「IoT」や「インダストリ4.0」というキーワードとともに、IoTのセキュリティ、さらには工場や社会インフラを支える制御システムのセキュリティへの注目度が高まりつつある。スタンドアロンで動くことが一般的だった制御システムはこれまで、サイバー攻撃のようなセキュリティリスクとは無縁の存在だと思われていた。しかし近年、制御システムもオープン化が進み、セキュリティ脅威にさらされている。制御システムのセキュリティは、どのようにして守ればよいのか──。（取材・文／前田幸慧）

●重要インフラが狙われるオープン化する制御システム

　電気・ガス・水道・石油・化学など「重要インフラ」と呼ばれる分野や、製造業の工場生産ラインで稼働する制御システム。従来、企業オフィスなどの情報系ネットワークやインターネットとはつながらない隔離された環境で、かつ独自のOSやプロトコルを利用して運用されてきたため、セキュリティ上のリスクは低いと考えられてきた。

　しかし最近では、そうした安全神話は崩れつつある。制御システムにおいても、Windowsなどの汎用的なOSや標準プロトコルの採用が増え、業務効率化、生産性向上を目的にERPやMESなどの情報系ネットワークとも接続されるようになるなどオープン化が進み、サイバー攻撃やマルウェア感染といった、セキュリティ脅威にさらされるリスクが増大しているからだ。また、スタンドアロンで稼働する制御システムでも、制御ネットワーク内に持ち込まれたPCやUSBデバイスを介して、マルウェアに感染することが明らかになった。

　2010年に発生したイランの核関連施設を停止させた「Stuxnet」と呼ばれるマルウェアの登場は、まさにそのケースだ。Stuxnetは、イランにあるウラン濃縮施設で稼働する制御システムに感染、遠心分離機の回転数異常を引き起こして破壊、施設の機能を一時停止させる事件を引き起こした。この事件の全容はいまだ明らかにはなっていないが、Stuxnetはインターネットを経由して拡散し、接続されたコンピュータに感染して潜伏するとされ、さらにネットワークを介することなく、感染した端末と接続したUSBデバイスを通してスタンドアロンのネットワークにも侵入することができるとして大きな注目を集めた。Stuxnetが出現した2010年以降、海外では制御システムを標的にしたサイバー攻撃が増加しており、15年12月にはウクライナでサイバー攻撃を原因とする大規模停電が発生。制御システムを狙った攻撃は今や現実的な脅威となっている。

　日本ではまだ、制御システムを狙った大規模なセキュリティインシデントは確認されていない。しかし、トレンドマイクロが14年9月に、FA（ファクトリー・オートメーション）／PA（プロセス・オートメーション）系制御システムの管理に関わりのある218人を対象に実施した調査によれば、42.2％が制御システムのウイルス感染被害を経験したことがあると回答。うち55.4％は制御システムの稼働が停止し、なかには停止期間が6日以上にわたったケースもあったという。日本においても制御システムのセキュリティ被害は発生している。社会インフラやプラント施設、工場の生産ラインの稼働が停止すると、最悪の場合、人命にかかわる事態に発展してしまう恐れもあり、制御システムのセキュリティ対策は重要な課題となる。

　日本企業では制御システムセキュリティ対策がどこまで進んでいるのか。KPMGコンサルティングの西川陽介シニアマネジャーによると「重要インフラ事業者全般としては対策が進み始めている。とくに、電力は制御システムセキュリティガイドラインが制定されるなど、セキュリティ意識が業界内で総じて高い。また、ガスや化学メーカーなどで自主的に制御システムのセキュリティマネジメントシステム（CSMS）の認証を取得する企業もいる」という。

●情報システムとは異なるセキュリティ対策が必要

　制御システムのセキュリティ対策は、どのように行うべきか。それを考えるにあたっては、まず、情報システムとは大きく異なる制御システムの特性を理解しておく必要がある。

　制御システムに要求されるのが、24時間365日停止することなく安定稼働する可用性だ。制御システムが停止することは、その会社の事業、ひいては国民、社会にも大きな影響を及ぼす恐れがある。そのため、システムとしては極めてシンプルな構成であることから、セキュリティ対策製品を導入するリソースがない場合や、システムを停止できないという事情から、メーカーのサポートが終了したOSでシステムを運用し続けたり、更新プログラムを適用しなかったり、数年に一度程度しかセキュリティパッチをあてなかったりするようだ。制御システムベンダーによっては、セキュリティ対策ソフトのインストールを禁止しているケースもあるという。

　また、情報システムが3～5年の周期で運用されるのに対し、制御システムでは、10～20年もの長期間にわたって運用し続けることが、設計・開発の段階で計画されている。

　企業内におけるシステムの運用管理においては、情報システムを情報システム部門が担うのに対し、制御システムは現場の技術部門が担う。そのため、情報システム部門では制御システムについて、また、現場の技術部門ではセキュリティ対策などについての知識やノウハウをもっておらず、とるべき対策がとれていないことがある。

　制御システムを運用する企業は、制御システムのこうした特性を判断しながら対策を行わなければならず、セキュリティソリューションを提供するベンダーは、これらを考慮し制御システムを安定稼働させながら導入・利用が可能なセキュリティ製品・サービスを提供する必要がある。それでは、セキュリティベンダーやSIerが実際に手がけるソリューションや事例にはどのようなものがあるのか。次ページから紹介する

[次のページ]