを理解していれば、設備を損傷させたり、安全上の危険を生み出したりするコマンドを実行することも可能です。復旧には時間単位ではなく、日単位、週単位の期間を要します。

実際のインシデントもこのパターンをたどっています。2021年のコロニアル・パイプライン(Colonial Pipeline)攻撃は、侵害されたVPN認証情報から始まりました。2022年のNordexに対するランサムウェア攻撃は、欧州最大級の風力タービンメーカーの一つで生産を停止させました。いずれの事例も侵入口はITシステムでしたが、業務への影響は物理的なものでした。

ベトナムの工場OTシステムに特有のリスク

初めてOTシステムを接続するベトナムの製造業者は、特有のリスクの組み合わせに直面します。

パッチ適用できないレガシー設備:ベトナム製造業の工場フロアの多くは、様々な年代の設備が混在しています。2000年代から2010年代前半のPLCやコントローラは、セキュリティアップデートが提供されていないOSで稼働しています。これらはパッチを適用できず、隔離することしかできません。

フラットなネットワークアーキテクチャ:多くの工場は、セグメンテーションではなく信頼性を重視してOTネットワークを構築してきました。PLCをプログラムするエンジニアリングワークステーションが、社内メールシステムと同じネットワークセグメント上に置かれており、両者の間にファイアウォールは存在しません。

制御のないリモートアクセス:COVID禍で開放され、その後もセキュリティ対策が講じられないまま放置されているリモート保守アクセスは、OTへの侵入経路として最も一般的なものの一つです。多くの製造業者では、多要素認証(MFA)もセッション記録も時間制限もないまま、リモートアクセスセッションが稼働し続けています。

サードパーティベンダーによるアクセス:設備ベンダー、システムインテグレーター、保守請負業者の多くが、OTシステムへの常設リモートアクセス権限を保持しています。それぞれが潜在的な侵入口となり得ます。特定プロジェクトのために付与されたアクセス権が、期限なく開放されたままになっているケースも少なくありません。

OTセキュリティの基本アーキテクチャとは

ISA/IEC 62443規格は、産業サイバーセキュリティの参照フレームワークです。ゾーンおよびコンジット(通信経路)ごとにセキュリティレベルを定義しており、各ゾーンには固有のセキュリティ要件が設けられ、ゾーン間の通信は特定の制御を備えたコンジットを経由します。

実務上、ベトナムの接続工場における基本アーキテクチャには、以下が含まれます。

ネットワークセグメンテーション:ファイアウォールまたはDMZによってITネットワークとOTネットワークを分離します。OTサブネットワークはさらに機能ごとにセグメント化し、生産制御系統をエンジニアリングワークステーションやヒストリアンサーバーから分離します。検査を経ないITとOT間の直接トラフィックは許可しません。
OT専用の監視:一般的なITセキュリティツールは、Modbus、PROFINET、EtherNet/IP、DNP3といったOTプロトコルを理解できません。OT監視プラットフォームは生産を妨げることなくOTトラフィックをパッシブに監視し、プロセス挙動に基づいて異常を検知します。
リモートアクセス制御:すべてのリモートアクセスは多要素認証(MFA)を備えたジャンプサーバーを経由させます。セッション記録を有効にし、常設の認証情報ではなく、セッション単位で時間制限付きのアクセスを付与します。ベンダーアクセスはプロジェクト終了時に見直し、失効させます。
資産インベントリ:すべてのPLC、HMI、コントローラ、ネットワーク機器を網羅した完全なOT資産インベントリを整備します。多くの工場にはこれが存在しません。見えないものを守ることはできません。
OTに特化したインシデント対応計画:生産システムに異常が生じた際、誰に通知するのか。ライン全体を止めることなく侵害されたセグメントを隔離する手順はどうなっているのか。PLCをオフラインにする権限を持つのは誰か。

ベトナムの製造業者がまず取り組むべきこと

OTシステムを外部ネットワークに接続する前に、次の3つのステップを完了させてください。

ネットワークをマッピングする。すべてのデバイス、すべての接続、そしてITトラフィックとOTトラフィックが現在交差しているすべての箇所を特定します。多くの製造業者は、このプロセスの中で未把握の接続を発見します。

