IT以外のシステムを守るために整理すべき2つのこと

　では、こうした状況下で、業務を守るために何ができるのでしょうか。

システムの棚卸し

　1つは、自社システムではどんなOSのバージョンが使われており、どんなアプリケーションが動いているのか。また生産システムと情報システム、サーバ類がどのようにつながり、どれがどれに依存しているかを整理することでしょう。つまり棚卸しです。

　そんなの普通はできているはずだし、「うちはつながっていないから大丈夫」と思われるかもしれませんが、WannaCryが散発的に影響を与えていることからも分かる通り、運用を続けるうちに変更が生じ、どこかに穴が空いてしまっている可能性は否定できません。「つながっていないから大丈夫だろう」から、「もしかしたら影響を受けるかもしれない」という視点で考えてみてはいかがでしょうか。

　ちなみにWannaCryはSMBv1というプロトコルを用い、ネットワーク経由で感染を広めましたが、一般的にマルウェアが利用する経路はそれだけとは限りません。

　かつて、制御システムのセキュリティの在り方に一石を投じた「Stuxnet」というマルウェアは、USBメモリ経由で制御システムに侵入しました。こうした経路もぜひチェックすべきでしょう（関連記事：製造業セキュリティの頻出単語「Stuxnet」を5分で知ろう）。もしその結果、完全にクローズドなシステムであることが断言できればひとまずは安心でしょう（が、この先未来永劫それが続くとは限りません。定期的な棚卸しをお勧めします）。

　また、直接情報システムに接続していなくても、データ参照の形で情報系システムのデータを取りにいくシステムがあれば、その影響を考慮すべきです。JPCERTコーディネーションセンター（JPCERT/CC）では、「例えば情報系ネットワークにおいて感染被害が発生し、工程管理や生産管理にかかわる業務データが使用できなくなった場合、制御系システムの稼働など、生産業務に影響が出ると思われます」とコメントしており、バックアップデータの取得・管理が重要だとしています。

できるものにはパッチ適用、できなければ……

　棚卸しが終わったら、パッチの適用が可能なシステムとそうでないものを分け、可能なシステムについては速やかに適用してください。

　では、何らかの理由でパッチ適用が無理な場合はどうすべきでしょうか。ネットには「パッチを適用しないのはユーザーの怠慢だ」という意見もありますが（これも、セキュリティを真剣に考えるが故の苦言ではあるのですが）、今すぐは手がつけられない、予算がつかない、調達元との調整が必要だ……など、やむを得ない理由で手をつけられないこともあると聞きます。

　そんな場合は少なくとも、ネットワークアクセス制御やセグメント化、ネットワーク監視を通じて、脅威が入り込むスキマを減らし、異常が発生したら速やかに検出する手順を整えておくべきでしょう。パッチを適用するまでの間、何らかの守る手段を講じつつ、「ある程度のリスクは覚悟しつつ、必死に守る」という向き合い方が求められるのではないかと、各種セキュリティサービスを提供するS＆Jの三輪信雄氏は述べています。

　その上NotPetyaの登場によって、たとえ最新のパッチを適用していても、内部からマルウェアに感染する恐れがあることが明らかになりました。従って、各端末ではどんな権限のアカウントが与えられているか、どんな権限で何のサービスが動いているかの洗い出しも必要となりそうです。これもセキュリティの定石ですが、利用する権限を最小限に留め、アカウント管理を実施するとともに、場合によってはホワイトリスト的に動きを制限することも選択肢の1つになると思います。

　繰り返しになりますが、ランサムウェアや破壊型のマルウェアは、感染してしまった時点で「負け」になります。従って、従来の事業継続計画の一環としてバックアップを取得し、切り戻し（failback）の手順を確認しておくことも検討すべきでしょう。

　なお、近年サイバー攻撃が話題になることが増えたせいか、最初のうちはニュースでもブログでも情報が錯綜しがちです。NotPetyaに関しても、メールに添付された脆弱性を突くファイルを誰かが開いたことが原因なのか、それともネットワーク経由で感染してきたかについては、情報が整理しきれていない部分があります。これと決めつけず、頭の中でいろいろな可能性を考えておくことも大事でしょう。