猛暑からこじつけるOTセキュリティの話
きっかけはコンビニで買ったアイスコーヒー
今年も暑いです。毎日ニュースで全国の猛暑について取り上げています。私の住む地域は本日40度を超えました。200メートル先のコンビニへアイスコーヒーを買いに出ると、外はまるでサウナ。歩いて帰る間に氷はあっという間に溶け、家に着く頃にはすっかりぬるいコーヒーになっていました。しかも出かける前にエアコンを切っていたので、部屋も蒸し暑いまま。冷たいはずのコーヒーとひんやりした部屋、両方とも失ってしまったわけです。
これ、エアコンが無ければ本当に地獄だなと痛感しました。同時にふと思ったんです。もし会社の空調が止まったら、私たちは社内でまともに働けるんだろうか、と。
最近の企業の空調はどのような管理がされているのか？
通勤して会社に着くと大体冷房が効いてますよね？
でも家庭用のような「エアコン」は会社規模によりますが、あまり見かけません。オフィスビルのような建物は各階各フロアで管理されているわけではなくビルの管理側で一括集中管理されている事があります。
この一括集中管理されている空調のような物理的な設備、これをOT(Operational Technology)と呼びます。
今回は、この空調管理システムのような「OT機器」と、身の回りに増え続ける「IoT機器」について、何が違うのか、なぜ狙われるのか、そしてどう対策すればいいのかを整理します。
1. ITとOTとIoT、何が違うのか
まず用語の整理から。
ざっくり言うと、ITは「情報」を扱い、OTは「物理的な設備・プロセス」を制御します。IoTは、家電やカメラなど身の回りの機器やデバイスをネットワークにつなぐ技術です。
もともとOT機器は外部ネットワークから隔離された環境で運用されるのが前提でした。しかし、リモート監視や省エネ管理のニーズから外部接続が一般化し、結果としてマルウェアや不正アクセスのリスクが現実のものになっています。
2. なぜ狙われるのか──代表的な事例
マルウェアの侵入の経路と言えば皆さん思いつくのはPCからの侵入を思いつきますよね。
しかし実際には、自社のPCやサーバーが直接狙われるとは限りません。取引先や委託先など、自社の外側にある弱い穴(脆弱性)から侵入され、そこを踏み台にして本丸の生産ラインが止まるというケースが国内でも起きています。
トヨタ自動車 全工場稼働停止（2022年3月）
トヨタは１日、国内の全工場を止めた。原因は仕入れ先のシステムがサイバー攻撃を受けてダウンしたためで、自動車の内外装部品を手掛ける小島プレス工業（愛知県豊田市）は１日、２月２６日夜にサーバーの障害を検知し、ウイルス感染と脅迫メッセージの存在を確認したと発表した。
小島プレスの広報担当者によると、メッセージは英語で書かれていた。２７日未明、さらなる攻撃を予防するため取引先と外部とのネットワークを遮断した。システム障害が完全復旧するにはまだ１─２週間ほどかかるという。
トヨタが停止したのは１４工場２８ラインで、１日の停止で約１万３０００台のトヨタ車の生産に影響が出る。１４工場には元町工場（豊田市）やトヨタ自動車東日本の岩手工場（岩手県金ヶ崎町）などのほか、グループ会社の日野自動車の羽村工場（東京都羽村市）やダイハツ工業の京都工場（京都府大山崎町）も含まれる。このほか、日野は古河工場（茨城県古河市）も１日に稼働を取りやめた。
3. 押さえておきたいガイドライン（指針・手引き）
OTセキュリティを語るうえで、実務上おさえておきたい代表的な指針は次の2つです。
①NIST SP 800-82 / IoT関連ガイダンス
NISTのガイダンスは幅広い分野をカバーする一方、IEC 62443は製造現場特有の事情に踏み込んで規定している、という棲み分けがされています。さらに直近では、IoT機器単体のセキュリティ対策から、企業ネットワーク・クラウド・製造現場・保守事業者・サプライチェーンまで含めた組織全体のリスク管理へと統合する方向性がNISTのドラフトで示されており、「機器を守る」から「機器がつながる生態系全体を守る」への発想転換が進んでいます。
②経済産業省 工場システムガイドライン
日本国内では、経済産業省が製造業のサイバー攻撃対応力強化を目的に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を策定しています。
工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン
4. 実務でできる対策
なお、経産省ガイドラインは「まず自社の業務・重要資産・ゾーンを整理し、想定脅威に対策を対応づけ、PDCAで継続的に見直す」という進め方自体を示す構成になっています。
以下の5点は、その進め方の中で実際に検討・実行される個別の対策項目にあたります。
①資産の可視化・棚卸し
IT資産台帳にはOT機器・IoT機器が漏れていることが少なくありません。「そもそも社内にどんな空調制御システム、監視カメラ、スマートロックがあり、誰が管理しているか」を洗い出すところから始まります。
② IT/OTネットワークの分離
最も基本かつ最重要の対策です。空調・電力・エレベーターなどのOT系ネットワークを、業務系ITネットワークからVLANやファイアウォールで明確に分離します。「同じネットワークに乗っているだけで、業務システムへの侵入経路になる」という前提で設計することが重要です。
③ リモート保守アクセスの厳格化
ベンダーの保守用アカウントやリモートアクセス用のアカウントは、常時接続可能な状態にせず、都度承認制・時間制限付きのアクセスに切り替えます。ここが最も狙われやすい「裏口」です。
④ 初期設定・認証の見直し
IoT機器のデフォルトパスワード変更は基本中の基本ですが、台数が多いほど徹底が難しくなります。導入時のセキュリティチェックリスト化、定期棚卸しでの確認が有効です。
⑤ インシデント対応計画
OT障害は復旧に外部業者を要することが多く、IT障害とは異なる復旧フローの準備も欠かせません。
まとめ
OTセキュリティは、「ITセキュリティの延長」ではなく、物理的な安全・可用性に直結する別軸の考え方が必要な領域です。NISTが示す「生態系全体で守る」という発想の両方を押さえておくことが、これからのセキュリティ担当者には求められます。
猛暑で冷房のありがたみを痛感するこの時期だからこそ、「その空調を誰がどう守っているか」を一度考えてみるのも良いきっかけかもしれません。
もし会社の冷房が止まったら皆さん仕事できますか？
筆者紹介
崎山 祐作（Sakiyama Yusaku） 経歴は、情報システム部門→工場レーン業務→情報システム部門→SIerへ。
興味は、EDR、ログ分析、AWS設計・構築、
Apple製品全般、生成AI活用など。
#制御システム #NIST #経済産業省 #セキュリティガイドライン #工場セキュリティ #OTセキュリティ #IoTセキュリティ #サイバーセキュリティ #ランサムウェア #サプライチェーン攻撃 #丸紅IDIGIO #IDIGIO #IT #セキュリティ