接続する前にセグメント化する。インダストリー4.0の接続性を有効にする前に、ITネットワークとOTネットワークの間にファイアウォールまたはDMZを設置します。データはDMZを経由して流れることができますが、直接トラフィックは通しません。

リモートアクセスを監査する。OTシステムへのすべてのアクティブなリモートアクセスセッションを特定します。常設のベンダー認証情報を失効させます。残るすべてのアクセス経路に多要素認証(MFA)を導入します。この一つのステップだけで、最も一般的な侵入経路を排除できます。

この3つのステップに大きなセキュリティ予算は必要ありません。必要なのは時間、正確なネットワーク図、そしてアクセス制御を実行する権限です。

よくある質問

工場のOTシステムをインターネットに接続することのサイバーセキュリティリスクとは?

OTシステムは物理的な隔離を前提に設計されており、ネットワークセキュリティは前提としていません。外部ネットワークに接続すると、PLC、SCADA、DCSプラットフォームは、ITネットワークからのラテラルムーブメント、ランサムウェア、リモートアクセスの侵害にさらされます。その影響はITの侵害とは異なり、生産の停止、設備の損傷、安全システムへの影響につながりかねません。復旧には日単位、週単位の時間を要します。

OTセキュリティとITセキュリティの違いは何ですか?

ITセキュリティは、パッチ適用、再起動、バックアップからの復元が最小限の業務影響で可能なデータシステムを保護します。OTセキュリティは、ダウンタイムが生産損失や設備リスクに直結する物理的な生産プロセスを保護します。OTシステムは長期の稼働サイクルでレガシーソフトウェアを稼働させており、標準的なパッチ適用に必要なダウンタイムを許容できず、ITセキュリティツールが理解できない産業用プロトコルを使用しています。

OTサイバー攻撃におけるラテラルムーブメントとは何ですか?

ラテラルムーブメントとは、攻撃者が最初の侵入口(通常はITシステム)から、生産を制御する対象のOTネットワークへと移動する手法です。ITネットワークとOTネットワークがセグメント化されていない場合、フィッシングや侵害されたベンダー認証情報を通じて侵入した攻撃者は、追加のエクスプロイトなしに生産制御システムへ到達できます。

産業サイバーセキュリティのISA/IEC 62443規格とは何ですか?

ISA/IEC 62443は、産業用制御システムを保護するための国際的な参照規格です。ゾーンごとにセキュリティレベルを定義し、ゾーン間の通信を統制する制御を規定しています。OTセキュリティ評価において最も広く参照されるフレームワークであり、製造業におけるほとんどのICSセキュリティプログラムの基盤となっています。

ベトナムの製造業者は、OTシステムを外部ネットワークに接続する前に何をすべきですか?

外部接続を行う前に取るべき3つのステップがあります。OTネットワークを完全にマッピングすること、ファイアウォールまたはDMZによってITとOTをセグメント化すること、そして常設のベンダー認証情報を失効させ多要素認証を導入するためにすべてのリモートアクセスを監査することです。これらのステップは、大きな予算を必要とせずに、最も一般的な3つの侵入経路に対応します。

利用可能なOTセキュリティ監視ツールにはどのようなものがありますか?

Claroty、Dragos、Nozomi NetworksなどのOT専用監視プラットフォームは、産業用プロトコルを理解した上でOTネットワークトラフィックをパッシブに監視します。シグネチャマッチングではなくプロセス挙動に基づいて異常を検知し、生産を妨げることはありません。標準的なITセキュリティツールはOT環境には適さず、レガシーOTハードウェアに導入すると不安定化を招く場合があります。

次の一歩を踏み出す

Gradionは、ベトナムおよび東南アジア全域の製造業者とともに、OTセキュリティ評価、ネットワークセグメンテーション、ICSセキュリティプログラムの設計に取り組んでいます。まずはネットワークマッピングから始めるために、私たちのチームにご連絡ください。