製造業サプライチェーン向け 工場セキュリティ対策ハンドブック

製造業サプライチェーン向け 工場セキュリティ対策 ハンドブック 1

近年の製造現場では、これまで以上にデジタル化の取り組みが進み始めています。 コロナ禍の影響や、SDGs/ESGの流れを受けた市場の変化により、作るモノや作り方、 モノと繋がるサービスの在り方も変化し続けています。この様な環境の中で、製造現 場におけるデジタル化は必然となっています。 一方、製造現場のデジタル化は、生産ラインからの得られた情報（データ）を活用する ことで実現されますが、そのためには様々なデバイスやシステム、人を繋げる必要が あります。この状況は、新たなセキュリテリスクを生むことになり、近年工場やサプラ イチェーンを狙ったサイバー攻撃が増加しています。 デジタル化を進めるには、データの流通を高めるためのデジタルインフラ整備と合わせて、 セキュリティ対策を行うことが求められています。 本資料は、現在の製造現場（工場）に求められるデジタルインフラとそのセキュリティ 対策について、実装方法の考え方を示すハンドブックとなります。 Contents 工場セキュリティ施策検討のポイント 6 今できる工場サプライチェーンセキュリティ対策11 生産設備ネットワークセキュリティ強化施策17 工場でのインターネットクラウド活用に向けたセキュリティ施策22 事例26 2

製造現場のデジタル化 COVID-19以降の 生産管理における変化 製造現場のデジタル化は、生産ラインから得られる情報 （データ）をインフラ内に流通させ、活用することに他なり 製造現場の環境の在り方を見直す大きなきっかけとし ません。 て、2019 年 に 発 生した COVID-19 が 挙 げられ ま す。 データを活用するためのアプリケーションとして、機械学 COVID-19の影響による移動制限を受けて、従来からの「現 習や、AI、デジタルツインの試行も進み始め、製造現場に 地現物現実」での対応が困難となったことから、生産ライ 単なる IT 技術を導入するだけでなく、データ活用の幅（利 ン立上げから量産の全体工程を通じて、リモート対応やク 用する場所や人）も広がりを持ち始めています。 ラウド活用の必要性が高まりました。この流れは、これまで これら製造現場でのデジタル化を実現するには、データ 部分的であった工場でのインターネット利用を再検討する を流通させるためのインフラ “デジタルインフラ” の整備が 契機となったと言えます。 重要となります。製造現場の様々なデバイスから得られたデー 従来よりニーズのあったリモートメンテナンスだけでなく、 タをアプリケーションに送るために、ネットワークに繋がるよ 工場デジタル化の基盤としてのクラウド活用の検討が進み うになり、集まった膨大なデータを処理するためのコンピュー ました。 ティングリソースは、より多く必要となっています。 製造現場で扱われるデータ量が増加する中で、必要なデー 工場におけるクラウド活用検討の動きのまとめ タを必要な場所に確実に送り届けるための、高速かつ安定 ・ 製造現場のデジタル化を進める過程で必要な施策であっ したネットワークは欠かせません。 たが、COVID-19の影響により対応が加速 ・ 現在のリモートアクセス環境は様々な制約から限定的で あり、「現地現物現実」をリモート環境で実現することが 望まれている 　 ・ 工場外の専門家や設備ベンダーの支援をリモート化 ・ 海外工場支援のリモート化 ・ 製造現場デジタル化に伴うデータ活用は、リモート化の 影響も受けてクラウドを利用するニーズが増加 デジタル化を実現するアプリケーション/システム 機械学習 AI検品 予兆保全 デジタルツイン デジタルインフラの整備 製造現場のデジタル化実現にはネットワークの高速化と安定化が必須 センサー 端 末 人 コンピューティング 設 備 データ生成と利活用 3

製造業を狙ったサイバー攻撃の増加 製造業へのサイバー攻撃の増加に 対する日本政府の動き 製造現場でのデジタル化や、クラウドの活用が進む中、こ こ数年で製造業を狙った攻撃は増加し、生産ラインの停止 製造業へのサイバー攻撃が増加している状況を受け、日 やサプライチェーン全体への影響など、被害が拡大しています。 本政府の各省庁では工場領域におけるセキュリティ検討を これは、セキュリティ対策が不十分なままで製造現場のデ 促進するための動きがあります。特に、2022 年には以下３ ジタル化が進んでいることが一つの要因と考えられます。 つの主要な発表がありました。各省庁が発表した内容は、 攻撃者から見ると、セキュリティ対策が十分で無い製造現場 それぞれの目的や狙いに違いはありますが、いずれの発表 は、その影響度からも魅力のある攻撃対象と言えるでしょう。 もより具体的な施策の実装を促す内容となっています。 既に大きな影響を与えた WannaCry、SolarWinds などは、 生産設備や生産管理システムを狙った攻撃です。それ以外 ・ 2022年3月1日 にも、デジタル化により様々な設備が繋がる環境では、これ 経済産業省 / 金融庁 / 総務省 / 厚生労働省 / 国土交通省 / まで企業インフラ内で起きていたサイバー攻撃が工場イン 警察庁 / NICT 各省庁 7組織連名で現在の情勢におけるサイ フラ側でも発生してしまうリスクがあります。 バーセキュリティ注意喚起を発表（https://www.meti.go.jp/ press/2021/03/20220301007/20220301007-1.pdf） 代表的なセキュリティインシデント ・ 企業規模、国内外を問わず、サプライチェーンのサイバー セキュリティ対策強化を促すための注意喚起 フィッシングメールによる標的型攻撃の継続 ・ 主要な実施施策を明示し、対策の実施を呼びかけ （Emotet、など） ・ 対象：個人、ビジネスに関連するデータなど ・ 2022年3月31日 ・ 影響：フィッシングメールを介してマルウェアを仕掛け、 日 本 自 動 車 工 業 会 (JAMA)、日 本 自 動 車 部 品 工 業 会 ランサムなどの起点となる (JAPIA) は、共同でセキュリティガイドライン ( 対策項目、 ・ 販売店における信頼性低下からの顧客離れ 基準 ) の更なるレベルアップ項目を追加したセキュリティ ・ 解析、調査、対処のための膨大な工数 ガイドライン (v2.0) を 2022 年 3 月 31 日に改訂（https:// ・ ランサムウェアによる大規模被害（WannaCry、など） www.jama.or.jp/operation/it/cyb_sec/docs/cyb_sec_ ・ 対象：オフィスだけでなく生産設備のデバイス guideline_V02_00.pdf） ・ 影響：ビジネス活動に大きく影響 ・ 自動車業界におけるサプライチェーン全体でのセキュリティ ・ グローバルでの生産設備の停止 向上を目的としたセキュリティ対策のガイドラインの改訂 ・ オフィス機能の停止 ・ 工場領域は含まれていないものの、自動車業界の各企業 ・ 一部顧客サービスの停止 が企業 ・ （ OA 環境）の目指すセキュリティレベルと具体的な内容 を記載 ソフトウェアのアップデートを利用した 大規模被害（SolarWinds、など） ・ 2022年11月16日 ・ 対象：秘匿性の高いユーザー情報、データなど 経済産業省は、「工場システムにおけるサイバー・フィジカ ・ 影響：ビジネス活動に大きく影響 ル・セキュリティ対策ガイドライン Ver 1.0」を策定（https:// ・ 不確定な情報漏洩による潜在的なビジネスリスク www.meti.go.jp/policy/netsecurity/wg1/factorysystems_ ・ 復旧、影響調査のための膨大な工数 guideline.html） ・ 業界を問わず、工場領域での業務を意識し、工場全体で これからの製造現場のデジタル化（データ利活用）にお のセキュリティ対策をどのように実施するかを記載 いては、セキュリティ対策は必要不可欠になっています。 ・ セキュリティ対策の自己評価を行うためのチェックリスト も整備 4

