ひと言で表現すると「欠陥」です。それも、セキュリティ上で問題となり得る、ちょっと特殊なタイプのものです。「セキュリティホール」とも表現され、これを残したまま運用すると、その欠陥を使ったプログラムにより不正アクセスや情報漏えいなどの活動をする可能性があり、基本的には脆弱性は「残さないこと」が求められます。

　こうやって聞くと、恐らく皆さんも聞いたことのある「バグ」や「不具合」と何が違うの？ と思われるかもしれません。特に製造業の世界は、試験をきっちり行って、最終的なモノに対する「品質」が重要視されています。基本的には、不具合をテストでしっかりとつぶしてから出荷するのが当たり前でしょう。そういう世界から見ると、ITの世界は「何で脆弱性が残ったまま、品質が低い状態で出荷しているの？」と思うかもしれません。これは半分その通りですが、半分は弁解の余地があります。

　脆弱性とは、テストにおける「異常系」で分類されるものになります。それも、かなり悪意を持ったものです。例えば、電話番号を入力するような項目において、入力した数字が正しく保存されるのが正常系のテスト項目として、英数字が入力されるときの挙動を見るのが異常系のテスト項目でしょう。しかし、サイバー攻撃においてはその入力欄に、テスターには想像もつかない記号の羅列を入れることで、内部のデータベースに直接アクセスしてしまったり、そもそもテストをする人に賄賂を渡してテストをスキップさせたりというような、ちょっと違った角度からの行為がそれに当たります。

　例えば、脆弱性攻撃の手法である「バッファオーバーフロー」というものでは、コンピュータの「メモリ」の動作を悪用して、次々と読み込まれるメモリの内容の中にこっそりと想定外の情報を入れ込み、想定しないプログラムを実行できるようにしてしまうのです。この手法を詳しく知りたい方は、ちょっと難しいですが下記の記事を参考にしてみてください。

じゃあ脆弱性対策は諦めていいの？

　脆弱性への攻撃は、まさに「パズル」的です。

　本来「氏名」を入力するような項目に、「';DELETE from user WHERE 'A'='A」などと入力されるなんて誰が思うでしょうか。しかし今日では、これくらいのセキュリティの知識は“知っていて当然”のものであり、知らないと大きな問題を引き起こしかねません。

　以前、脆弱性の代表格「SQLインジェクション」を利用して、クレジットカード情報を漏えいしてしまったシステムがありました。その責任がシステムを作ったベンダーにあるかどうかを争う裁判において、東京地方裁判所は「ベンダーにも責任がある」と判断しています。その根拠として、「情報処理推進機構（IPA）が注意喚起を既に行っており、その対策方法もドキュメントとして公開されているという現状があるため」としているのです。つまりこれらの情報は、“専門家であれば必ず知っていなければならない”ということになりますね。

製造業向け資料も既にある――まずは読もう！

　IPAは、さまざまな業種で使える資料を公開しています。IPAが発信する情報は、ITに関連するベンダーだけ知っていればいいと思われるかもしれませんが、しっかりと「製造業向け」の資料も取りそろえられています。業種を問わず、「インターネット」や「IT」を活用するのであれば、ぜひ知っておいてほしい組織です。

制御システムも脆弱性とは無関係ではいられません（出典：IPA／「制御システム利用者のための脆弱性対応ガイド 第2版」） ※クリックで拡大表示

　中でも「制御システム利用者のための脆弱性対応ガイド 第2版」は、「工場」などで使われている制御システムを持つ企業に読んでほしい資料です。特定のプラントを狙う攻撃も増えており、「工場と通常ネットワークは分断しているからウチは関係ない！」と一瞬でも思った方こそ、ぜひ読んでみてください。

　脆弱性は分かりにくく、何だか面倒そうなので対策を後回しにしてしまおうと考えがちですが、攻撃者はまさにその「人の脆弱性」を狙って攻撃してきます。最近では前述したような、製造業に向けた資料や情報も多く公開され始めています。

　本稿は、あくまで“入り口（知るきっかけ）”になるようなことしか紹介していませんので、ちょっとでも興味を持ったら、よりその興味を深掘りしていただけるとうれしいです。このコラムでも、そんな“入り口”をたくさん紹介できればと思っています。ぜひ、お付き合いくださいませ。（次回に続く）

&raquo 連載バックナンバー

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追い掛けている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。現在、ITmediaエンタープライズにて、もはや誰もが人ごとではないITの課題や話題を紹介する「半径300メートルのIT」を連載中。また、それをまとめた書籍「デジタルの作法～1億総スマホ時代のセキュリティ講座」も発売中。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！

併せて読みたいお薦めホワイトペーパー：

• 「つながる工場」実施済みは36.5％「コスト」「標準」「セキュリティ」が課題
• 調査結果から見えてきた、製造業におけるIoT／M2Mの活用状況と課題
• 回答者の92.8％が経験済みの品質問題、設計部門がこれから取るべき対策とは？
• 産業用ネットワークの基礎「EtherCAT 入門編」