渡辺研司教授に聞く、IoT時代の制御システムセキュリティ対策の進め方

ようこそゲストさん

ビジネス+ITを始める

ITと経営の融合でビジネスの課題を解決する

ビジネス＋ITとは？

ログイン

無料登録

閉じる

ありがとうございます！
いいね！した記事一覧をみる

会員になると、いいね！でマイページに保存できます。

東京五輪などを控え、社会インフラにダメージを与えるサイバー攻撃のリスクが増大している。特に巧妙化・高度化の一途をたどっている制御システムに対するサイバー攻撃に対処するためには、どのような対策を講じればよいのか。また、あらゆる企業にとって他人ごとではない問題とは。重要インフラのサイバーセキュリティや演習などに詳しい名古屋工業大学大学院社会工学専攻教授渡辺研司氏に話を聞いた。

レガシー制御システムがサイバー攻撃に弱い理由

　制御技術は、自動化も含めて昔からあるものだが、現場が関与するOT（Operation Technology）の部分でサイバー攻撃をしかけられると、気づかないうちにシステム全体が危険にさらされる可能性がある。

　また、人間と機械の間で行われる自動化において、機械が勝手に判断し、作業者の意図にかかわらず誤作動するケースもある。制御システムのインシデントの原因はサイバー攻撃だけでなく、システムの脆弱性や設定／操作ミスなども考えられる。これらは制御システム特有の課題といえるが、問題はそれだけではない。

　そもそも大前提として、こういったシステムは工場内に置かれる特注品のため、一度稼働すると最低でも20年以上は使い続けられる。そのため、最初にシステムを設計したエンジニアはすでに退職しており、社内にいるのは中身について知らない人ばかり、ということもある。これでは何かあっても対応しきれない。開発を受注したシステムベンダー側も同じ状況である。

　もちろんインターネットに接続していなかった時代のレガシーシステムは、設計段階で外部からの攻撃について想定されておらず、サイバー攻撃に対する防御は、グランドデザインで考慮されていないことがほとんどだろう。しかし、現在ではOTの中にも、ITが組み込まれている。

名古屋工業大学大学院社会工学専攻教授
渡辺研司氏

　渡辺教授は「昔は制御システムというと、プラント企業などで独自プログラムを作り込んでおり、外部からの攻撃については考えていないことが多かったのです。しかし、現在は外部ベンダーから市販のパッケージソフトや機器を組み込むようになってきました。そうなると、やはり脆弱性が増えてきます。この脆弱性が攻撃者に狙われるのです」と警鐘を鳴らす。

　メンテナンスのために、外部ベンダーが制御システムにアクセスする機会も増えている。アクチュエータを動作させるには、制御信号を各機器に送る必要があり、センサーからの情報をクラウドに送って収集することもあるだろう。外部との接点もかなり増えているが、制御システムは相変わらず昔のままである。脆弱性が放置されているのだ。

この記事の続き＞＞
・そもそも「人間」はリスク？
・ITと経営者を橋渡しする人材が今、まさに必要
・制御系のサイバー被害は、結果的に大規模災害と同レベル