速度の差異により、進捗状況は同じではありません。デジタ セキュリティ注意喚起の内容と ル化の進捗により想定されるリスクは異なり、必要となる サプライチェーン全体像 対策も異なります。実際のセキュリティインシデント事例 政府の注意喚起の中では、概要レベルではありますが、 を見ると、サプライチェーンを狙った攻撃は、必ずしもネシ 工場を持つ企業にとって企業インフラ（OA）と工場インフラ ステム的に繋がったことによる影響だけではありません。 （FA）の全体で必要となる対策のポイントがまとめられてい 委託先の独自システムが攻撃されその工場の生産が止ま ます。 ることで、部品の供給が滞り、サプライチェーン全体に影響 重要なのは、単一の施策で昨今のサイバー攻撃を防ぐの が出る場合があります。 は難しいという事実と、セキュリティに絶対はない（100％ そして、サプライチェーン全体を見た場合、セキュリティ 防げる手段は存在しない）という事実を踏まえて、全体的な 対策に投資出来る予算や、セキュリティ対策の検討を推進 施策の検討と合わせて、有事の際の対応手順を整備してお 出来る人材にも違いがあります。 く必要があるということです。 セキュリティ対策が重要となっている昨今ですが、必要な また、それらの対応を委託元だけでなく、委託先を含むサ 対策全てを行うことは現実的に難しい状況です。大事なこと プライチェーン全体で取り組む必要があるという点も重要な は、自社のデジタル化において、リスクがどこにあるかを見 ポイントとなります。 極め、必要な投資を適正に行うことです。 一方で、工場のデジタル化は、企業規模や各社の取組み 政府発表の注意喚起における考慮点まとめ 検討範囲 対応策 ● サプライチェーン全体を俯瞰し、発生するリスクを自身で リスク低減のための措置 コントロール出来るよう適切なセキュリティ対策を実施する ● 本人認証の強化 （ パスフレーズ強化、アカウント・権限整理、多要素認証） ● 国外拠点についても、国内の重要システム等への ● IoT機器を含む情報資産の保有状況を把握と脆弱性対応 サイバー攻撃の足掛かりになることを考慮し、 国内のシステム等と同様に支援・指示などにより ● フィッシングメール対策 セキュリティ対策を実施する インシデントの早期検知 ● サーバ等における各種ログ確認 サプライチェーン全体での ガバナンス強化 ● 通信の監視・分析やアクセスコントロールの再点検 ガイドから実施へ 情報資産の管理強化 インフラにおける セキュリティ対策強化 セキュリティ運用の強化 生産設備ネットワークに関連するセキュリティ対策 5

工場セキュリティ 施策検討のポイント 工場の中でセキュリティ対策を考えるには、攻撃者がどのように攻撃を行うかを 理解し、自社の工場のどこにリスクがあるのかを見極める必要があります。また、 企業のデジタル化の進捗や求められるインフラ環境によって、必要なセキュリティ 施策は異なります。ここでは、工場内のセキュリティを考える上でのポイントにつ いて説明します。 6

・ ネットワーク内の横の動きにより、マルウェアを拡散させる 工場におけるサイバー攻撃の概要 製造現場に対するサイバー攻撃はどのように行われるでしょ 侵害 うか？ ・ C&C サーバへの接続 基本的な考え方として、オフィスエリアネットワークに対し ・ 攻撃者がマルウェアに感染したコンピュータに指令を送り、 て行われるものと同じく、外から中に侵入してくる、侵入後 遠隔操作するために用いる仕組み に向上内部のネットワークを偵察しながら拡大（拡散）させ、 ・ 実際の攻撃指示を行うためにマルウェアはインターネット 最終的な侵害を行うと言う流れになります。 上にある C&C サーバと通信を行う 攻撃の各段階での特徴は、以下になります。 ・ 入手したデータを外部に持ち出す 外からの侵入 製造現場に対して行われるサイバー攻撃のアプローチは、 ・ メールによる標的型攻撃 前述の通り、オフィスエリア対して行われるものと同様なため、 ・ 社員宛にマルウェアを添付したメール（Emotet など）、 IT 部門の持つ考え方や知見を取り入れることは有用である または C&C などへの誘導 と言えます。 ・ リ ンクを含むメール（フィッシングメールなど）を利用し、 ただし、工場内には、生産設備に代表される製造現場特 侵入のための仕込みを行う 有のデジタル資産（センサー、制御装置、など）がかず多く 存在します。これらのデバイスに対するセキュリティの考え ネットワーク経由の攻撃 方や対策については、製造現場での知識が不可欠です。 ・ 脆弱性のあるネットワーク機器をついて侵入（不要なポー トが空いている、脆弱性のあるソフトを利用している、など） また、会社全体で見た場合には、IT 部門の管理するネッ ・ リ モートアクセスのセキュリティが脆弱である場合、ユーザー トワークと OT 側で管理するネットワークが繋がることも多 になりすまして侵入を行う いため、製造現場でのセキュリティ対策は、IT 側での知見と、 OT 側の知識を合わせて考えていく必要があります。 侵入後の拡大 そして、サイバー攻撃への対策を考える上で最も重要な ・ ラテラルムーヴメント ことは、絶対的に全てを防ぐ防御方法は無いことを認識する ・ 社内に侵入したマルウェアが最終的に攻撃のターゲットと ことが重要です。攻撃から守る “防御” 対策を考える一方で、 なる主要なデータと資産を検索するときにネットワーク内 侵入・侵害されることを前提とした “検知” や、その後の対 を徐々に移動する 応方法の取り決めなどの “運用” を考えることも重要です。 工場発のインターネットアクセス経路における攻撃例 攻撃者/組織 企業DC クラウド リモート メールによる標的型攻撃 アクセス 社 員 サプライヤ （フィッシングなど） ネットワーク経由の攻撃 WAN Internet （リモートアクセスなど） 工場内オフィス ゲートウェイ ラテラルムーブメント ネットワーク ファイア 工場内幹線ネットワーク ウォール 生産ライン 生産設備 生産設備 生産設備 サーバ C&Cサーバへの接続 IT部門管理 （コマンド・アンド・コントロール） ネットワーク 生産ライン情報（現場） 設備稼働情報 設備データ（診断） ・・・ 7

