コラム
工場のセキュリティ対策～注目を集める背景と対策の具体的な進め方～
2024年8月28日
インターネットを介して情報をやり取りしながら機器の挙動を制御するIoT。近年は労働人口の減少もあり、IoTによって工場の生産性向上を図る動きが活発化しています。
工場のIoT化にあたって課題となるのが、セキュリティの確保です。以前に工場で使われてきた各種機器やそれらを制御する産業用制御システム（ICS）は、インターネットには接続されておらず、閉じた内部ネットワークで連動していたため、サイバー攻撃のリスクに晒されることはありませんでした。
しかし、生産設備がインターネットに接続されることで、サイバー攻撃の脅威は隣り合わせ。サイバー攻撃の標的にされると生産ラインの停止や機密情報の漏洩といった事態にも陥りかねません。
そのため、IoTやクラウドなど、工場のDX化を進めるにあたってはセキュリティ対策が必須になります。そこで本記事では、工場の取り組むべきセキュリティ対策について詳しく解説します。
目次
1 - 工場のセキュリティ対策が重要視されている背景
近年は労働人口の減少などから、さまざまな産業でDXによる生産性向上が図られており、工場においてもIoTなどを活用した生産設備の導入が進められています。また、コロナ禍でリモートワークが普及したことも、その流れを後押ししました。
一方で、IoTやクラウドコンピューティングなど、産業現場でのインターネットの利活用が進むにつれてサイバー攻撃の脅威も増しています。国内のサイバー犯罪の検挙件数は平成16年以降ほぼ右肩上がりで増加、令和4年の検挙件数は1万2,369件となっています。
工場がサイバー攻撃を受けると、顧客情報や技術情報が流出したり、生産ラインが停止したりするほか、SCMシステムによる情報の連携が絶たれるなどしてサプライチェーン全体に混乱をきたす可能性もあります。
例えば、2017年には国内自動車工場の設備に付属するパソコンがマルウェアに感染し、一時的に生産ラインを停止する事態に。その結果、約1千台の車両生産に影響が生じました。
また、2019年にはノルウェーのアルミニウム製造工場で大規模なマルウェア感染が起き、一部の生産工程やオフィス業務に支障をきたしました。被害額は最初の1週間だけで4,000万ドルに及ぶと推定されています。
こうした事態に陥るのを避けるためにも、工場設備のセキュリティ強化は欠かせません。サイバー攻撃が高度化・巧妙化する一方、まだまだセキュリティが万全ではない工場も多いため、工場のセキュリティ対策は産業全体において喫緊の課題となっています。
2 - セキュリティ対策の手引きとなる「工場セキュリティガイドライン」
DXの進展やサイバー攻撃が高度化・巧妙化している現状を踏まえ、経済産業省では2022年11月に、工場システムのセキュリティ向上を目的とした「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（以下、工場セキュリティガイドライン）を策定しました。
工場セキュリティガイドラインとは、企業が工場のセキュリティ対策を実施するにあたり、参考となる対策の進め方や考え方をまとめたものです。技術的な対策だけでなく、工場のオペレーションや管理における対策についても明記されています。
工場セキュリティは、オフィスにおけるセキュリティとは異なり、稼働設備の維持や作業の安全性の確保が求められるほか、設備の稼働を止めないよう、段階的にセキュリティ対策を導入していく必要があります。また、ひとくちに「工場」といっても、業界や業種、規模などによって取るべき対策は千差万別です。
そのため、工場セキュリティガイドラインでは、工場ならではの特徴を押さえつつ、特定の業界・業種に限定せずに取り組める内容を紹介しています。セキュリティ対策のワークフローとして「内外要件（経営層の取組や法令等）や業務、保護対象の整理」「セキュリティ対策の立案」「セキュリティ対策の実行、及び計画・対策・運用体制の不断の見直し（PDCAサイクルの実施）」という、3つのステップが紹介されています。
以下ではこの3つのステップに沿って、工場セキュリティガイドラインに示されているセキュリティ対策の進め方を紹介します。
3 - 工場セキュリティ対策の進め方
ここでは工場セキュリティガイドラインに示されているセキュリティ対策の進め方について、3つのステップに沿って紹介していきます。
内外要件（経営層の取組や法令等）や業務、保護対象の整理
まずはセキュリティ対策を検討する上で必要な経営目標や外部要件、内部要件、セキュリティで保護すべき業務について情報の収集・整理を行います。
経営目標：設備の増強・高度化など
外部要因：法律や取引先、顧客、市場からの要求など
内部要因：使用中のネットワークや機器、業務プログラムによる制限など
業務内容：生産管理、生産、調達、生産技術、品質管理など
保護対象：ネットワーク、機器、業務プログラム、データなど
次に、さまざまな保護対象の中で関連するものをまとめてゾーンを設定し、そこに各業務を紐付けます。例えば、生産ラインや保守端末などの制御装置をまとめて「制御ゾーン」を設定し、そこに生産やメンテナンスといった業務を紐づけます。
また、設定した「制御ゾーン」に対して、脅威の種別と、それによって生じる事業への影響も紐付けていきます。例えば、生産ラインに対する脅威としては、システム・機器の不正操作やデータの改ざん・流出などがあり、その影響としては生産停止といった状況が紐づきます。
セキュリティ対策の立案
ステップ１で整理した情報を元に工場のセキュリティ対策方針をまとめ、具体的な対策を検討していきます。
ステップ１で設定したゾーンについて対策に取り組む際の優先順位を決め、それぞれのゾーンに対する具体的なセキュリティ対策を検討します。セキュリティ対策は、システム構成面での対策と物理面での対策に分けられます。
- システム構成面での対策
