制御システムのセキュリティとは、PLCやSCADAなど機械を動かして監視する仕組みを、停止や誤動作から守る対策のことです。すぐに更新できない設備は、更新を計画停止の日に回し、その間を通信の分離と監視で補います。
今日やることは、制御の機器につながる経路を紙に書き出すことです。事務所との線、設備メーカーの保守回線、持ち込む保守用の端末、USBメモリの4つが主な経路です。正確な図でなくても、知らない線が見つかれば十分な成果です。
工場全体の考え方は工場と制御システムのセキュリティと、OTセキュリティの基本にまとめています。この記事は「止めずに守る」方法に絞ります。
PLCとSCADAは何をしている？
PLCは、機械の動作や順序を制御する専用の機器です。SCADAは、ラインの状態を集めて画面で監視する仕組みで、経産省のガイドライン Ver1.0の想定工場では、生産ラインの生産状況を監視するPCとして描かれています。
守り方を考えるうえで知っておきたいのは、どちらも昔ほど特殊な機器ではなくなっている点です。IPAの経営者向け資料（第3版・2017年3月）は、監視制御にWindowsやLinuxなどの汎用OSを載せたPCがよく使われ、オフィスと同じくイーサネットなどが使われていると説明しています。オフィスのPCと同じウイルスが、監視用のPCに感染することがありうるということです。
なぜ更新が簡単にできない？
事務所のパソコンと違い、更新の失敗や再起動がそのまま生産の停止につながるためです。IPAの資料は、制御システムの特徴として次の点を挙げています。
- 24時間365日の安定稼働が求められ、再起動が許容されないことが多い
- 技術のサポート期間が10〜20年と長い（資料の作成時点の目安）
- 更新がアプリケーションの動作に影響する可能性がある
ただし、更新しなくてよいという意味ではありません。同じ資料は、脆弱性が悪用されてシステムへの影響が深刻な場合には速やかな適用が望まれるとしています。常時稼働で適用できないときは、メンテナンス時や操業停止時に計画して適用します。
現実的な段取りは次のようになります。
- 年間の計画停止の日を確認する
- 使っている機器の脆弱性情報を、ベンダーを通して集める
- 影響の大きいものから、次の計画停止で適用するか判断する
- ベンダーと事前に動作を検証し、元に戻す手順も用意する
- 次の停止までの間は、分離と監視で補う
適用が難しい場合について、IPAは脅威への対策を徹底して被害を避けることを求めています。その中身が、次に説明する分離と監視です。
止めずに守る分離はどう進める？
ガイドライン Ver1.0は、ゾーンを「業務の内容や重要度が同等である領域」と定義し、対策の例として、ゾーンとゾーンの間では、あらかじめ許された通信だけを通すことを示しています。想定工場では、事務所系のOAゾーン、生産管理、生産状況監視、制御（生産現場）、自動搬送、自動倉庫、リモートメンテナンスの7つに分けています。
小さな工場が同じ数に分ける必要はありません。ガイドラインも規模や性質によって行うべき対策は変わるとしています。最初は「事務所」「生産管理と監視」「制御」「外部の保守」の4つくらいから考えると、話が進めやすくなります。
閉じる前に、必要な通信を調べる
分離で設備を止めてしまう典型は、必要な通信を知らないまま閉じることです。
たとえば、生産管理サーバーが毎朝、生産指示を現場へ配っている工場で、事務所と工場の間のファイアウォールを急に絞ったとします。この通信を許可しそびれると、機械は無事でも生産指示が届きません。
事前にベンダーと次の点を確かめます。
| 確かめること |
例 |
| どの機器とどの機器が通信するか |
生産管理サーバーと監視PC |
| いつ通信するか |
毎朝の指示の配信、月次の集計 |
| 止まると何が起きるか |
指示が届かず生産を始められない |
| 切り替えをいつ行うか |
計画停止の日に行い、戻す手順も決める |
切り替えは、計画停止の日を使えば失敗しても生産への影響を抑えられます。まず記録だけを取る設定で通信の実態を確かめられる機器なら、その期間を設けてから絞る方法もあります。
外とつながる線を絞る
IPAの資料は、閉じたネットワークの主な感染源として、USBメモリ、入れ替える操作端末、保守用の端末、遠隔保守の回線を挙げています。ファイアウォールの設定だけでは防げない経路があるので、運用のルールも合わせて決めます。