場で個別にアクセスルートを構築している -> セキュティ 現在のサイバーセキュリティ対策と ホールの増加 これから ・ ネ ットワークへの接続設備管理ができていないため、 ここで、COVID-19 前後で実施された一般的なセキュリティ 誰でも接続し利用が可能 -> セキュリティ事故時に原因 対策と、今後必要と考えられるセキュリティ対策について、 の解析不可 リモートアクセス環境を例に見てみましょう。 デジタル化に取り組む多くの製造業のお客様では、工場か リモートアクセスの今後 ら直接的にインターネットに接続する環境を持っていないの ・ IT/OT のネットワーク信頼性を高めた上で相互接続し、 が現状です。この状況は、大規模な製造業のお客様で見ら 利用形態に合わせリモート接続方式を共通化して提供 れる傾向で、工場側でのセキュリティ対策の実装が進んで ・ 情報の精度向上・高詳細化のため、より多くのデバイスが いない環境において多く見られます。（セキュリティ対策が不 繋がり、リモート化を進めることでアクセス方法が多様化 十分な環境において工場で独自のインターネットを持つ場合、 いわゆるシャドーIT と呼ばれ、企業としての IT 運用からは そんな中、近年の製造現場を狙ったサイバー攻撃は高度 外れた状況となり、リスクが高い状況となります） 化しており、従来のアクセス制御、フィルタリングやアンチ 一般的に工場内のシステムへ外部からアクセスするには、 ウイルスの仕組みでは検知出来ない傾向にあります。特に、 IT 側の用意するリモートアクセスの仕組みを利用しています。 SolorWinds に代表されるサプライチェーン攻撃においては、 COVID-19 以降、リモートアクセス利用は増加傾向にあり、 利用を認められたシステムや通信が侵害されてしまうため、 新たな問題も出始めています。また、今後デジタル化が進 これまでの防御方法では防ぐことが難しくなっています。 む中では、リモートアクセスの在り方も変化しつつあります。 世の中に絶対的な防御方法はありませんが、サイバー攻 リモートアクセスの現状 撃の基本は、脆弱なところを狙うことにあります。これらの ・ OA/FA の境界に UTM（または FW）を設置し、限定的 状況を踏まえ、製造現場に関わる人もセキュリティに対する な通信のみを許可することでセキュリティを担保 意識、脆弱性への意識を高めて行くことが重要となります。 ・ リ モート接続ルール（方式）が決まっていないため、各現 現現在在のの製製造造現現場場ににおおけけるるセセキキュュリリテティィ対対策策例例 近年の製造業近を年狙のっ製た造脅業威をの狙特っ徴た脅威の特徴 生産ラインへのリモートアクセス 工場内 工場内 OA OA エンジニア 在宅・設備 管理者 ネットワーク エンジニア 在宅・設備 管理者 非アクセス ネットワーク ベンダー 標的型攻撃/ Enterprise ベンダー 対象者 Enterprise リモート サプライチェーン Zone Zone Levels 4-5 リモート アクセス レポート アクセス レポート Core 攻撃 Levels 4-5 Core switches switches FW 許 可 拒 否 （不要な通信の拒否） 許 可 FW OA->FA （不要な通信の拒否）OA->FA Industrial Firewalls Industrial Firewalls DMZ リモート (Active/ アクセス （IDMZ） Standby) DMZ リモート (Active/ アクセス （IDMZ） Standby) ゲート ゲートウェイ ウェイ FW 許 可 拒 否 （不要な通信の拒否） 許 可 FW FA->OA （不要な通信の拒否）FA->OA 生産 ラテラル 生産 システム リモート システム Core ムーブメント リモート など Core アクセス switches など アクセス switches サーバ サーバ 生産ライン Distribution 生産ライン FA Distribution switch FA switch ネットワーク ネットワーク 持込端末による Industrial 生産ライン 生産ラインデータ Industrial 感染 Zone 担当者 LWAP WGB Zone 生産ライン WGB Levels 0-3 担当者 LWAP 設備稼働 ライン状態監視 Levels 0-3 情報 （人を含む） ・・・ PLC 設備稼働 設備データ PLC 情報 （診断） ・・・ FactoryTalk FactoryTalk Client IO Drive MCC PLC PLC Client IO Drive MCC PLC PLC 8

・ 脆弱性対応 工場のセキュリティは誰が考えるのか？ ・ ラテラルムーブメント 製造現場におけるセキュリティ対策が、デジタル化を進め ・ ネ ットワークを細かく分割することでリスクを低減（セグメ る上で重要であることはご理解頂けたと思います。 ンテーション） では、工場のセキュリティは誰が考えるべきなのでしょうか？ ・ 不要な通信を通さないように制御する（アクセス制御強化） 製造現場でサイバー攻撃に備えるためには、IT と OT 双 ・ 社内ネットワークにおけるデバイス通信に対する振る舞い 方の知見が必要であることは前述の通りです。お客様の企 検知 業規模や、組織・体制により担当領域が明確に分けられな ・ C ＆ C サーバへの接続 い場合はありますが、IT サービスとして提供されるものは ・ マ ルウェアに感染した端末から C&C に対する通信を検 IT 部門、OT 側が管理または判断する必要のあるインフラ 知し、未然に止める（常に最新の不正サイトを把握する については OT 部門で主体的に検討を行う必要があります。 必要がある） 先に述べたサイバー攻撃のアプローチに対しては、以下 の形でそれぞれの攻撃への対策を考慮する必要があります。 なぜ、製造現場のサイバーセキュリティ対策を OT 部門 が主体的に検討する必要があるのでしょうか？ IT 部門が主体的に検討 その大きな要因の一つには、製造現場の業務特性の違い ・ メールによる標的型攻撃 からくる、現場ならではの課題にあります。オフィスエリアネッ ・ メールセキュリティ強化 トワークとは違い、生産ラインは常に稼働し、容易にメンテ ・ メール内に含まれる不正なサイトへのアクセスを制御 ナンスが行えない他、生産設備を構成するデジタル資産に ・ 社員に対するセキュリティ啓蒙活動、教育 は十分なコンピューティングリソースがないためデバイス単 体でのセキュリティ実装が難しいことなどが挙げられます。 OT 部門が主体的に検討 このような業務特性の違う環境において、実装可能なセキュ ・ ネットワーク経由の攻撃 リティ対策は、OT 部門の判断が必要となります。また、オ ・ 不要な通信の制御 フィスエリアと違いデバイスでの対策が難しいため、ネットワー ・ 通信相手（通信元）の特定強化（認証強化） クで守る施策が重要となります。 工場工へ場のへサのイサバイーバ攻ー撃攻の撃アのプアロプローーチチとと 生産現生場産に現お場けにるおセけキるュセリキテュィリ対テ策ィの対難策しのさ難としさと 対策検討の担対当策領検域討の担当領域 解決に向けたア解プ決ロにー向チけたアプローチ 生産現場ならではの課題 解決に向けたアプローチ クラウド リモート 攻撃者/組織 アクセス IT メールによる サ 脆弱性への対応を 標的型攻撃 （フィッシングなど） ビ 随時行うことが困難 企業DC 社 員 ネットワークで守る ス ● 変動要素が多い （ 関係者が多く、ラインごとに随時改善が行われる） ● 資産を特定する サプライヤ ネットワーク ● 生産重視のため、必要なタイミングでの作業 ● 必要最低限のアクセスに限定する 経由の攻撃 （ 脆弱性の対応、など）が難しい ● ネットワーク上の振る舞い監視により WAN （リモート ● ライフサイクルがIT領域と違い長いため、 異常を検知する Internet アクセスなど） IT OSサポート切れのデバイスが多く存在 生 部 産 門 工場内 ラテラル オフィス ムーブメント 部 の 大きく異なるITと OTの運用観点と導入技術 OT-ITの知識・経験を合わせて守る ネットワーク ゲートウェイ 門 知 の 見 ● 生産を止めないことが最優先 ● 生産・製造系部署を巻き込んだ体制構築 ファイア 意 ウォール 見 支 ● 分かり易いシンプルな運用/操作 ● 可用性を意識した現場との役割分担 工場内幹線 ネットワーク や 援 ● 独自生産システム/アプリケーション ● それぞれの担当者が 判 が 実際に利用可能なソリューション選定 ● IT観点での担当責任者の不在（国内） 断 必 が 要 求 な ITとOTでの速度/ C&Cサーバへの め 領 生産 生産 生産 サーバ 接続 設備 設備 設備 （コマンド・アンド・ ら 域 温度感の差とセキュリティリスク セキュリティリスクを認識する IT部門 管理 コントロール） れ ● 生産現場では常に改善が行われ、 ● インターネット、クラウドと繋がることの ネット 生産ライン る 最新技術を積極的に取り入れる傾向 セキュリティリスクを再度確認する ワーク 生産ライン情報（現場） 領 ● IT部門では企業リスクを考慮し、 ● システムとしての連携範囲、 設備データ 域 通信要件の精査、段階的な導入を行う 設備稼働 影響範囲を明確にする 情報 （診断） ・・・ ● 結果として、セキュリティリスクへの考慮が ● 関係者での周知を徹底する 不十分な形で生産現場からインターネットへの 直接的なアクセス環境が出来てしまう 9 ー

