製造現場のOTセキュリティ：インシデントから学ぶ設計原則
工場の制御システムは、かつて外部ネットワークから切り離された閉じた世界だった。しかし生産データの活用や遠隔保守が進むにつれ、制御系は事務系のネットワークや外部と接点を持つようになった。この変化とともに、製造現場を狙うインシデントが繰り返し報じられるようになっている。個別の事案は異なっても、そこには共通の型が見て取れる。
何が繰り返し起きているか
公開された事案を俯瞰すると、典型的な経過には共通点がある。多くは、特定の制御機器が直接狙われるのではなく、まず事務系のITネットワークへ侵入が起きる。そこを足がかりに内部を移動し、ITとOTの境界が甘い箇所を通って制御系へ影響が及ぶ。結果として、生産ラインの停止や出荷の遅延といった、事業そのものへの打撃に至る。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）や、日本の情報処理推進機構（IPA）は、こうした制御システムを取り巻く脅威について繰り返し注意を促してきた。
根本原因：ITとOTの境界が溶けた
根本にあるのは、ITとOTの境界が溶けたことである。両者はもともと別の目的で発展してきた。ITは情報の機密性や完全性を重視し、頻繁な更新を前提とする。一方、OTは可用性と安全を最優先し、稼働を止めないために長期間更新されない機器も多い。この性格の違うネットワークが接続されたとき、ITを前提とした攻撃がOTへ届く経路が生まれる。境界の設計を怠れば、事務系の一台の感染が、生産設備の停止に直結しうる。国際規格IEC62443は、産業用の自動化・制御システムのセキュリティを体系化し、ネットワークをゾーンに分け、その間の通信を管理する考え方を示している。
被害を広げる構造的要因
侵入そのものより、被害の大きさを左右するのは、その後に働く構造的な要因である。
- ネットワークの区分が甘く、IT側の問題がOTへ横断してしまう
- 制御系に何が接続されているかの可視性が乏しく、異常の検知が遅れる
- 認証や権限が過大で、一つの侵害が広範囲に及ぶ
- 復旧手順やバックアップが未整備で、停止が長期化する
米国立標準技術研究所（NIST）が公表している産業用制御システム向けのセキュリティガイダンスであるSP800-82も、こうした区分や可視化、最小権限といった基本的な統制の重要性を一貫して説いている。派手な攻撃手法よりも、地味な統制の欠落が被害を拡大させる。
設計原則として何を残すか
これらの事案から引き出すべきは、個別の攻撃手法への対症療法ではなく、設計の原則である。第一に、ITとOTのあいだに明確な境界を設け、通信を必要最小限に絞ること。第二に、制御系に何が繋がっているかを可視化し、正常な状態を把握しておくこと。第三に、権限を最小限にとどめ、一つの侵害が全体へ波及しない構造にすること。第四に、停止を前提とした復旧手順を平時に用意しておくことである。もっとも、可用性を最優先するOTの現場では、IT流の頻繁な更新や再起動をそのまま持ち込めない事情もある。原則をそのまま適用するのではなく、稼働を止められないという制約のもとで、どこまで統制を効かせられるかを個別に設計する姿勢が要る。
製造現場のセキュリティは、機器を繋ぐほど広がる課題でもある。産業IoTの通信をどう設計するかは、この境界の問題と表裏一体で、産業IoTの通信プロトコルで論じた。また、現場を写すモデルに制御系のデータを流し込むデジタルツインも、新たな接続点を増やすぶん、同じ設計原則の対象になる。OTセキュリティは、特効薬を探す問題ではなく、境界と権限という基本原則を、止められない現場の制約のなかでどう貫くかという設計の問題なのである。
