米国の医療技術大手ストライカー社がサイバー攻撃を受け、受注から製造、出荷に至る基幹業務が中断したと報告しました。この事例は、スマートファクトリー化が進む日本の製造業にとっても、事業継続を脅かすサイバーリスクの現実と、その対策の重要性を改めて示唆しています。
事件の概要：生産から出荷までが中断
医療技術（メドテック）分野のグローバル企業であるストライカー社は、社内システムへのサイバー攻撃を検知したことを公表しました。同社の報告によれば、この攻撃により、受注処理、製造、そして出荷といった一連の業務プロセスに支障が生じているとのことです。現時点では攻撃の具体的な手口や被害の全容は調査中とされていますが、事業の根幹をなすオペレーションが停止したという事実は、極めて深刻な事態であると言えます。
製造業を狙うサイバー攻撃の脅威
今回の事例は、サイバー攻撃が単なる情報漏洩に留まらず、物理的な生産活動そのものを停止させうるという現実を浮き彫りにしました。近年の製造現場では、DX（デジタルトランスフォーメーション）やスマートファクトリー化の推進に伴い、従来は独立していた工場内の生産設備や制御システム（OT: Operational Technology）が、社内のITネットワークと接続されるケースが増えています。これにより生産性は飛躍的に向上しましたが、同時にサイバー攻撃の侵入経路を増やし、リスクを高める結果にもなっています。
例えば、生産管理システム（MES）や設備の稼働を監視するSCADAシステムがランサムウェア（身代金要求型ウイルス）に感染した場合、工場の生産ライン全体が停止に追い込まれる可能性があります。これまで日本の製造業では、品質管理や生産効率の改善に主眼が置かれてきましたが、今後は事業継続の観点から、OT領域を含めたサイバーセキュリティ対策が不可欠な経営課題となっています。
サプライチェーン全体への波及リスク
ストライカー社の事例で特に注目すべきは、製造だけでなく、受注や出荷といったサプライチェーンの上流から下流までが影響を受けている点です。これは、サイバー攻撃による被害が、一工場の生産停止に留まらないことを示しています。自社の生産が止まれば、顧客への製品供給が遅れるだけでなく、部品を供給するサプライヤーにも影響が及びます。特に、ジャストインタイム（JIT）のように在庫を極限まで最適化したサプライチェーンは、こうした予期せぬ中断に対して脆弱な側面を持っています。
我々日本の製造業に置き換えてみても、自社だけでなく、取引先のセキュリティレベルがサプライチェーン全体のリスクを左右する可能性があります。自社の対策が万全でも、部品供給元の工場がサイバー攻撃で停止すれば、自社の生産ラインも止まりかねません。サプライチェーンが複雑化・グローバル化する中で、個社最適の対策だけでは不十分になりつつあります。
日本の製造業への示唆
今回の事例から、日本の製造業が学ぶべき点は多岐にわたります。以下に、実務的な観点からの要点を整理します。
1. ITとOTを統合したセキュリティ対策の推進
情報システム部門が管轄するIT領域だけでなく、工場設備が接続されるOT領域のセキュリティ対策を強化する必要があります。両者のネットワーク境界での監視強化や、工場内ネットワークの適切なセグメント化（区分け）、古いOSで稼働する生産設備への対策など、専門的な知見に基づいた包括的な防御策が求められます。
2. サイバー攻撃を想定した事業継続計画（BCP）の見直し
自然災害だけでなく、「サイバー攻撃による生産停止」を具体的なリスクシナリオとしてBCPに組み込むことが重要です。システムが停止した場合の代替生産手段の確保、手作業でのオペレーション手順の確認、そして顧客やサプライヤーへの連絡体制などを事前に定め、定期的に訓練を行うことが、有事の際の被害を最小限に抑える鍵となります。
3. サプライチェーン全体でのリスク管理
自社のセキュリティ対策を強化すると同時に、主要なサプライヤーに対してもセキュリティ対策状況の確認を求めるなど、サプライチェーン全体でリスクを評価し、対策を講じる視点が不可欠です。取引開始時のセキュリティ要件の明確化や、定期的な監査といった取り組みが考えられます。
4. 経営層のリーダーシップ
サイバーセキュリティは、もはやIT部門だけの課題ではありません。事業継続を左右する重要な経営課題として認識し、経営層がリーダーシップを発揮して、必要な投資や人材育成、組織体制の構築を主導していく必要があります。
コメント