④ クラウドアクセス認証強化 工場におけるセキュリティ対策の ・ ク ラウドに工場から、またはインターネット経由で入ってく 検討ポイント る通信の接続元および接続先の特定 製造現場でセキュリティ対策を考えるポイントは多岐に渡 ・ ク ラウドアクセス時のユーザおよびデバイスの認証方式（付 りますが、デジタル化の進捗を踏まえて６つの領域に分け 帯設備との連携）の特定 ることが出来ます。 ⑤ セキュリティ運用整備 ① 工場内ネットワーク保護 ・ 監視する内容の決定（⑥の企業として整備されているセキュ ・ 工場内でネットワークに繋がるデバイスを把握し、通信要 リティガイドラインがある場合にはその内容を踏まえて検討） 件を把握 ・ 監視内容に基づき必要なログ取得、保存方法を決定 ・ 用途や影響範囲に合わせて、ネットワークを物理 / 論理 ・ イ ンシデント発生時の対応手段、連絡方法、報告方法を 的に分割 決定 ・ マ ルウェア感染対策としてデバイスの振舞いを監視し、 異常を検知 ⑥ 企業内情報セキュリティガイドライン遵守 ・ 情報セキュリティ部門が定めるセキュリティガイドライン ② 外部通信アクセス制御 を参照し、対応が必要な内容を検討 ・ 工場内ネットワークデバイスから外部向けの通信プロトコ ル、宛先の特定（送信元の特定と合わせて） 本資料では、製造現場における検討領域を大きく3つに分 ・ 重要なデータの有無や、データの取り扱いに関して整理 けて、具体的な施策案を紹介します。 を行う（リスク分析） 尚、 “⑤ セキュリティ運用整備”、“⑥ 企業内情報セキュリ ③リモートアクセス認証強化 ティガイドライン遵守” については、各企業ごとに考え方や ・ 工場内に外部から入ってくる通信の接続元および接続先 方針が異なるため、本資料の中では、有用と考えるソリュー の特定 ションの紹介までに留めています。 シスコでは、⑤、⑥に対 ・ リ モートアクセス方式と、その際のユーザーおよびデバイ する有償支援サービスも提供しています。 スの認証方式（付帯設備との連携）の決定 4 3 工場セキュリティ対策の 企業DC クラウド 社 員 リモートアクセス サプライヤ 検討ポイント V 1 工場内ネットワーク保護 WAN P Internet 2 N 2 外部通信アクセス制御 6 3 リモートアク 工場内オフィスネットワーク ゲートウェイ セス認証強化 1 4 工場内幹線ネットワーク クラウドアクセス認証強化 ファイアウォール 5 セキュリティ運用整備 5 生産ライン情報（現場） IT部門管理 生産 生産 生産 生産 生産 生産 6 ネットワーク ライン 設備 設備 設備 設備 設備 サーバ 企業内情報セキュリティ 設備 ライン状態監視 設備データ 稼働情報 （人を含む） （診断） ・・・ ガイドライン遵守 セキュリティ 社 員 リモートアクセス サプライヤ クラウド クラウド クラウド ハンドブックでの 企業DC Internet カバー範囲 工場内オフィス 工場内オフィス 工場内 ゲートウェイ ネットワーク ゲートウェイ ネットワーク オフィス サプライヤとしての インターネット・ ネットワーク 工場内幹線ネットワーク 工場内幹線ネットワーク 工場内幹線ネットワーク セキュリティ強化 クラウド活用に向けた ファイア 政府発表の注意喚起に セキュティ施策 ウォール 生産 生産 生産 対する対応策 ライン 生産設備 サーバ ライン 生産設備 サーバ ライン 生産設備 2 外部通信アクセス制御 2 外部通信アクセス制御 生産ライン情報（現場） 生産ライン情報（現場） 生産ライン情報（現場） 3 リモートアクセス認証強化 IT部門管理 3 リモートアクセス 設備 ライン状態監視 設備データ 設備 設備データ 稼働情報 （人を含む） （診断） ・・・ 認証強化 4 クラウドアクセス認証強化 ネット ワーク 稼働情報 （診断） ・・・ 設備 設備データ 稼働情報 （診断） ・・・ 4 クラウドアクセス 認証強化 推進例 #1 推進例 #2 推進例 #3 生産設備ネットワーク 1 工場内ネットワーク保護 工場全体のデジタル化が完了し、 生産ライン単位でのデジタル 生産ラインの中で部分的にデジタ デジタルインフラの構築も完了 化が完了し、部分的にデジタ ル化の取り組みが行われており、 セキュリティ強化 2 外部通信アクセス制御 ルインフラを整備 局所にネットワークに接続 10

今できる 工場サプライチェーン セキュリティ対策 ここ数年、サプライチェーンを狙ったサイバー攻撃は増加しており、日本政府関連省 庁からはサイバー攻撃に対する注意喚起や、セキュリティガイドラインが相次いで発 表されています。自社がサプライチェーンにおいてどのように関わり、どの様なリス クと影響を与えるかを見極め、必要な対策を講じることを求められています。ここでは、 どのような観点でセキュリティ対策を考えれば良いかについて説明します。 11

てくるのでしょうか？攻撃のきっかけとなる侵害は、工場に対 サプライチェーン攻撃とは？ して行われる攻撃手法と同様です。主な攻撃の侵入経路は、 製造業では、取引先などのサプライチェーンを利用して、 サプライチェーンに特化したものではなく一般的なものにな 侵害を試みる「サプライチェーン攻撃」の被害事例が見られ ります。 ます。「サプライチェーン攻撃」には、以下の傾向が見られます。 メールによる標的型攻撃　（フィッシングなど） 委託先や海外を踏み台にした攻撃 ・ 社員宛にマルウェアを添付したメール（Emotet など）、 取引先などのサプライチェーン、海外拠点の中で、セキュリティ または C&C などへの誘導リンクを含むメール（フィッシ 対策が甘い組織を攻撃の足がかりにして、大企業や政府組 ングメールなど）を利用し、侵入の仕込みを行う 織など標的の組織を攻撃して不正アクセスする ネットワーク経由の攻撃（リモート） ソフトウェアサプライチェーン攻撃 ・ 脆弱性のあるネットワーク機器をついて侵入（不要なポー ソフトウェアの開発元や配布元などソフウェアのサプライチェー トが空いている、脆弱性のあるソフトを利用している、など） ンを通じて、マルウェアや攻撃コードを挿入したソフトウェア ・ リ モートアクセスのセキュリティ対策が脆弱である場合、 を配布して攻撃の足がかりにする ユーザーになりすまして侵入 いずれの攻撃も、ネットワークを介して既にビジネス上の ネットワーク経由の攻撃（オンサイト） 取引のある相手を経由するため、発見し辛いという特徴があ ・ 悪意を持ったユーザーが内部ネットワークに接続し侵入（無 ります。また、近年では、ネットワークやシステムが企業間 線 LAN、有線 LAN） で繋がっていなくとも、サプライチェーンを構成する一部の ・ 外 部から持ち込んだ USB を経由してウイルスを侵入させる 企業の生産が攻撃により停止することで、パーツ供給が滞り サプライチェーン全体に影響を与えるなど、被害が大きくな 大きな違いは、これらの攻撃が自社ではなく、ビジネス上 る事例も出ています。 の取引やシステム的に関連のある企業を狙うため、いくら自 社の防御を強化しても、発見が難しい点にあります。 サプライチェーン攻撃はどこから？ そのため、サプライチェーンに関わる各企業でのセキュリ では、サプライチェーン攻撃はどのような形で、どこからやっ ティ対策を講じる必要があります。 サプライチェーン攻撃の概要 サプライチェーン攻撃の概要 2-3次受け 委託元/1次受け 委託先/仕入れ先 攻撃者/組織 （国内/海外） 委託先/仕入れ先 委託元 （国内/海外） サプライヤ環境 インフラ メール（フィッシングなど） Data による侵入 ソフトウェア/システム 開発者・運用者・利用者 システムへの Internet 影響 Data Apps ネットワーク経由の侵入 （リモート） On- Premise XaaS Apps ネットワーク経由の侵入 生産/ユーザー 生産/販売/サービス （オンサイト） 構内N W への影響 12