- USBメモリは、専用のPCでウイルスを確かめてから挿す。使わないポートはロックする
- 入れ替える端末は、つなぐ前に単独の状態でウイルスを確かめる
- 保守用の端末は常時つながず、持ち込みの条件を決める
- 遠隔保守は、決めた接続元からのみ受ける
ガイドラインの想定工場でも、遠隔保守の装置は、設備メーカーの保守センター以外からのアクセスを許可しない形で描かれています。JPCERT/CCの2022年度下期のレポートも、遠隔サービスを使う前に強力な認証を求めることや、制御の環境からのWebアクセスを制限することを挙げています。
保守契約に書いておくことも分離の一部です。 IPAは、運用・保守契約に、ウイルス感染や不正侵入のときの対応と、脆弱性情報の提供やパッチ適用を含めるよう案内しています。新しい設備を買うときは、ガイドラインの付録の調達仕様書テンプレートが参考になります。
監視は設備に影響しない？
方式によって影響が異なります。監視は、分離をすり抜けた異常に気づくための仕組みですが、入れ方を誤ると、それ自体が生産のリスクになります。
IPAの侵入検知製品の導入手引書（2023年6月）は、本文で、性能に影響が出る可能性がある事例を挙げています。整理すると次のとおりです。
| 監視の方法 |
特徴 |
確かめる点 |
| スパンポートで通信のコピーを見る |
受動的に監視できる |
スイッチの負荷が高いと通信の一部が欠けることがある |
| ネットワークタップで分岐する |
通信のコピーを取る |
設置の際にネットワークの一時停止が必要 |
| 機器にエージェントを入れる |
対象の機器に検知ソフトを入れる |
アプリの不具合や遅延が起きる可能性 |
| 機器へ問い合わせる |
機器の情報を詳しく取れる |
頻度や台数によって通信の負荷が高まる |
止められない設備で最初に検討しやすいのは、機器に手を加えず、通信のコピーを見る方式です。それでも、スイッチの空きや負荷の確認は要るので、ベンダーと一緒に確かめます。
ガイドラインの対策例を見ると、段階の考え方も分かります。監視端末のログの収集から始まり、次の段階でIDSによる不正な通信の監視、さらに上では許可リスト型で定常でない通信の出現を見る形です。全部を一度に入れる必要はありません。
遮断するか、検知にとどめるか
ネットワーク監視型の製品には、不正と判断した通信を遮断できるインライン型があります。便利な反面、手引書が説明するように、正常な通信を異常と判断する誤検知が起きることがあります。
工場で正常な制御の通信を止めてしまえば、攻撃を受けなくてもラインが止まります。そのため、最初は検知にとどめて通常の通信の傾向をつかみ、遮断するかどうかは影響を確かめてから決める進め方が考えられます。製品の違いはNDR（ネットワーク検知）の製品比較とIDS・IPSの製品比較で確かめられます。
通知を誰が見るかを先に決める
手引書によると、侵入検知の製品は導入してすぐ使えるものではなく、学習や、通知とログの確認が必要な場合が多いとされています。監視を自社で行うのか、MSSと呼ばれる外部サービスへ委託するのかを、導入前に決めます。
専任者がいない工場で夜間に通知が来たとき、ラインを止めるかどうかを誰が決めるのか。製品の機能より先に、この取り決めが要ります。工場向けの製品全般はOTセキュリティ製品の比較で見られます。
古い機器はどこまで対策すればいい？
全部を同じ強さで守る必要はありません。ガイドラインは、業務の重要度と脅威を受ける可能性を掛け合わせて、対策の強さを決める考え方を例示しています。止まると供給停止につながるゾーンには強い対策を、影響の小さいゾーンには相応の対策を当てます。
更新が難しい古い機器は、次の順で扱いを決めると整理しやすくなります。
- その機器が担う業務と、止まったときの影響を書く
- 機器につながる経路を減らす
- 通信を見られるようにする
- 次の設備更新の計画に、置き換えの条件を入れる
設備の周りには、後付けのカメラやセンサーが増えていることもあります。工場や社内に増えた機器の点検方法で一緒に確かめておくと、経路の書き漏らしを防げます。費用の順番は、製造業の社長が先に予算をつける順番で扱っています。
