今こそ考えたい製造業IoTのセキュリティリスク

IoTセキュリティ対策を検討する“その前に”――企業がまず考えるべきこと（1/2 ページ）

製造業に革新をもたらすといわれる「IoT（Internet of Things）」。スマート化された工場の明るい未来だけがフォーカスされがちだが、ネットワークにつながることでもたらされるのは恩恵ばかりではない。本インタビュー企画では、製造業IoTを実現する上で重要となる「セキュリティ」にフォーカスし、製造業IoTで起こり得るセキュリティインシデントとその対策について紹介する。第1回は、製造業向けにも多くのソリューションを提供しているカスペルスキーに話を聞いた。

公開 2017年02月20日 09時00分

更新 2018年06月05日 15時55分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　工場の見える化による生産性向上や工場設備の状態監視による予知保全など、製造業に革新をもたらすといわれる「IoT（Internet of Things）」。このIoTという言葉は“バズワード”として広がり、製造業に携わる者だけでなく、多くの人が注目している。

　そしてそのIoTが、とうとう「セキュリティを考えるフェーズ」に入りつつある。そこで本インタビュー企画では、製造業IoTを実現する上で欠かせないセキュリティにフォーカスし、製造業IoTで起こり得るセキュリティインシデントとその対策について、主要セキュリティベンダーの話を交えて紹介していく。第1回は、製造業向けにも多くのソリューションを提供しているセキュリティベンダー、カスペルスキー（Kaspersky Lab）に話を聞いた。

◎「工場／製造業／IIoT セキュリティ」関連記事～課題、事例、導入、対策～など

&raquo 脆弱性はなくならない、事故発生を前提とした対策があなたの工場を脅威から守る

&raquo 工場セキュリティ対策の考え方と現実的なソリューション導入の手引き

&raquo 製造業が狙われる日も近い、制御情報系システムをITセキュリティの力で死守せよ

&raquo 狙われる国内製造業――事例から学ぶIoT時代の「工場セキュリティ」（前編）

&raquo 狙われる国内製造業――事例から学ぶIoT時代の「工場セキュリティ」（後編）

⇒ 新着記事をチェックする

IoTセキュリティ、海外では何が起きているのか

　今回話を伺った、カスペルスキービジネスディベロップメントマネージャー松岡正人氏は、日本の産業システムの状況について「日本のATMや放送局などがストップしたという報告はほとんど聞かれないが、これはたまたま大きな被害がないだけだ」と語る。実際に世界では2014～2015年にかけて、ドイツの製鉄所やフランスの放送局を標的にし、重要インフラを壊すほどの攻撃被害が報告されている。その状況を見る限り「今後、日本でも産業システムや社会インフラを対象とした攻撃がやってくる」と松岡氏は述べる。

　そのきっかけになるのが、2020年の東京オリンピック・パラリンピックの開催かもしれない。

　「これも私見だが、オリンピックに併せてサイバー犯罪者による“技術の展覧会”が開催されると考えている。目立ちたい攻撃者がこのイベントを狙ってくる。例えばランサムウェアを仕掛けられた国や団体が身代金を支払う事態が起こるかもしれない。自らの技術力をアピールするために、日本をターゲットにより高度なサイバー攻撃を仕掛けてくる攻撃者は一定数いるはずだ」（松岡氏）。そう考えると、東京オリンピック・パラリンピックに無関係な企業でも、“日本企業”であればサイバー攻撃のターゲットになり得る。

カスペルスキービジネスディベロップメントマネージャー松岡正人氏

　だからといって、“IoTセキュリティ対策製品”を導入すれば解決するかというと、そういうことでもない。そもそも松岡氏は「完全に私見だが、2017年は“IoTセキュリティ対策”という言葉をなくしたい」とも述べる。

　そこにどのような意味があるのだろうか。松岡氏は“IoTセキュリティ対策”の前に、一体何を守るべきなのかという点から「あるべき考え方」を述べた。

IoTで最も重要で、守らなくてはならないものは何か？

　松岡氏はまず、「IoTにおいてはデータが最も重要である」と述べる。ここでいうデータとは、銀行、会計システムを例に挙げると口座残高や振替、送金のための手順、口座情報などのプロセスデータだ。工場においては“レシピ”と呼ばれ、製品を製造するために必要なラインの制御に用いる各種パラメーター群が相当するだろう。

　では、その「データ」はどのような性質を持つのだろうか。例えば、自動販売機のデータのように、個々のデータではなく「集約して、加工したデータ」に価値がある、という場合もある。工場のラインに関するデータにおいても、タイミング情報などを含む加工手順のパラメーターがなければ全く同じラインは作れない。ならば、その「価値のあるデータ」のみを守ればいい、という考え方もできる。松岡氏は「データを分散し、フラグメント状態で保持するという手法を採れば、ジグソーパズルのように一部のデータ（ピース）が盗まれても全体を復元することは困難になる。これも1つの手法。攻撃者の狙いを知ることはできないが、まず自分たちは“何を盗まれたら”“何を壊されたら”困るのかを定義しなくてはならない」と述べる。