政府からの注意喚起に基づく対策イメージ 工場・サプライチェーン全体 インシデント対応の メール（フィッシングなど）による侵入 ための体制や フィッシングメール プロセス、 ●社員宛にマルウェアを添付した 対策 委託先/仕入れ先（国内/海外） 委託元 対処手順の整備 メール（Emotetなど）、またはC&Cなどへの誘導 ●リンクを含むメール（フィッシングメールなど）を 生産設備ネットワーク 利用し、侵入の仕込みを行う ソフトウェア/システム ネットワーク経由の侵入（リモート） 開発者・運用者・利用者 データバック実施と ●脆弱性のあるネットワーク機器をついて侵入 Data Internet 復旧手順の確認 （不要なポートが空いている、 攻撃者/ 脆弱性のあるソフトを利用している、など） 本人認証の強化 サーバ等における 組織 ●リモートアクセスのセキュリティが脆弱である場合、 ユーザーになりすまして侵入 各種ログ確認 通信の監視・分析/ Apps IoT機器を含む ネットワーク経由の侵入（オンサイト） アクセスコントロールの再点検 情報資産の ●悪意を持ったユーザーが内部ネットワークに 保有状況を把握 接続し侵入（無線LAN、有線LAN） 構内N W ●外部から持ち込んだUSBを経由して 情報資産の ウイルスを侵入させる 脆弱性対応 プライチェーン全体に対してセキュリティ対策の方針を決め 政府発表の注意喚起 たとしても、取引先のサプライヤーにとって最適な対策とな 製造業を狙ったサプライチェーン攻撃増加の状況に対して、 らない可能性があります。 2022 年 3 月１日、中央省庁７省庁の連名で注意喚起を発 このような状況を踏まえて、業界団体や関連省庁からは、 表しました。この発表の中では、どういった対策と、どのよ 業界共通の考え方としてのセキュリティ対策の検討項目と対 うな運用を考える必要があるかがまとめられています。 策レベルを定めたガイドラインが発表されました。サプライ その内容を要約すると以下になります。 ヤーが検討を進める際に、これらのガイドラインを参照する ・ IoT 機器を含む情報資産の保有状況を把握 ことは有用な手段と考えられます。 ・ 情報資産の脆弱性対応 ただし、セキュリティガイドライン記載の検討項目は多岐 ・ 通信の監視・分析 / アクセスコントロールの再点検 に渡るため、検討に時間がかかることが想定されます。 ・ 本人認証の強化 すぐにでも有効な施策を実施したい場合、優先順位をつけ、 ・ フィッシングメール対策 投資効果の高い施策を実施するということは選択肢の一つ ・ サーバ等における各種ログ確認 と考えられます。現在の自社製造現場のインフラ環境を踏 ・ データバック実施と復旧手順の確認 まえた上で、想定されるリスクに対して効果の高いところか ・ イ ンシデント対応のための体制やプロセス、対処手順の ら着手することは、予算やリソースが限られた中でも確実に 整備 セキュリティレベルを向上させる有効なアプローチと言えます。 これらの対策は、いずれも一般的なセキュリティ対策であ り、サプライチェーンにおける特別な対応が必要な訳では ありません。 ササププラライイチチェェーーンンセセキュキリュテリィテ対ィ策対に策おにけおるける 課題と解決課ア題プとロ対ー策チ実施アプローチ サプライチェーン セキュリティ対策における課題 導入コスト 全ての施策を実施する IT部門と生産部門における のは、ヒト・モノ・カネの 一方で、サプライチェーン全体に対してセキュリティ対策 責任分界点 観点からも現実的には 難しい。　 を行うには幾つかの課題があります。 検討・運用を ガバナンス範囲と 一つ目は、導入コストと検討リソースの問題です。大企業 行う 施策実施の 解決のための 人材の不足 実現方法 アプローチ とは違い、サプライチェーンを構成する２次受け、３次受 けのサプライヤーの中には、対策の検討行うための人的リソー 誰がどこまで実施するのか？ 投資金額を抑え ながら、より投資 スや、対策を講じる十分な予算を持っていない場合があります。 効果の高い施策を まずは実施 二つ目は、何を基準にどこまで対策を行うかの判断が難し いという問題があります。サプライヤーの中には、単一の委 投資効果を事前に 委託先/ 確認することで 託元企業だけではなく複数の委託元企業との取引を行って 委託元に 仕入れ先に とっての課題 リスク回避 いる企業も多くあります。ある委託元企業が、その企業のサ とっての課題 13

以下の施策、および検討要素がその回答になると考えます。 投資効果の高いセキュリティ施策 ・ 本人認証の強化 -> MFA（多要素認証） サプライチェーンセキュリティ対策として投資効果の高い ・ フィッシングメール対策 -> メールセキュリティ 施策とは何でしょう？ ・ 通信の監視・分析 / アクセスコントロール その問いに対する答えについて、政府発表の注意喚起を -> 次世代ファイアウォール もとに考えてみましょう。 -> DNS セキュリティ 注意喚起に含まれる検討ポイントは、大きく３つに分かれ それぞれの検討要素ごとに単一のソリューションで提供さ ています。一つ目は、工場内の資産に対する施策、二つ目 れることが多いためと、問題があった場合の対応を集約する は工場に外から入ってくる通信に対する施策、三つ目はセキュ ことが可能です。 リティインシデントに対する体制や対応プロセスなどのセキュ 次に、これらの施策にどの様な効果があるかを見てみましょう。 リティ運用の整備となります。 一つ目のポイントについては、対象範囲が多岐にわたるこ 本人認証の強化 -> MFA（多要素認証） とや、生産ラインの稼働との兼ね合い、担当者とのへの確 この施策は、工場内のサーバや設備に対してリモートから 認など、ソリューションの導入だけでは対応が完了しないため、 アクセスする環境を持っている場合に、接続元が正しいユー すぐに施策を行うことは難しいと考えられます。 ザなのか身元確認を強化します。パスワードのみの単純な 二つ目のポイントについては、生産ラインへの影響が少な 認証で運用されている企業では、セキュリティインシデント いことと、ソリューションの導入による解決が見込まれるため、 は数多く報告されており、各業界のガイドラインでも必須と 施策の実装が容易であると考えられます。 されています。これらの状況から、リモートアクセス環境を 三つ目のポイントについては、整備する内容の粒度は問 持つ工場においては、多要素認証の導入は投資効果もさる わずとも、可能な限り対応が必要な内容となります。セキュ ことながら、必須の施策と言えます。 リティ対策を行なっても、完全に防ぐことは不可能なため、 有事の際の対応方法を考えておく必要があります。また、セ フィッシングメール対策 -> メールセキュリティ キュリティ運用は、企業のリソースや、導入する施策により この施策は、未だに後を絶たないフィッシングメールへの 対応方法が変わることもあるため、実装する施策と、社内リ 対策となります。どの工場においても業務や取引の連絡にメー ソース状況を踏まえて検討する必要があります。 ルを利用することは一般的であり、そのメールを使った攻撃 では、二つ目のポイントである、工場に外から入ってくる の手口であるフィッシングメールは年々高度化しています。 通信へのセキュリティ対策として、投資効果が高い領域はど フィッシングメールは人に標的を絞った攻撃であるため、狙 こになるのでしょうか？ われた人自身が気付かない場合、回避出来ません。これを防 こちらの問いについては、各社の製造現場のインフラ環境 ぐ手段として、フィッシングメールへの対策が可能なメール に依存しますが、実装容易性やどのお客様でも必要となる セキュリティを導入することは、投資効果が高いと考えられます。 実現性の高い施策検討範囲と実検現討性要の素高い施策検討範囲と検討要素 インシデント対応のための 2-3次受け 体制やプロセス、 委託元 注意喚起に含まれる施策 施策に必要な要素 対処手順の整備 本人認証の強化 MFA（多要素認証） 委託先/仕入れ先 IoT機器を含む情報資産の 保有状況を把握 資産可視化 （国内/海外） 委託先/仕入れ先 フィッシング 情報資産の脆弱性対応 メール対策 サプライヤ環境 （国内/海外） 脆弱性管理 フィッシングメール対策 メールセキュリティ ソフトウェア/システム 開発者・運用者・利用者 サーバ等における各種 ログ確認 SIEM/MSS 本人認証の 強化 Data データバック実施と Internet 復旧手順の確認 通信の監視・分析/ 適切なネットワーク設計/ アクセスコントロールの インターネット境界セキュリティ/ 通信の監視・分析/アクセス 再点検 ネットワークと IoT機器を含む セキュリティの監視（MSS） コントロールの再点検 情報資産の 保有状況を把握 データバック実施と データバックアップ/ Apps 構内N W 復旧手順の確認 データセキュリティ サーバ等における 各種ログ確認 情報資産の インシデント対応の SOC・CSRT立ち上げ/ 脆弱性対応 ための体制やプロセス、 インシデント対応 対処手順の整備 手順作成 14