- システム構成面でのセキュリティ対策は、不正な侵入を防ぐ「侵入防止」、侵入されたとしても攻撃を抑止する「活動抑止」、侵入や攻撃を早期に検知・対処するための「運用支援」という観点から以下のような対策が考えられます。
・ネットワークの対策（物理ドメイン分割、不正通信防止、脆弱性情報収集など）
・機器の対策（接続機器の論理証明、切り替え機器の確保、自家発電設備の導入など）
・業務プログラム・利用サービスの対策（セキュリティ仕様が記載されたソフトの使用など） - 物理面での対策
- 物理面でのセキュリティ対策は、ハードウェアの盗難をはじめ、人為的な破壊、事故や災害による損壊、不正アクセスといったリスクへの対策です。
ハードウェアの堅牢なハウジングや物理アクセス制御の徹底などの観点から、以下のような対策が考えられます。
・建屋の対策（サーバ室の防水、小動物の侵入を防止する金網の設置など）
・電源／電気設備の対策（信頼度の高い電源設備構成の構築など）
・環境の対策（空調によるサーバ室冷却・静電気抑制・空気清浄度の維持など）
・水道設備の対策（冷却水配管の冗長化、ポンプの冗長化など）
・機器の対策（機器の転倒・落下防止、機器の固定による盗難防止など）
・物理アクセス制御の対策（入退管理システムの導入、監視カメラの設置など）
PDCAサイクルの実施
ここまでのステップで、取り組むべき対策とその優先順位が決まりました。あとはそれらの対策を実行に移し、実施した結果を評価し、さらなる改善へとつなげるPDCAサイクルを回していきます。
PDCAを回していく際には、自社の状況やビジネス環境の変化、技術の進化なども落とし込んでいくことが大切です。それでも100％被害を防ぐことは難しいため、システム構成面・物理面の対策のほかに、被害を早期に発見するための対策や攻撃を抑止するための対策など、ライフサイクル面での対策に取り組むことも重要です。
また、いくら自社のセキュリティ対策が万全でも、サプライチェーンのどこかが被害を受ければ、ビジネスが止まってしまう可能性があります。サプライチェーンの企業間でシステムの連携状況や攻撃を受けた場合の対処などについて確認しておくことが大切です。
4 - 工場のセキュリティ対策に有効なツール
ここでは、工場のセキュリティ対策に有効なツールの例として、サイバーセキュリティシステム、入退管理システム、監視カメラ（防犯カメラ）について紹介します。
サイバーセキュリティシステム
サイバーセキュリティに役立つツールとしてはセキュリティソフトが代表的ですが、最近では制御システムの脅威検知ソリューション、ネットワークに接続する端末の状態を可視化するOTセキュリティ可視化ソリューションなど、工場に特化したセキュリティソリューションも出てきています。
IoT機器など、インターネットにつながる設備を利用している場合には、こうしたサイバーセキュリティシステムの導入は欠かせません。
入退管理システム
不審者の侵入を防ぐ物理アクセス制御の対策としては、入退管理システムの導入も有効です。認証方法としては、ICカードによる認証や生体認証（顔、指紋）、パスワードを入力する認証などがあります。
なお、敷地内のエリアによってアクセスレベルをわけ、それぞれのアクセスレベルに応じた認証方法を設定することも可能です。一般・来客エリアは各個人に貸与したICカードで認証を行い、サーバ室などの高セキュリティエリアは虹彩などの生体認証にする、といった具合です。アクセスレベルに応じた認証方法にすることで運用がスムーズになります。
監視カメラ（防犯カメラ）
監視カメラ（防犯カメラ）の設置は、物理アクセス制御のセキュリティ対策として一般的なものです。
カメラを設置することで不審者が建屋に侵入するのを防ぎ、設備の人為的な損壊や盗難といった被害を防ぐことができます。設置することによる抑止効果もあるため、犯罪に巻き込まれるリスクの減少にもつながります。
5 - クラウド型映像セキュリティサービス｜Jchaser（ジェイチェイサー）
「Jchaser（ジェイチェイサー）」は、監視カメラと画像解析を使用したセキュリティサービスです。
カメラ映像のクラウド記録や顔認証の機能を備え、施設内の映像監視や機密エリアへのアクセス制限など、物理アクセス制御におけるセキュリティ対策を強化できます。
所持品の管理が厳しい製造工場などでは、入退管理用に顔認証を利用することで、ICカードや鍵の所持が不要になるメリットがあります。また、顔認証デバイスとして検温タブレットを利用することができ、工場における感染症対策と防犯の両立をサポートします。
さらに特長的な機能として、複数のカメラ映像から特定の人物を検索・追跡することができ、事件・事故のエビデンスとしての活用や、セキュリティ対策の強化を実現できます。
詳しくはこちらをご覧ください。
6 - まとめ
DXによる生産性向上の取り組みが進められている工場ですが、工場設備がインターネットに接続されるようになれば、サイバー攻撃の標的になることも想定しておかなくてはなりません。サイバー攻撃によって生産ラインの停止やサプライチェーン全体への被害も懸念されるため、システム面および物理面でのセキュリティ対策が欠かせません。
これらセキュリティ対策は、事業伸長・継続（BC）、安全確保（S）、品質確保（Q）、納期遵守・遅延防止（D）、コスト低減（C）といった面で工場の価値向上のためには欠かせません。企業としての社会に対する責任を果たし、工場の価値を上げていくためにも、工場セキュリティ対策に取り組むことが大切です。
編集：株式会社JVCケンウッド・公共産業システム マーケティング担当（2024年8月28日）
＜参考資料・出典＞
経済産業省 「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」
※本資料は、公開掲載時点での情報であり、内容の完全性・正確性を保証するものではありません。
※本資料内の文章・画像等の内容の無断転載及び複製等の行為はご遠慮ください。