　実はこの考え方はIoT、製造業に特化したセキュリティ対策ではない。いわゆるBCP（事業継続計画）の考え方の中で語られるべき話だと松岡氏は指摘する。「BCPは企業が利益を生み出し続けるために、阻害する要因を除外するために制定されるもの。ここには事件、事故、災害などどのような種類のリスクであっても、対処できるプランを作る必要がある。実は“IoTセキュリティ”というものも、そこに含まれる1つ。“ビジネス上のリスク”を定義し、それをカバーするために適切なサイバーセキュリティ技術を入れればよい」と松岡氏は述べる。

　これは、経営のプロだけでなく、ITのプロが経営に入り込まなければならないことを意味している。この部分が実は日本の企業においては弱点で、なかなか浸透しない考え方なのだ。“BCPがきちんと作られていなければ、それに沿った正しいITを選択することすらできない――”。これこそが、IoTセキュリティ対策の正しいスタートだ。

では、何ができるのか？

　BCPがあってこそのセキュリティ対策。難しいことのように思えるが、「ラインを止めない」という意味では製造業の方は意識が高いともいえる。工場が止まるさまざまな要因を予測し、対策してきた製造業ならば、「サイバーセキュリティ特有のリスク」さえ明らかになれば浸透も早いかもしれない。

　松岡氏は製造業やIoT分野でまずやるべきこととして「監視」をすべきだと述べる。IoTを「多くの端末がネットワークに接続され、そこから検出されるさまざまなデータを集約し、機器をコントロールする」と定義すると、リスクとして、端末が増えることにより攻撃されるポイントが増えることが考えられる。例えばスマートグリッドを実現するには、各家庭に設置されたHEMS（Home Energy Management System）やスマートメーターを基に電力網の需給バランスを調整するが、これらを乗っ取ることで需給バランスを著しく変化させることもできる。こうした事態を防ぐためには、これらの端末のアプリケーションが不正に改ざんされていないかを監視する必要がある。

　「もし端末の改ざんがリスクになり、改ざんさせない仕組みを作りたければ、ネットワークモニタリングの技術や中間者攻撃防止技術、リレーアタック防御技術などの端末保護技術を考えるべきだ」と松岡氏は述べる。

　IoTのネットワークでは、機器の入力／出力データ以外に「制御」も受け付けるものがある。機器側への制御が行われる場合、通信の改ざんなどによる機器やシステムの破壊といったリスクが想定されるならば、通信そのものを保護する必要性も出てくるだろう。通常の機器であればインターネット上でVPNを利用することが考えられるが、IoTにおけるエッジデバイスのように非力な機器であると、携帯電話キャリアの4G通信による閉じたネットワークを利用するといった手段もある。ただし、その場合はコストが課題になるだろう。

　「そのデータがコスト的に“保護することに見合うか？”も考えるべきだ。端末単体、エンドポイントでの保護が難しければ、著しく大きい／小さい値を除外するなど、システム全体で守るという考え方もできるはずだ。データの変位を見て、補正する／捨てるなどの判断を、AIやビッグデータ的なアプローチを使い、問題を解決することもできるだろう」（松岡氏）。

次ページへ絶対に止められないシステムの守り方／標準的な仕組みを取り入れる守り方

印刷する

今こそ考えたい製造業IoTのセキュリティリスク

製造業に革新をもたらすといわれる「IoT（Internet of Things）」。スマート化された工場の明るい未来だけがフォーカスされがちだが、ネットワークにつながることでもたらされるのは恩恵ばかりではない。本インタビュー企画では、製造業IoTを実現する上で重要となる「セキュリティ」にフォーカスし、製造業IoTで起こり得るセキュリティインシデントとその対策について紹介する。◎こんなキーワードに興味のある方にオススメ：［工場セキュリティ］［製造業セキュリティ］［IoTセキュリティ］［制御システムセキュリティ］［セキュリティリスク］［セキュリティソリューション］

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

宮田健

＠IT記者を経て、現在はセキュリティに関するフリーライターとして活動する。エンタープライズ分野におけるセキュリティを追いかけつつ、普通の人にも興味を持ってもらえるためにはどうしたらいいか、日々模索を続けている。

IoTセキュリティ対策を検討する“その前に”――企業がまず考えるべきこと（1/2 ページ）

◎「工場／製造業／IIoT セキュリティ」関連記事 ～課題、事例、導入、対策～ など

IoTセキュリティ、海外では何が起きているのか

IoTで最も重要で、守らなくてはならないものは何か？

では、何ができるのか？

今こそ考えたい製造業IoTのセキュリティリスク

この記事の著者

新着ホワイトペーパー PR

関連記事

産業用制御システムの運用ポリシーや制約を踏まえたサイバーセキュリティ導入が可能に

産業用制御システムのセキュリティ対策支援で協業、「アキレス認証」を行う国内初の第三者機関に

標的型ランサムウェアが日本企業を襲う!? IIoTシステムを狙った攻撃にも注意

問われる企業の防御姿勢、「自社のセキュリティ対策に自信あり」が45％

製造業で実績のあるAI技術を活用したマルウェア対策製品

◎「工場／製造業／IIoT セキュリティ」関連記事～課題、事例、導入、対策～など

標的型ランサムウェアが日本企業を襲う!?　IIoTシステムを狙った攻撃にも注意