高度な分析や検知が行える次世代ファイアウォールを導入 ・ 通信の監視・分析 / アクセスコントロール する点にあります。そしてもう一つ重要な点として、複数の -> 次世代ファイアウォール 工場を持つ企業においては各工場に導入されたファイアウォー この施策は、外からの通信へのセキュリティ対策としては ルを統合的に管理することです。工場毎に担当者が異なり、 ある意味基本的な施策となります。重要な点は、近年の高 設定や運用が適切に行われていない場合は、その工場はリ 度化する攻撃に対応するため、外からの通信に対して、より スクに曝されることになります。 今できる工今場でサきプるラ工イ場チサェプーランのイセチキェューリンテのィセ対策キ：ュ本リテ人ィ認対証の策：強本化人認証の強化 2-3次受け 委託元 アプローチ ● 多要素認証/パスワードレス認証を用い、リモートアクセス時の本人認証の強化 委託先/仕入れ先 狙いと効果 （国内/海外） 委託先/仕入れ先 （国内/海外） ● ハッキングの要因として高い割合を占める、パスワード漏洩や弱いパスワードなど、 クレデンシャルに関連した問題に対して、多要素認証による認証強化を図る サプライヤ環境 ● Windows Hello Businessなどとの連携により、パスワード運用リスクそのものを排除する ソフトウェア/システム 開発者・運用者 ネットワーク経由の攻撃（リモート） ● 脆弱性のあるネットワーク機器をついて侵入 Internet Data （ 不要なポートが空いている、脆弱性のある ソフトを利用している、など） 攻撃者/組織 ● リモートアクセスのセキュリティが 本人認証の強化 Apps 構内N W 脆弱である場合、ユーザーになりすまして侵入 今でき今るで工き場るサ工プ場ラサイプチェラーインチのェセーキンュのリセティキ対ュ策リ：テフィィ対ッ策シ：ンフグィメッーシルン対グ策メール対策 メールによる標的型攻撃（フィッシングなど） 2-3次受け 委託元 ● 社員宛にマルウェアを添付した メール（Emotetなど）、 委託先/仕入れ先 またはC&Cなどへの誘導リンクを含む （国内/海外） 委託先/仕入れ先 攻撃者/組織 メール（フィッシングメールなど）を （国内/海外） 利用し、侵入の仕込みを行う サプライヤ環境 フィッシング メール対策 アプローチ ソフトウェア/システム 開発者・運用者 ● クラウドベースのメールセキュリティにより、攻撃手段として 多く利用されるメールに対するセキュリティを強化する Internet Data 狙いと効果 ● 疑わしいメールの受信に対するフィルタリング機能の強化を行うことで、 リスクの高いメール受信によるインシデント発生を低減する Apps 構内N W ● 万が一疑わしいメールが到達した場合、メールに含まれる添付ファイルを 開いたり、メール本文に含まれるURLリンクをクリックする、など、 ユーザーの不用意なメール処理による攻撃の起点となる行為を防ぐ 今今ででききるる工工場場ササププライラチイェチーェンーのンセのキセュキリュテリィテ対ィ策対：策次：次世世代代ファファイイアアウォウーォールル導導入と入統と合統管合理管理 2-3次受け 委託元 アプローチ ● NGFWによる境界防御の強化と通信の可視化 狙いと効果 委託先/仕入れ先 （国内/海外） ● 実際の攻撃前に行われる外部攻撃サイト（C&Cなど）へ誘導される 委託先/仕入れ先 （国内/海外） 通信を検知・ブロックすることで、最終的な攻撃の発生を防ぐ サプライヤ環境 ● 通信の特性に合わせたポリシーの最適化を自動で行う ● 通信の可視化を行い、アクセスコントロールの見直しを定期的に行う ● 多地点のFWを一括で管理 ソフトウェア/システム 開発者・運用者 Internet ネットワーク経由の攻撃（リモート） Data ● 脆弱性のあるネットワーク機器をついて侵入 （ 不要なポートが空いている、脆弱性のある ソフトを利用している、など） Apps 構内N W 攻撃者/組織 ● リモートアクセスのセキュリティが 通信の監視・分析/アクセス 脆弱である場合、ユーザーになりすまして侵入 コントロールの再点検 15

