工場の制御システムを守るためのセキュリティ対策ガイド

日本の工場における制御システムは、製造ラインの安定稼働を支えています。近年、サイバー攻撃の高度化と多様化により、制御システムも攻撃の標的となりつつあります。
工場の安定稼働を守るためには、地震や火災と同様にサイバー攻撃も重大なリスクとして捉え、事業継続計画（BCP）の一環として制御システムのセキュリティー対策を徹底し、外部からの攻撃経路を把握し、適切な防御策を講じることが不可欠です。本記事では、多くの工場を見てきた経験をもとに、制御システムのセキュリティー対策の基本から具体的な実践方法まで、わかりやすく解説します。

工場の制御システムを守るためにまず確認すべきこと

制御システムのセキュリティー対策で最も重要なのは、すべての攻撃経路を把握し、対策を講じることです。攻撃経路とは、外部から制御システムに侵入可能なネットワークの出入口のことを指します。攻撃経路が多いほど、守るべきポイントが増え、セキュリティー対策の負担やコストも膨らみます。攻撃経路を減らすことで、対策箇所が減り、導入や運用の負担も軽減されます。理想は「外部からのネットワークの接続経路なし」つまり完全に閉じたネットワーク環境を作ることです。とはいえ、全社的な生産管理のための社内ネットワーク接続や、工場システムの遠隔監視、品質分析のためのIoTセンサー利用など、外部ネットワークと接続しなくてはならないケースもあります。どこに接続経路があるのかを明らかにして最適化することで、攻撃経路を減らし、対策箇所を絞り込むことができ、結果としてセキュリティーの強化とコスト削減を両立できます。

「制御システムセキュリティソリューション」ご紹介

工場で操業している生産設備を制御・監視するシステム全体を対象とするセキュリティソリューションです。

遠隔監視制御システムを稼働している

VPNルーターが接続された制御システムを稼働している

セキュリティリスク分析を実施したい

セキュリティリスク分析したが妥当性に不安がある

業種別のセキュリティガイドラインに準拠する必要がある

制御システム管理者のセキュリティー意識を高めたい

「制御システムセキュリティソリューション」サービス詳細はこちら

外部からのネットワークの接続経路の調査を徹底する

攻撃経路の調査は、主に以下の3つに分けて行います。

●インターネット経路
●無線（Wi-Fi）経路
●他の社内ネットワーク経路

これらの経路が制御システムに接続されていないか、現場で目視やネットワーク機器の設定確認を行い、確実に把握することが重要です。特に工場の制御システムは、現場の実態とネットワーク構成が異なる場合が多いため、現場での直接確認が欠かせません。

インターネット経路の調査と対策

制御システムがインターネットに接続されていないことを確認することは、工場のネットワークセキュリティーの基本です。具体的には以下の3点をチェックします。

●インターネット通信の契約がないこと
●制御システム端末でインターネットのWebサイトが表示できないこと
●制御システムに導入されているサービスがインターネット接続しないこと

これらの確認により、制御システムがインターネットに直接接続されていないかを確かめます。インターネット接続経路が見つかった場合は、以下の回避策を検討します。

●普段使っていない経路であればインターネットとの接続を切断する
●閉域サービス（IP-VPNやモバイル閉域サービス）に置き換える（インターネットVPNは避ける）

インターネット経路は最もリスクが高いため、閉域網への置き換えが推奨されます。インターネットVPNは通信経路がインターネットを経由するため、攻撃リスクが高く、制御システムには適しません。IP-VPNやモバイル閉域サービスは通信経路が閉じており、インターネットから攻撃を受けるリスクがありません。

無線（Wi-Fi）経路の調査と対策

無線通信は便利ですが、電波が届く範囲で誰でも接続可能なリスクがあるため、制御システムには極力使わないことが望ましいです。工場内で無線を利用していないか、ルーターの無線設定が有効になっていないか、無線アクセスポイントが接続されていないかを確認します。無線接続経路が見つかった場合は、以下の回避策を検討します。

●普段使っていない経路であれば、無線機能を無効化する
●有線接続に置き換える

無線機能が有効なままだと外部からの不正アクセスや電波の傍受リスクが高まります。「無線接続時に認証があるから大丈夫」と考えるかもしれませんが、認証があっても脆弱性が存在する可能性があるため、リスクなしとは言えません。
無線のセキュリティー規格は、WEPやWPAなど過去に多くの脆弱性が見つかっているものがあります。安定稼働が重要な制御システムでは修正パッチの適用や設定変更が容易ではありません。長期間稼働する制御システムでは、サポート期間終了により修正パッチが提供されない場合もあります。結果として、脆弱性を抱えたまま運用されるケースが散見されるため、可能であれば無線の使用は避けるべきです。

他の社内ネットワーク経路の調査と対策

制御監視端末以外の端末から監視画面が見られないか、制御監視端末から社内システムにアクセスできないか、システム構成図を確認して他の社内ネットワークに接続可能な経路がないかを調査します。社内ネットワークと接続していると作業効率を向上させるために便利なケースがありますが、制御システムのセキュリティリスクを高める要因となります。
他の社内ネットワーク接続経路が見つかった場合は、以下の回避策を検討します。

●普段使っていない経路であれば、社内ネットワークとの接続を切断する
●制御システム接続専用端末を用意し、ネットワーク分離を徹底する

ネットワーク分離は、制御システムを他の社内ネットワークから物理的または論理的に切り離すことで、攻撃の拡大を防ぎます。これにより、万が一社内ネットワークが侵害されても、制御システムへの影響を最小限に抑えられます。

回避できない通信経路が見つかった場合の対策

どうしても回避できない通信経路がある場合は、その経路に対して徹底的なセキュリティー対策を行います。対策は大きく2つの観点から実施します。

●暫定対策（水際対策）
外部からの侵入口の脆弱性を調査し、ルーターやファイアウォールの設定見直し、ファームウェアのアップデートなどで弱点を是正します。例えば、不要なポートの閉鎖やアクセス制御リスト（ACL）の設定強化、最新のセキュリティパッチ適用などが挙げられます。

●恒久対策
制御システム全体のリスク分析を行い、根本的な対策を講じます。リスクの高い箇所から優先的に対策を進めることが重要です。例えば、ネットワークの再設計やセグメント分割、監視体制の強化、従業員のセキュリティー教育などが挙げられます。

セキュリティー対策は継続的な取り組みが鍵

制御システムのセキュリティーは一度対策を行って終わりではありません。サイバー攻撃の手法は日々進化しており、新たな脆弱性や攻撃経路が発見される可能性があります。そのため、定期的な攻撃経路の再調査やセキュリティー対策の見直しが必要です。また、従業員のセキュリティー意識向上や、インシデント発生時の対応訓練も重要な要素です。

まとめ : 自分の工場は自分で守る意識を持つ

制御システムのセキュリティーは、工場の事業継続計画（BCP）の一環です。地震や火災と同様に、サイバー攻撃も災害の1つとして捉え、体制を整える必要があります。外部ネットワークから攻撃可能な経路を現場で目視確認し、経路が見つかれば回避策を検討、回避できなければ暫定対策と恒久対策を講じてリスク低減を図りましょう。工場の安定稼働を守るためには、継続的なセキュリティー活動が不可欠です。

本記事が、制御システム担当者の皆様が自工場のセキュリティーを見直し、強化する一助となれば幸いです。安定した工場運営のために、ぜひ今日から攻撃経路の調査と対策を始めてください。