製造業でも考えるべきこと

　そして、本報告書で注目すべきは、製造業でも同じことを進めていく必要がある「提言」についてです。

　今回のランサムウェアの被害はなぜ起きたのか？　という点に関連し、報告書の中に「閉域網という境界型セキュリティは、閉域網が強固に守られていれば安全である。問題は、この閉域網にVPNという外部接続点を設けながら、そのリスクを評価してこなかった状況にある」（P27）という記述があります。

　これは病院だけでなく、ベンダーも作り出してきた“安全神話”であり、報告書のまとめでは「社会一般においてごく当然に行われているセキュリティ対策や脆弱（ぜいじゃく）性対策が放置されている。そのため、医療関係者もベンダーもセキュリティ知識が向上しない、という悪循環に陥っている、といわざるを得ない」と一刀両断しています。

図3　まとめ部分では、医療関係者だけでなくベンダーに対しても容赦ないコメントが述べられている［クリックで拡大］ 出所：岡山県精神科医療センター ランサムウェア事案調査報告書（P27）

　つまり、ベンダーにも大きな責任があるとしているのです。報告書では、ある医療系システムベンダーに機器の導入を依頼した際、最新の機器であるにもかかわらず「その医用画像管理システムベンダーはサポートが終了したOSを組み込んだ製品を公然と提案してきた。医療という社会生活に欠かせない重要インフラを担う、という意識がないベンダーがわが国の医療界には存在している」と苦言を呈しています。おそらく、製造業でも同じようなことが行われているのではないかと推測します。

　ここまで読んだ方は「アップデートしろといわれても、何が起きるか分かったもんじゃない」と思われるかもしれません。しかし、報告書ではこうも指摘しています（一部編集）。「多くのベンダーは当月の最新アップデートを適用した上で、製品出荷を行っており、それができるのであれば、製品の正常動作は保証できるのではないか」――。医療業界は特にそうですが、製造業も国のインフラを支える重要な業種です。ベンダーの協力と意識改革なくして、製造業のシステムの安全は成り立ちません。

図4　「テストができないからアップデートが困難」は本当か？［クリックで拡大］ 出所：岡山県精神科医療センター ランサムウェア事案調査報告書（P50）

　製造業の生産ラインに含まれるような制御機器の中には、WindowsやLinuxなどの汎用（はんよう）OSが使われているケースもあります。そのため、今後「アップデートできて当然である」という時代が来ない限り、このような攻撃を根本から防ぐことはできないでしょう。

　本報告書では「メンテナンスなどでVPNを使う以上、もはや閉域網はない」とも述べています。これまでのように、ベンダーから「テストができないからアップデートも困難」といわれて脆弱性を是正できず、その上「サポート切れの製品の採用を平然と提案してくる」ような状況が続けば、どんなに業界や国がガイドラインを作り、セキュリティや個人情報保護を求めても、攻撃から身を守ることは不可能といえます。

　本報告書が示唆するように、業界全体でベンダーに対する現実的かつ具体的な対応が求められるのかもしれません。閉域網神話という欺瞞（ぎまん）に依存せず、全ての関係者がセキュリティに対する認識を抜本的に改革する必要があるのです。

　このランサムウェア事案調査報告書は大変な労力で作られた上に、赤裸々な状況をそのままに伝え、かつさまざまな利害関係者に対する提言も含まれており、本音を言えば全てのページを、経営者にもしっかりと読んでいただきたいと思う内容です。本コラムがその前段階の補助線となれば幸いです。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！