の対策をしておくことで、侵入する際のマルウェアや、攻撃 通信の監視・分析 / アクセスコントロール 　 の動きは、初期段階では軽微なものとなります。その後、本 -> DNS セキュリティによるアクセス制御 格的な攻撃を行う前に、侵入したデバイスから C&C サーバ この施策は、外から中に入って来る通信への制御ではなく、 と呼ばれるクラウド上に用意されたサーバにアクセスさせた後、 中から外に出ていく通信に対する制御を行うものです。 本格的な侵害を開始します。 外から中への通信に対して、投資効果が高い施策といいな C&C サーバは、居場所を特定させないために絶えずアド がら、なぜ中から外への通信への対策を考えるのか？ レスを変更しているため、ファイアウォールの固定されたフィ その理由としては、近年のサイバー攻撃の高度化と、製造 ルタ設定では防ぐことが出来ません。 現場におけるクラウド活用があります。 この対策として有効なのが、DNS セキュリティです。これ 高度化したサイバー攻撃においては、先に述べた多要素 により、工場内に侵入を許したとしても、本格的な侵害を受 認証や、メールセキュリティ、次世代ファイアウォールを導入 ける前の水際で防ぐことが可能となります。 したとしても、侵入を防ぐことは出来ません。ただし、それら 今できる今工で場きサるプ工ラ場イサチプェラーインチのェーセンキのュリセテキィュ対リテ策ィ：対D策N：SDセNSキセュキリュテリィテにィよにるよアるクアセクスセ制ス御制御 2-3次受け 委託元 アプローチ ● DNSセキュリティにより、フィッシングメールや内部感染後に外部攻撃サイト （ C&Cなど）に誘導される通信を検知・ブロックする 委託先/仕入れ先 狙いと効果 （国内/海外） 委託先/仕入れ先 通信の監視・分析/ （国内/海外） ● 実際の攻撃前に行われる外部攻撃サイト（C&Cなど）へ誘導される通信を アクセス サプライヤ環境 検知・ブロックすることで、最終的な攻撃の発生を防ぐ コントロールの ● セキュリティ的に無防備なIoTデバイスのインターネットアクセスを保護する 再点検 ● シャドーITの検知と、不要な接続先への通信を抑制することでリスクを軽減する ソフトウェア/システム Internet 開発者・運用者 ネットワーク経由の攻撃（リモート） Data ● 脆弱性のあるネットワーク機器をついて侵入 DNSセキュリティ （ 不要なポートが空いている、脆弱性のある ソフトを利用している、など） Apps 構内N W 攻撃者/組織 ● リモートアクセスのセキュリティが 脆弱である場合、ユーザーになりすまして侵入 16

生産設備ネットワーク セキュリティ強化施策 製造現場のデジタル化を進める上で、データを流通させるためのネットワーク は重要な役割を持ちます。デジタル化に伴いデジタルインフラの整備を進め る一方で、繋がるデバイスやシステムが増えることは新たなセキュリティのリ スクを持つことになります。ここでは、工場内インフラにおけるセキュリティ対 策の考え方について説明します。 17

・ ソフトウェアのバグ 工場内におけるセキュリティとは？ ・ ソフトウェアの脆弱性を突いた攻撃 工場内でのセキュリティを考える上で重要なことはなんで ・ インフラのキャパシティ不足 しょう？ ・ ネットワークの干渉 既に述べたように、製造現場には製造現場としての判断が あり、ビジネスリスクや重要度は IT やオフィスエリアのイン これら４つのうち、ソフトウェアのバグは、事前の対策が フラ環境とは異なります。 極めて困難なため、それ以外の３つに対して対応を考える 製造現場の担当者にとって重要なことは、生産ラインを止 必要があります。 めないことです。業界や製造・生産する製品によっては、コ セキュリティ対策の話にも関わらず工場内インフラ、ネット ンプライアンスや情報漏洩的な観点でのセキュリティが必要 ワークの観点を含む理由は、実際の現場（特に生産ライン なケースもありますが、多くの場合、最も重要なビジネスリ に近いところ）で発生している生産設備停止の問題の多くが、 スクは生産設備が停止することだと言えるでしょう。 これらの観点に起因するためです。 生産設備が停止する原因には様々なものがありますが、こ では、問題を発生させてしまうのは、結局どういったこと こではサイバーセキュリティ観点で紐解いてみましょう。 が現場で起きているからでしょうか？ システム化やデジタル化が進んだ生産設備が停止する要 一つは、生産設備内の端末の脆弱性を突いた攻撃が考え 因は、大きく三つあります。一つ目は、システム要因により られます。特に、メーカーサポート切れの OS を利用して 動作不良を起こしてしまうことです。二つ目は、作業ミスな いるデバイスでネットワークに繋がっているデバイスは対象 どの人的要因により、生産ラインが停止してしまうことです。 となりやすい傾向にあります。 三つ目は、設備の部品劣化、老朽化などの物理的要因によ それ以外に実際の製造現場で頻繁に発生していると考え る故障により、生産ラインが停止してしまうことです。この られるのが、以下の状況です。 中で、人的要因と物理的要因については、人とモノの動作 に関連するため、その対策としてサイバーセキュリティ観点 ・ 接続することを許可されていない（または想定されてい での対応は関連しません。 ない）端末がネットワークに繋がっている 一つ目のシステム要因について考えてみましょう。 ・ 接続未許可の端末もしくは接続許可された端末が想定し システムの動作不良は、ソフトウェアの不具合の他に、シ ていない通信を行なっている ステム負荷や通信不具合などの事象が発生した結果として 起きてしまいます。では、それらの事象は何が原因で発生す この状態は、工場内の通信状態を可視化していないとわ るのでしょうか？大きくわけると、以下の４つの観点があります。 からないため、多くの場合、問題が発生しない限り気づくこ とは難しいでしょう。 製造現場におけるセキュリ製テ造ィ対現策場のにアおプけロるーセチキュリティ対策のアプローチ 工場における 解決のための ビジネスリスク リスク要因 リスクを起こす 事象発生の 事象発生原因の 事象 原因 トリガー アプローチ 古いOSやデバイスの持つ システムで 脆弱性を突いた攻撃 業務・生産設備の システム要因 ふるまいの可視化 ソフトウェア不具合 利用される 停止 （不具合、など） デバイスの異常な ソフトウェアのバグ ふるまい 想定していないデバイス （接続未許可端末） ソフトウェアの からの通信による影響 コンプライアンス 人的要因 システム負荷 脆弱性を突いた攻撃 適切な 遵守 （作業ミス、など） （マルウェア、など） ネットワーク設計 接続を許されているデバイス （接続許可端末） からの想定外の通信による影響 設備の物理的要因 端末の増加に伴う 通信不具合 接続デバイスの可視化 情報漏洩 設備・部品の劣化、 通信経路の 老朽化、など （負荷、など） キャパシティ不足 資産情報の可視化- 接続されるデバイスの 脆弱性を含む） 通信特性に合わせた ネットワークのキャパシティが不十分 ネットワーク同士の干渉 意図しない別設備 との通信干渉 IPアドレスの割り当てや通信経路、 ネットワーク分類（VLANなど）が 適切でない 18

