セッション3では、サイバーリーズンのセールスエンジニアリング本部でシニアセールスエンジニアを務める福田和広氏が「オンプレミス型EDRとインシデント演習で実現する最新の脅威検知と防御」をテーマに講演した。


　まず、福田氏はランサムウェア被害の約45％を製造業が占める現状について、「生産現場が直接の標的になっている」と警鐘を鳴らす。かつて工場は閉鎖環境なので安全とされたが、リモート保守やIoT機器により、物理的な壁がデジタル化で透明な壁に変わった。さらに汎用OSの普及で、IT環境と同様の感染リスクを抱え、サプライチェーン攻撃の踏み台として中小企業が狙われている。

　これに加えて、ITの常識が通用しない工場の制約が招くセキュリティーの空白地帯が存在する。24時間稼働でシステムを止められないため再起動やアップデートが不可で、レガシーOSによる脆弱性の放置が常態化している。これが攻撃者に永続的な裏口を与え、OS内部の監視が行き届かないことで、攻撃者が隙間をすり抜けて密かに感染を広げていく事態を招いているのが実態だ。

　経済産業省の「工場システムにおけるサイバーセキュリティガイドライン」が示す3本柱（ガバナンス、プロテクション、レジリエンス）を実践する上で、侵入を前提とした可視化が急務となっている。その解決策として福田氏が提示するのが、「オンプレミス型EDR」の導入だ。インターネットに接続できない閉鎖環境でも、工場内に解析サーバーを構築し、システムを止めずに汎用OS部分の可視化を実現する。各端末のセンサーがログを収集し、不審な動きを検知してアラートを提示する。

　特筆すべきは、ばらばらのログを一つの攻撃としてまとめて表現する点だ。攻撃の手順や影響範囲を自動解析機能でタイムライン化するため、迅速な状況把握が可能となる。未認可のUSBを拒否する制御機能も備え、工場特有のリスクにも対応する。

　技術的な対策の次に課題となるのが、「判断の遅れという脆弱性の克服」だ。EDRで脅威を早期に検知しても、初期対応が遅れれば被害は一気に広がる。有事の際、IT部門や生産現場、経営層の3者が連携して迅速な意思決定を下すには、平時からの備えが不可欠。ここで有効なのが「インシデント対応演習サービス」だ。最新の攻撃動向や顧客のシステム環境を踏まえた現実的なシナリオに基づき、インシデント発生時の組織の動きを具体的にシミュレーションする。福田氏は「IT部門、生産部門、経営層で共通言語をつくること」の重要性を強調し、「有事の動き方を平時に学ぶことで、被害を最小化する実践力を養える」と話す。

　最後に、深刻化する製造業におけるサイバー脅威に対し、オンプレミス型EDRによる現場の可視化による「盾」と、インシデント演習を通じて組織間で「共通言語」で訓練することで、判断の遅れという脆弱性の克服を図っていくことが、極めて有効になると語った。