経済産業省が公開した「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」

　製造業の現場では、「じゃあどうしたらいいの？」という疑問があると思います。それに対する一つの答えが、2022年11月にバージョン1.0が公開された「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」です。

図3　経済産業省が公開した「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0」

　本書は経営者によりDXが求められている電子機器メーカーを想定し、データの収集、蓄積を開始し始めた企業において、必要なセキュリティを実装するためのガイドラインとなっています。想定される工場の姿も定義されており、生産現場、生産管理、OAゾーンを持つような、製造業の皆さんにはすぐにピンとくる形です。

　ガイドラインではそれぞれのゾーンに対し、要求されるセキュリティレベルと脅威レベルを定義しています。その上で、システム構成および物理面での対策を紹介し、それらをPDCAサイクルを回しながら改善していく進め方を解説しています。

図4　ガイドラインで想定するシステムの全体イメージ（「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」p11より引用）

　本書は「参考」として、関連する情報も適宜紹介しています。セキュリティに詳しくない方でも、攻撃者が何を目指してあなたの組織を狙うのかなど、必要な情報が補足されていますので、経営者、システム管理者だけでなく、いま工場が置かれた状況を知るためにも、多くの方に目を通してほしいドキュメントだと考えています。

まずは経営者が「宣言」を！

　その「参考」コラムの中には、「経営者による取組の宣言」という内容のものがありました。これは読んで字のごとくなのですが、実際に経営層がセキュリティ取組宣言としてどのようなことを述べたのか、実例を基に紹介しています。「セキュリティ対策を実施・推進するためには、経営層のリーダーシップが重要となる」という一文は、特に製造業においては有効な策だと考えています。

　この点に関しては、経営層が読むべきドキュメントとして、経済産業省が公開している「サイバーセキュリティ経営ガイドライン」をぜひチェックしてほしいと思います。ただこのドキュメントは少々込み入っている内容であるため、まずは経営者が指示すべき「サイバーセキュリティ経営の重要10項目」だけでもチェックしてほしいと思います。

図5　「サイバーセキュリティ経営ガイドライン」に掲載されている、「サイバーセキュリティ経営の重要10項目」

　最近では経済産業省をはじめ、情報処理推進機構（IPA）や日本ネットワークセキュリティ協会（JNSA）などから、非常に有用で無料のドキュメントがたくさん公開されています。それらは最前線で動くセキュリティリサーチャーや、著名なセキュリティベンダーの有識者が取り組んだ結果です。製造業においても充実しつつありますので、まずは上記「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」に目を通し、そこから参照されているドキュメントを読んでみることをお勧めいたします。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！