工場のサイバーセキュリティは、生産に直結する機器を書き出すことから始めます。製品の購入やネットワークの工事は、その後で判断しても遅くありません。
今日やることは、工場長か保全担当と一緒に、1つのラインを端から歩くことです。ネットワークにつながる機器と、USBメモリを差している機器をメモします。設定には触らないので、生産は止まりません。
なぜ機器の設定より先に書き出すのか？
順番を間違えると、対策そのものが工場を止めるおそれがあるからです。経産省の解説書（Appendix）は、機器や機能の洗い出しが不十分なまま通信を制御し、既存の機器の通信を遮断して工場が止まる可能性に触れています。
工場が狙われる話は、大企業だけのものではありません。警察庁の令和8年上半期の資料では、ランサムウェアの被害報告は123件で、半期として最多でした。被害企業は中小企業が約6割、業種別では製造業が約3割です。
以下の5つの手順は、Appendixと工場セキュリティガイドライン本編 Ver 1.1の内容をもとに、ネットワークの設定を変えずに進められるものを並べ直しました。順番は私たちの整理です。
| 手順 |
やること |
担当の例 |
| 1 |
機器の棚卸しと重要度付け |
保全、生産技術 |
| 2 |
遠隔保守の入口を数える |
設備担当、情シス |
| 3 |
USBと持ち込み機器のルールを決める |
工場長、現場リーダー |
| 4 |
バックアップから戻せるか確かめる |
保全、機械メーカー |
| 5 |
止まったときの連絡先と代替を決める |
社長、工場長 |
手順1 機器を棚卸しして重要度を付ける
業務ごとに使う機器を書き出します。Appendixの順番は、業務を洗い出して重要度を決め、次に機器やデータを結び付ける流れです。機器の一覧から始めるより、抜けに気づきやすくなります。
対象は、スイッチやルータ、MESサーバ、SCADA、PC、PLC、工作機械、そして生産レシピなどのデータです。パソコンだけでは足りません。
重要度は止まったときの影響で決めます。Appendixの基準の例では、できなくなるとその日のうちに生産に支障が出る業務が「大」です。たとえば、PLCの指示で工作機械が動くラインの場合、代替手段がなければ「大」になります。紙の控えがある生産計画なら「小」です。
台帳に書く項目は、機器名、場所、型番、ファームウェアの版、担当メーカー、関わる業務、重要度です。本編の付録Eの項目2-8は、PLCやIoT機器のモデルとファームウェアの情報を把握し、脆弱性の情報を定期的に確かめる例を挙げています。型番が分かれば、この確認に進めます。
台帳の管理に道具を使う場合は、IT資産管理ツールの比較が参考になります。ただ、機器を自動で探す機能については、工場の機器に通信を送って問題がないかを機械メーカーに先に確かめます。最初は目視と紙で十分です。
手順2 遠隔保守の入口を数える
次に、工場の外から中へ入る道を数えます。警察庁の資料では、ランサムウェアの被害組織へのアンケートで、侵入経路はVPN機器が約5割を占めています。
Appendixが紹介する事例にも、遠隔保守が出てきます。ファイアウォールを置いて分離していたのに、ベンダーの遠隔保守のためのリモートデスクトップが常時使える状態で、外部からの侵入につながったという内容です。全員が管理者権限でログインできる状態や、ファイアウォールの更新の役割が決まっていなかったことも問題点として挙げられています。
設備メーカーや保守会社に、次のことを聞きます。設定を変える必要はありません。
- どの機器に、どの回線やVPNでつないでいるか
- 接続は常時か、保守のときだけか
- 同じIDを複数の人で使っていないか
- つないだ記録は残るか、自社から見られるか
- VPN機器やルータの更新は誰の担当か
本編の項目3-6は、外部から接続できる場合の保護として、2要素認証などの認証、接続先機器の制限、接続時間の制限、保守期間外の接続の検知を挙げています。答えをこの項目と見比べれば、足りない所が分かります。
最後の質問が一番抜けやすいところです。 設置したあとの更新の担当が曖昧なままだと、誰も更新しないまま年月が過ぎます。回答はメールで残します。
手順3 USBと持ち込み機器のルールを決める
USBの扱いは、禁止するか許すかの二択ではありません。本編の項目2-9が求めるのは、工場内での外部記録媒体の利用と持ち込みのルールを定めて運用することです。
