近年、サイバー攻撃、特に身代金を要求するランサムウェアの標的として、製造業が狙われるケースが世界的に増加しています。本記事では、なぜ製造業が攻撃者にとって魅力的な標的となっているのか、その背景にある構造的な理由を解説し、日本の製造業が取るべき現実的な対策について考察します。
製造業がサイバー攻撃の主要な標的となる理由
かつてサイバー攻撃は、金融機関やIT企業が主な標的とされていました。しかし、近年その様相は大きく変わり、製造業への攻撃が急増しています。その背景には、製造業特有のいくつかの脆弱性と、攻撃者側から見た「攻撃のしやすさ」と「効果の大きさ」があります。
生産停止がもたらす甚大な影響
製造業に対するランサムウェア攻撃が深刻なのは、それが単なるデータやシステムの暗号化にとどまらず、工場の生産ラインという物理的な活動を直接停止させてしまう点にあります。生産が1日停止するだけで、その損失は数百万から数億円に上ることも珍しくありません。攻撃者は、この「事業停止による損失」を天秤にかけさせ、企業が身代金の支払いに応じやすい状況を作り出します。また、サプライチェーン全体に影響が波及し、顧客や取引先にまで被害が及ぶ可能性も、攻撃者にとっては格好の脅迫材料となります。
ITとOTの融合がもたらす新たなリスク
スマートファクトリー化やDXの推進に伴い、従来は独立していた工場の生産制御システム（OT: Operational Technology）が、社内の情報システム（IT: Information Technology）や外部のインターネットと接続される機会が増えました。これにより生産の可視化や効率化が進む一方で、これまで閉鎖的な環境で守られていた生産設備が、サイバー攻撃の脅威に直接晒されることになりました。IT領域への侵入を足がかりに、OT領域にまで被害が拡大するケースは、典型的な攻撃シナリオの一つとなっています。
長年稼働する生産設備の脆弱性
工場の生産設備は、一度導入されると10年、20年と長期にわたって使用されることが一般的です。その結果、設備を制御するPCやサーバーのOSが古いまま更新されず、セキュリティパッチが適用されていない「レガシーシステム」が数多く稼働しているのが実情です。こうしたシステムは既知の脆弱性を抱えていることが多く、攻撃者にとっては侵入の容易な入り口となり得ます。生産への影響を懸念して安易にシステムを更新できないという、製造現場ならではの事情が、リスクを増大させている側面は否めません。
サプライチェーン全体に潜む脅威
日本の製造業は、数多くの取引先との緊密な連携の上に成り立っています。この複雑なサプライチェーンの構造が、サイバー攻撃のリスクを高める一因ともなっています。自社のセキュリティ対策が強固であっても、取引関係にあるセキュリティの脆弱な中小企業が攻撃され、そこを踏み台として自社に侵入される「サプライチェーン攻撃」のリスクは常に存在します。特に近年は、盗んだ情報を公開すると脅迫する「二重恐喝」の手口も増えており、自社の機密情報だけでなく、取引先の重要情報まで漏洩する危険性があります。
日本の製造業への示唆
今回のテーマは、対岸の火事ではなく、日本のすべての製造業が直面している喫緊の課題です。これからの工場運営において、サイバーセキュリティは品質管理や安全管理と同様に、事業継続を支える重要な柱として位置づける必要があります。以下に、実務への示唆を整理します。
1. 資産の可視化とリスク評価の徹底:
まずは、自社の工場内にどのような機器が存在し、それらがどのようにネットワークに接続されているかを正確に把握することから始めるべきです。特に、これまで管理対象外とされがちだったOT領域の資産を洗い出し、潜在的なリスクを評価することが不可欠です。
2. ITと製造部門の連携強化:
セキュリティ対策は、情報システム部門任せでは機能しません。製造部門が主体的に関わり、生産への影響を考慮しながら、実現可能な対策を共に検討していく体制の構築が求められます。セキュリティの知見を持つIT部門と、現場の実情を熟知した製造部門との対話が、実効性のある対策の第一歩となります。
3. 基本的な対策の地道な実践:
高度な対策も重要ですが、まずはOSのアップデート、ウイルス対策ソフトの導入、不要なポートの閉鎖、アクセス権限の最小化といった基本的な対策を、OT環境も含めて地道に実践することが重要です。特に、古いシステムを使い続けざるを得ない場合は、ネットワーク分離などの追加対策を検討する必要があります。
4. インシデント発生を前提とした準備:
「攻撃は必ず起きるもの」という前提に立ち、万が一の事態に備えることが不可欠です。重要なデータのバックアップを定期的に取得し、その復旧手順を実際にテストしておくこと。そして、インシデント発生時の報告体制や対応手順を定めた計画を策定し、関係者で共有・訓練しておくことが、被害を最小限に抑える鍵となります。
5. サプライチェーン全体での意識向上:
自社だけでなく、主要な取引先に対してもセキュリティ対策の状況を確認し、必要であれば協力を要請するなど、サプライチェーン全体でリスクを低減する視点が求められます。これは自社を守るだけでなく、業界全体の競争力維持にも繋がります。
コメント