上記 3 点はサイバーセキュリティ観点では重要なポイント 次に重要なのが、資産の特定をした上で、接続されるデ となりますが、上記以外にも重要な点として生産設備ネット バイスの特性に合わせた適切なネットワーク設計を行うこと ワークの環境に関わるものが二つあります。ネットワークのキャ です。今後の拡張を踏まえた、IP アドレス払出しの考え方や、 パシティを含むネットワーク設計です。 通信経路とその帯域、ネットワークの分割などを考えることは、 これまで繋がっていなかった生産設備を繋げていく、また 生産設備を安定稼働させる上でも非常に重要です。 は更なるデジタル資産を繋げていく上で、データが流れるネッ 資産の特定をして、ネットワークが適正に設計されると、 トワークの帯域が不十分な場合、特定のシステムが突発的 次に重要なのがふるまい監視です。資産の特定や、ネットワー な通信を流してしまうと、他のシステムが影響を受けしまい クの設計を行う前にふるまい監視を行うことも可能ですが、 ます。また、端末が利用する IP アドレスの重複による問題 先に進めてしまうと、実際に検知した内容を正しく判断する は、未だに現場で発生しています。 のは難しいでしょう。 これらの問題を解決するアプローチとして、弊社では以下 ふるまい監視は、平常時の状態に対して異常なふるまい の三つの観点が重要と考えています。 を検知することで、サイバー攻撃や生産システムの異常動 作を未然に防ぐことが可能となります。 ・ 接続デバイスの可視化 そして、それらの対応を進める中でもう一つ重要なのが、 ・ 適切なネットワーク設計 運用です。生産設備や関連するネットワークは、基本的には ・ ふるまいの可視化 生産設備を管理する担当部門が運用を行われます。その一 方で、セキュリティ運用（SOC）については、明確な役割分 これら３つの要素を全て同時に対応することはなかなか難 担がなく、現実的に議論がされないことが多いのが現状です。 しいかもしれません。それぞれのアプローチには依存関係 今後、製造現場でのデジタル化が進み、工場全体でセキュ があるため、対策を進めるにあたっては段階的に進めること リティ対策を実装する範囲が広がると、全体のセキュリティ が良いでしょう。 を横断的に運用する仕組みが必要となることが予想されます。 まず、最初に重要なのは、接続デバイスの可視化（資産 そしてこれら製造現場でのセキュリティ対策を検討する上 の特定）です。セキュリティの基本的な考え方として、見え で最も重要なことは、検討の段階でどこまでを目標に対策を ないモノは守ることが出来ません。製造現場においてネット 行うかを予め決めた上で、製品設定や設計を進めることです。 ワークに接続されるデバイスを把握することは、前述の通り、 そうしないと、後付けの検討では、機能や設計の考慮が漏 製造現場でのセキュリティ対策としても重要です。 れてしまい、手戻りや追加でのコストが発生してしまいます。 製造現場での資産の特定において需要なことは、その資 セキュリティ対策の検討は、企業としてのセキュリティガイ 産を管理している担当者や部門を合わせて整理しておくこと ドラインも関わるため、既に述べた通り、可能な限り IT と です。その後の運用において何か問題があった場合に、誰 OT 側の双方で擦り合わせを行い、進める必要があります。 が判断出来るかが製造現場においては極めて重要です。 製造現場におけるセキュリティ対策の進め方と目的 IT/OT統合SOC セキュリティイベントの全体像を把握し、調査と修復を効率的かつ迅速に行う 工場内 企業におけるビジネス影響を極小化する OA ネットワーク エンジニア 在宅・設備ベンダー 管理者 Enterprise Zone リモートアクセス レポート Core Levels 4-5 switches ふるまいの可視化 Industrial ネットワーク、システムへの侵入やシステムの動作の異常を検出して、 Firewalls DMZ リモート (Active/Standby) プロセスの整合性を維持する アクセス （IDMZ） ゼロデイ攻撃への対応（未知の脅威に備える） ゲートウェイ 生産 Core システム switches 適切なネットワーク設計 リモート など アクセス デジタル化を進めるにあたり、通信が必要なユーザー、デバイス、アプリケーションを分類、 サーバ Distribution switch 分離（セグメンテーション）し、最小限のアクセス管理を行うことでリスクを低減する 生産ライン 生産設備内での事象発生時の影響範囲の極小化 FAネットワーク Industrial Zone 生産ライン担当者 Levels 0-3 WGB 接続デバイスの可視化 LWAP PLC 適切なセキュリティ戦略の策定、セキュリティ設計を実施するために、 FactoryTalk Client IO Drive MCC 生産設備資産を把握する 潜在リスクの把握（見えない物は守れない） PLC PLC 19

管理ツール）、境界面を守るファイアウォールとして Cisco シスコの製造現場セキュリティ対策 Secure Firewall ISA3000、Cisco Firepower を提供してい ソリューション ます。 シスコでは、製造現場でのセキュリティ施策に対して、各 種のセキュリティソリューションを提供しています。 ③ふるまい監視 製造現場におけるふるまい監視は、設備デバイスに対す ①資産の特定 る監視とネットワーク全体において監視する二つの観点が 製造現場での資産の特定には、Cisco Identity Services あります。それぞれ利用する通信技術（プロトコル）に違 Engine(ISE) と Cisco Cyber Vision の二つのソリューション いがあり、問題に対する判断基準が異なることから、それ を提供しています。ISE は、MAC アドレス、IP アドレス、 ぞれ専用のソリューションとして、Cisco Secure Network ユーザ単位での資産の可視化とともに、ネットワーク機器と Analytics(SNA) と Cisco Cyber Vision を提供しています。 連携し、それら資産のアクセス制御を行うことが可能です。 製造現場で利用される IoT 機器の詳細な可視化は、Cisco ④ IT/OT 統合 SOC Cyber Vision での可視化が有効です。 製造現場全体でのセキュリティ運用を効率的に行うソリュー ションとして、SecureX/Cisco XDR を提供しています。 ②ネットワークのセグメンテーション SecureX/Cisco XDR は、API を利用してシスコを含むセキュ 製造現場でのセキュリティ対策は、ネットワーク設計にお リティソリューションと連携し、セキュリティイベント発生時 いて、設備やデバイスの利用用途や特性別に、物理または の調査、解析、対応を効率化します。 論理的に分割を行うセグメンテーションが有効です。これ らを実現するソリューションとして、ネットワークを構成する ①〜④の観点は、国際自動制御学会（ISA）、国際電気標 Cisco Industrial Ethernet(IE) スイッチと DNA Center(NW 準会議（IEC）が協力して文書化した “ISA/IEC-62443 シリー 製造現場におけるセキ製ュリ造テ現ィ場対に策おのけ進るめセ方キとュ目リ的ティ対策の進め方と目的 4 IT/OT統合SOC 3 ふるまい監視 SecureX/Cisco XDR： セキュリティイベントを一元的に管理し、インシデントに対するアクションを容易にする Secure Network Analytics: ● ネットワーク上のふるまい監視 専門性を要するセキュリティオペレーションを簡素化 ● ● トラフィックフローをもとにネットワーク上の 脅威の検出と調査にかかる時間を短縮 ● デバイスのふるまいを学習し、 ワークフローの自動化により、修正時間を短縮し、コストを削減 通常と異なるふるまいを検知 ● 許可されないセグメント間での通信を検知 工場内 Cyber Vision: OAネットワーク エンジニア 在宅・設備ベンダー 管理者 産業用アプリーションのふるまい監視 Enterprise Zone ● リモートアクセス レポート 産業用プロトコルの中身を分析し、生産ライン上の Core Levels 4-5 switches デバイスの通常と異なるふるまいを検知 ● 工程変更、資産の追加削除 ● 生産設備のフライトレコーダー Industrial DMZ Firewalls リモート (Active/Standby) （IDMZ） アクセス ゲートウェイ 2 適切なネットワーク設計 生産 Core システム switches Firepower: ITネットワークと など 生産設備ネットワークの境界で防御 ● マルウェア防御 /FW (NGFW)/IPS エンジン 生産ライン Distribution switch リモート ● 許可された通信のみセキュアに接続 FAネットワーク アクセスサーバ ● IT/OT共有データサーバ Industrial Zone ●リモートデスクトップ経由による接続許可 Levels 0-3 生産ライン担当者 LWAP WGB ISA3000: 産業グレードのFW/IPS ● マルウェア防御 /FW (NGFW)/IPS エンジン FactoryTalk ● 産業プロトコルも理解 PLC Client IO Drive MCC PLC PLC ● 脅威の検知と通信の遮断 DNA Center: ネットワークの一括運用 ● IT/OT/無線など全てのネットワークの一括運用 1 接続デバイスの可視化 ● NMS的観点での可視化 ●ネットワーク障害の検知 Identity Service Engine： Cyber Vision： 資産とネットワークアクセス管理 生産ラインの資産管理と通信可視化 IEスイッチ：マネージドスイッチとして ●生産エリアにおけるデバイスの ● 生産ラインにおける情報資産の特定 標準実装のセキュリティ機能による防御 インベントリ管理 ● 産業用アプリケーション可視化* ●ポートの無効化 ● ユーザーやデバイスのアクセス管理 ● 古いOS／アプリケーション／ブラウザの検知 ● 論理的分離（接続先制御） *通信規格により利用できない場合があります ●ケーブル抜き差し検知 20