ネットワークにつながっていない機器も無関係ではありません。本編は、人が媒体や機器を接続することで間接的につながるとし、持ち込んだツールをウイルススキャンせず工場のネットワークに接続して感染が拡大した、2018年の海外の半導体製造企業の事例にも触れています。
たとえば、CADデータをUSBメモリで工作機械へ移している工場の場合、次のことを決めます。
- 工場で使うUSBメモリを決めて番号を付け、本数と保管者を台帳に書く
- 事務所のパソコンと私物のUSBメモリは工作機械につながない
- 接続前の検査場所を決める。工場の外で使ったものは必ず通す
- 保守会社が持ち込むパソコンやUSBメモリの確認方法を決める
- 紛失したときの連絡先を決める
本編の項目2-12は、ネットワークにつなぐ機器が感染していないことを事前に確かめる手順を問うています。保守会社には、作業の前にこのルールを伝えます。
使っていない端子の扱いにも段階があります。Appendixの表では、最低限が端子キャップ、次にサービスの停止やUSBクラスの制限といったソフト閉塞、影響の大きい機器にはハード閉塞という順です。端子キャップなら設定の変更はいりません。
パソコン側で媒体を制御する製品を検討するなら、デバイス制御ツールの比較があります。工場の専用端末に入れられるかは、機械メーカーへの確認が先です。
手順4 バックアップから戻せるか確かめる
攻撃を受けても生産を再開できるかどうかは、ここで大きく変わります。本編の項目2-13は、システムの完全な復旧を想定してバックアップし、保護された場所に置き、定期的に復旧テストをすることを挙げています。
点検する対象は、PLCのプログラム、加工プログラム、生産レシピ、機械のパラメータ、MESやSCADAの設定です。それぞれについて、次の3つを確かめます。
- 最新の控えはいつのものか
- 同じネットワークから消せない場所に置いているか
- 戻す手順を書いたものがあり、実際に戻したことがあるか
稼働中の機器で戻す試験をするのは危険です。定期の停止期間に、予備機か機械メーカーの立ち会いのもとで行います。本編も、稼働中の工場で影響のある対策は、定期的なシステム停止期間での導入を検討するとしています。
手順5 止まったときの連絡先と代替を決める
新しい機器を買わずにできる準備です。Appendixは、コストをかけずにできる対策として次のものを挙げています。
- 被害が出たときの役割分担を決める
- 外部の支援先を確認する
- 被害の内容ごとの報告先を整理する
- 一部の設備が止まっても製造を続ける代替の計画を作り、訓練する
これをA4で1枚にして、事務所と工場に置きます。夜間と休日の連絡先も書きます。報告先として、Appendixは犯罪が疑われる場合の警察、個人情報が漏えいした場合の個人情報保護委員会、サイバー攻撃が疑われる場合のIPAやJPCERT/CCを例示しています。
設備メーカーの連絡先も入れます。本編の項目4-1は、事故発生時に対応できるよう、制御システムのベンダーや構築事業者と連絡体制を作ることを挙げています。
代替の計画では、手作業でどこまで生産できるかを工程ごとに書きます。Appendixは、現場の危険予知訓練にサイバー攻撃を含める例も示しています。
5つの手順のあとは何をする？
ここまでで、機器、入口、媒体、復旧、連絡先が見えました。次の判断材料がそろった状態です。
次に検討するのは、ネットワークの分割です。Appendixの想定工場では、事務系と製品ごとの制御系の3つのゾーンに分けています。これは機器の設定や通信に関わるので、停止期間に合わせて計画します。洗い出しが難しい場合は、段階的に通信を制御する方法もあるとされています。
製品を入れる場合は、目的と条件を先に決めます。Appendixは、手段だけを伝えると得たい効果の出ないファイアウォールが設置される場合があるとし、ベンダーと設定内容や運用を合意する大切さを述べています。実際に、初期設定のままで不要な通信が通っていた例や、構築時に全通信を許可したまま放置された例が紹介されています。工場向けの監視や分離の製品は、OTセキュリティ製品の比較で方式の違いを確かめられます。
現状を点検し続けるには、経産省のチェックリストを自社の点検表に変える方法を使ってください。自社で機器を作って販売している場合は、JC-STARと製造業の対応も関係します。工場を守る考え方の全体は、工場・OTのセキュリティから読めます。
