製造業では、スマートファクトリーの実現によって生産性を向上させ、競争力を高めようとする動きが活発である。各国の政府も、例えばインダストリー4.0(ドイツ)やコネクテッドインダストリーズ(日本)といったコンセプトを掲げ、製造業のスマート化促進に向けた政策を実施している。しかし、IIoT機器や制御システムが情報システムと接続されることで、サイバー攻撃のリスクは高まっている。

狙われる製造業

従来、製造現場は外部と接続されていなかったために、サイバーセキュリティについて考える必要はなかった。しかし、スマートファクトリーは外部との「つながる化」が前提となるため、新たにサイバー攻撃のリスクが生じることになる。IIoT機器など、つながるデバイスが増えれば増えるほどリスクも高まるが、工場でのサイバーセキュリティ対策は遅れているのが現実である。

英国の業界団体MakeUKは、製造業は、金融業界および政府機関の次に狙われるターゲットであるとしている。またMakeUKは、英国では製造業のほぼ半数が、なんらかの形でサイバー攻撃を受けており、全体の1/4程度が、サイバー攻撃の結果、金銭的やその他の損失を蒙ったと報告している。英国に限らず、実際にサイバー攻撃により、工場やプラントが稼働停止になった事例は古くから存在する。2010年前には、マルウェア「Stuxnet」がイラン核施設の遠心分離器の制御システムにUSBメモリ経由で侵入し、同施設を稼働停止に陥れた事例が注目を集めた。2017年に流行したランサムウェアの「WannaCry」では、自動車工場など数多くの工場が被害を受け操業停止となった。

サイバー攻撃の「入り口」は様々である。2013年に発生した、米国の小売企業ターゲットにおける個人情報漏洩では、進入の入り口となったのはターゲットの空調システムだった。空調システムがハッキングされ、それが同社のITシステムとつながっていたころから、内部への侵入を許し、1億人規模の個人情報が漏洩した。MakeUKの報告書では、回答者の3割以上が、デジタル化を進めることの重要性を認識しつつも、こうしたサイバー攻撃のリスクがあるため、本格的にデジタル化に取り組むことをためらっていると回答している。

リスクと攻撃シナリオ

こうした状況を受け、EUのセキュリティ組織であるENISA(EUネットワーク情報セキュリティ機関)が、制御系システム/IIoTのセキュリティ対策集として、「Good practices for Security of Internet of Things in the context of Smart Manufacturing」(スマートマニュファクチャリングのおけるIoTセキュリティのグッドプラクティス)を2018年に公開した。グッドプラクティス文書では、ハードウェアとソフトウェアの不正操作や制御システムの故障または誤動作(PLC、RTU、DCS)、ソフトウェアの脆弱性の悪用、停電といった29項目のセキュリティ脅威がリストアップされており、ENISAが2017年に公開したIoTのセキュリティ対策集「Good practices for Security of Internet of Things」と比べ、工場設備の稼動に対するリスクに重点を当てたものとなっている。 またグッドプラクティス文書は、IIoTが攻撃される場合の想定シナリオを以下の12件に分類している。

1)コントローラ(例:DCS、PLC)とアクチュエータ間の接続に対する攻撃。
2)センサに対する攻撃(測定値/状態の変更、それらの再設定、等)
3)アクチュエータに対する攻撃(状態を抑制し、構成を変更する)
4)ネットワーク経由で送信された情報への攻撃
5)IIoT ゲートウェイへの攻撃(脆弱なプロトコルやデフォルトパスワードなど)
6)リモコン装置(例えば操作パネル、スマートフォン)の不正操作
7)安全計装システム(SIS)への攻撃
8)マルウェアによる攻撃
9)IoT ボットネットを使った分散型サービス妨害 (DDos) 攻撃
10)踏み台攻撃(クラウドに対する攻撃等)
11)ヒューマンエラーによる攻撃およびソーシャルエンジニアリング攻撃
12)人工知能技術を使用した高度にパーソナライズされた攻撃

この中でも、3), 4), 5), 7)が特に致命的な影響をもたらしうる攻撃と分類されている。制御システムの乗っ取りやシステムの不正操作といった攻撃は設備の破壊を招く可能性があり、企業に大きな経済的損失をもたらすだけでなく環境や人命への被害も発生しうる。廃棄物処理施設がハッキングされることによる環境汚染や、送電網が不正操作されて停電が起きる、というような事態が考えられる。2017年にサウジアラビアの石油化学プラントを停止させたマルウェア「Triton」による攻撃は、データの改ざんに対してプラントとその緊急停止機能がいかに脆弱であるかを示すものだ。

セキュリティ対策

グッドプラクティス文書では、セキュリティ対策集として110件のセキュリティ要件が定義されている(ポリシー: 24要件、組織的対策: 27要件、技術的対策: 59要件)。IoTに関するグッドプラクティス文書と比較すると、ポリシー面ではプライバシー・バイ・デザイン、資産管理、リスク管理および脅威の管理についての要件が多くなっている。また、技術的対策としては、例えば事業継続計画の作成とテスト、アップデートができない場合の代替措置やネットワーク分離などが要件とされている。近年利用が拡大しているクラウドのセキュリティについてもセキュリティ対策要件も定義されている。クラウドを選択する際には、クラウドセキュリティプロバイダの国や接続拠点(points of presence)に適用される法律や規制や存在感も考慮すること、またパブリッククラウドの利用を検討している場合は、重要なシステムとアプリケーションをプライベートまたは少なくともハイブリッド展開モデル内に配置し、実装前にリスク分析を行うこと、等である。

益々重要となるサイバーセキュリティ対策

米国の製薬会社メルクは、2017年のサイバー攻撃による販売損失が1億3500万ドル相当、またサイバー攻撃への対応にも約1億7500万ドルかかったと見積もっている。製造業に対するサイバー攻撃のリスクの大きさを考えれば、対策を充実させることは必須といえる。また、攻撃手段やマルウェアは日々進歩に対応するため、セキュリティ対策を最新のものに保つことも必要である。スマート化、IIoT化が加速する今、セキュリティ対策の重要性は益々大きくなっている。

ENISAによるグッドプラクティスの原文、および独立行政法人情報処理推進機構による日本語版は、それぞれ以下のリンクからダウンロード可能。 
Good Practices for Security of Internet of Things in the context of Smart Manufacturing
https://www.enisa.europa.eu/publications/good-practices-for-security-of-iot
スマートマニュファクチャリングのおけるIoTセキュリティのグッドプラクティス https://www.ipa.go.jp/files/000073490.pdf