特に製造業では便利になっても「つなぐ」ことができない場所がある

　特に製造業においては、安全のために不便になっているかもしれない部分があります。そこに対して、勝手な変更を行うことで大変な問題になる場合があります。

　安全のために不便にしているところとは、工場ネットワークが独立していることです。普段メールなどを利用しているネットワークと、工場のネットワークは完全に切り離されていることが多いのですが、これはインターネットという攻撃のための通信がはびこる場所と、工場というネットワーク内もクリーンであるべき場所を明確に区別するためです。サイバー犯罪者は何とかして工場ネットワークに、インターネットから直接／間接的に入り込み、内部にしかないレシピやデータを盗み出し、そして破壊したいのです。

　そのため、インターネットにつながる企業内ネットワークに侵入した後、なんとかして「工場ネットワークにつながっている機器」を探し出します。多くの場合、そんな機器は存在しません。しかし、もし誰かが勝手にネットワークを追加し、その橋渡しとなるような機器が付けられ、かつシステム担当者もそれに気が付かなかったとしたら……。サイバー犯罪者は、まさにそれを狙っています。

　もちろん、これはシステム担当者やセキュリティ担当者にとって常識のようなもので、間違ってもそのような設計にはしないでしょうし、どうしても接続が必要な場合、それなりの対策が行われます。問題はそういうことを知らない、大多数の従業員です。セキュリティの最後の砦は「人」。普通の人も、ほんの少しだけでも知識を付けなければならない時代になりつつあると感じています。

知っている人は知っている――その「知っている人」を増やしたい

　いま、サイバー攻撃は「普通の人」もターゲットになっています。例えばランサムウェア攻撃をはじめとする、脆弱性を突くようなマルウェアの攻撃はほとんどがメールを経由してやってきます。メールを受け取る人は「普通の人」です。普通の人がセキュリティに詳しくなることは理想的ではありますが、なかなか難しいと言わざるを得ません。

　そのため、私たちは「チーム」で動く必要があると思っています。全員が詳しくなる前に「チームの中に詳しい人が1人はいる」という体制が作れれば、何かおかしいことが起きたときや、ちょっと迷ったときにコミュニケーションを取ることで致命的な状況にはならないはずです。

　年金機構の事件が起きた2015年のころは、まだ標的型攻撃は一般的ではありませんでした。しかし、もはや誰のメールボックスにもマルウェアが届く時代です。だからこそ、私たちも少しずつセキュリティに歩み寄り、ほんの少しでも前に進むことで対策を行いたいと思います。経済産業省は「サイバーセキュリティ体制構築・人材確保の手引き」第2版（https://www.meti.go.jp/policy/netsecurity/tebiki_taisei_jinzai.html）において、自らの業務遂行に当たってセキュリティを意識し、必要かつ十分なセキュリティ対策を実現できる能力を身につけること、あるいは身につけている状態を「プラス・セキュリティ」と表現しています。ぜひ、これを全員で目指していきましょう。

図2　経済産業省「サイバーセキュリティ体制構築・人材確保の手引き」第2版

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！