制御システムのセキュリティリスク分析ガイドとは、工場やプラントなどの制御システムのリスクを評価する手順を、IPA（情報処理推進機構）がまとめて公開している資料です。2017年に公開され、第2版の2026年4月版が同じページに載っています。
今日やることは、IPAのページから活用の手引き「早分かり」を取り、分析の対象にするラインを1本選ぶことです。選ぶ基準は「止まると一番困るライン」ではなく、「構成を説明できる人が社内にいるライン」で構いません。初回は手順を通すことが目的です。
分厚いガイドのどこから使う？
2019年の手引きには、本編が380ページ、別冊が94ページと書かれています。担当者が全部を読んでから動く必要はありません。
| 順番 |
資料 |
使う目的 |
| 1 |
早分かり 活用の手引き |
全体の流れと用語をつかむ |
| 2 |
本編3章 |
分析の範囲、資産、構成図、通信の流れを整理する |
| 3 |
本編4章の判断基準 |
自社の重要度の基準を決める |
| 4 |
本編5章とExcelのシート |
資産ごとに評価する |
| 5 |
別冊の実施例 |
迷った所を例と見比べる |
| 6 |
本編7章 |
結果を対策と投資の判断に使う |
事業被害ベースを扱う6章と、セキュリティテストの8章は、最初の周回では後回しでかまいません。IPAのページから、資産ベースのシートの書式と記入例、別冊の実施例の結果シートも取れます。年2回のセミナーと、通年公開の概要の講義動画もあります。
手元に置くと便利なのが、手引きで紹介されている脅威とセキュリティ対策の一覧です。対策項目は全47項目で、社内と外部の人が同じ言葉で話す土台になります。ファイアウォールの設定や外部記憶媒体の対策は、付録BのチェックリストのExcelで個別に確かめられます。
2つの分析方法はどう違う？
ガイドは2通りを解説しています。IPAの説明では、一方だけでも有効な結果が得られ、互いを補う関係です。
|
資産ベース |
事業被害ベース |
| 出発点 |
サーバ、端末、通信機器などの資産 |
避けたい事業被害 |
| 評価の軸 |
資産の重要度、脅威、脆弱性 |
被害のレベル、攻撃ツリーの発生可能性、脆弱性 |
| 工数の評価 |
中 |
大（攻撃ツリー解析の場合） |
| 分かること |
資産ごとの脅威と対策の状況 |
被害につながる攻撃の経路 |
工数の評価は手引きの比較表によります。表では、基準に照らすだけのベースラインアプローチが工数「小」、組み合わせが工数「大」です。私たちは、社内に専門家がいない工場なら資産ベースから入る順番が現実的だと考えます。設備の一覧という、現場がすでに持っている情報から始められるためです。
ライン1本で小さく始める手順は？
たとえば、射出成形機、搬送ロボット、PLC、操作用パソコン、生産管理サーバへの接続があるライン1本を選んだ場合で考えます。
1. 分析する範囲に線を引く
ラインの境界と、外へ出ていく接続を決めます。生産管理サーバへの接続、設備メーカーの遠隔保守、USBメモリでの持ち込みのように、外とのつながりは範囲に書き込みます。
2. 資産一覧を作り、グループにまとめる
機器を1台ずつ評価すると工数が膨らみます。手引きは、接続先のネットワーク、設置場所、機能が同じか似ている資産をまとめる方法を示しています。同じ型の操作端末が3台あれば、1つのグループにまとめられます。普段は動かしていない機器を除く考え方も載っています。
3. 構成図と通信の流れを書く
ガイドでは、どの資産からどの資産へ、どんなデータが流れるかを表に整理します。プロセス値、制御コマンド、設定情報を区別します。
この表は現場の人と一緒に作ります。図面と実物が違っていることがあるためです。手引きが「己を知る最も重要なステップ」と呼ぶ部分で、ここまで進むと、分析をしなくても「この保守用の接続は要るのか」という問いが出てきます。
4. 自社の判断基準を決める
重要度は1から3の3段階です。手引きの定義例では、攻撃されたときの停止期間、情報が漏れたときの損失、人や環境への被害の規模で分けています。この基準は例なので、「1日止まると納期に響く」のように、自社の言葉へ直します。
5. シートに記入してAからEを出す
第2版の改定で、資産の種別をもとに脅威と対策の候補を引き出す形に簡略化されました。シートの書式と記入例を見ながら、資産ごとに脅威と対策の状況を埋めます。
結果はAからEのリスク値で出ます。Aが「非常に高い」、Eが「非常に低い」です。数字は社内で比べるための相対値なので、他社と比較する使い方はしません。
6. 上位3件だけ、次の手を決める
Aに近いものから、対策、担当者、期限を決めます。全部を一度に直そうとすると止まります。経産省の工場向けガイドラインも、対策がシステム障害という別の脅威につながる場合があるとして、影響の把握とスケジュールの考慮を求めています。パッチの適用は、定期保全の日程と一緒に決めます。
本番の設備で試験をしない
ガイド8章のセキュリティテストは、分析の後に必要に応じて検討するものです。稼働中の設備へ社内の判断で検査の通信を流すことは避け、設備メーカーと時期、方法を決めてから行います。
事業被害ベースはいつ足す？
資産ベースを1周すると、「この機器単体は中程度でも、続けて攻撃されたら困る」という疑問が出ます。そこで事業被害ベースの出番です。
ガイドの第2版は、事業被害が大きく狙われやすい攻撃ツリーを選んで優先的に分析することで工数を減らす考え方を示しています。全ての経路を調べず、「検査データが書き換えられて不良品が出荷される」「ライン全体が3日止まる」のように、避けたい事態を1つか2つに絞ります。
別冊の事例2は、社外サービスと接続した制御システムを扱っています。設備のクラウド監視や遠隔保守を使っている工場は、自社の構成に近い例として読めます。
結果を社内と製品選びにどう使う？
分析の結果は、社長への説明と投資の順番の根拠になります。「OT製品を入れたい」ではなく、「このラインは機器の異常に気づく手段がなく、リスク値が高いので、通信の監視を検討する」と言えるからです。
- 機器の動きが見えないなら、工場向けOTセキュリティの製品比較やNDR（通信監視）の製品比較を見る
- 分析そのものの支援や体制づくりを頼みたいなら、セキュリティコンサルの比較を見る
- 製品の方式で迷ったら、工場を止めない製品の見方を読む
工場とIoTのセキュリティの記事一覧には、制御システムを守る考え方の記事もあります。IoT機器の扱いが残るなら、機器の初期パスワードと更新の点検を先に片づけておくと、分析の結果が現実に近づきます。分析は1回で終わらせず、設備を変えたときに同じシートを更新します。手引きもPDCAの中で繰り返す前提で書かれています。
