海運における船舶サイバーセキュリティ対策について
2021年2月12日

株式会社MTI 船舶物流技術グループ
柴田 隼吾

目次

１．はじめに
２．海運における船舶サイバーリスクとは
３．業界内での議論と対応
４．船舶ペネトレーションテスト
５．まとめ© 2021. MTI Co., Ltd. All rights reserved.

1１．はじめに日本郵船グループについて• 会社名：日本郵船株式会社（Nippon Yusen Kabushiki Kaisha)
••
•
••
•
•

代表取締役：長澤 仁志
設立 : 1885年 (明治18年) 9月29日
創業136年目
本社：〒100-0005 東京都千代田区丸の内 2-3-2 郵船ビル
従業員数：34,857名 (2020年3月末時点)
売上高：16,683億円 (2019年度）
URL : http://www.nyk.com/
事業内容：© 2021. MTI Co., Ltd. All rights reserved.

2

１．はじめに日本郵船グループの運航船（所有/運航）© 2021. MTI Co., Ltd. All rights reserved.

3

１．はじめにＭＴＩ（Monohakobi Technology Institute) について
船舶・物流における安全や省エネ技術の研究開発• 会社名：株式会社MTI• 代表取締役：石塚 一夫• 設立 : 2004年(平成16年) 4月1日
• 従業員数：69名 (2020年4月1日現在)• 資本金：9,900万円• 株主：日本郵船株式会社 (NYK LINE)• 本社：〒100-0005 東京都千代田区丸の内2－3－2 郵船ビル
• URL : http://www.monohakobi.com
シンガポール支店• 1 Harbour front Place #13-01,
Harbourfront Tower One
Singapore 098633

YOKOHAMA LABNYK SUPER ECO SHIP 2050

© 2021. MTI Co., Ltd. All rights reserved.

(輸送環境実証実験施設)• 〒235-0033 神奈川県横浜市磯子区杉田5-32-84

4

１．はじめにSmarter ship and operation in NYK/MTI

NowFuture
LNG

OIL

Wind Resistance Reduced
MT-COWLHYDROGEN

Super Eco Ship2030

Ship(Hardware)

Alternative Marine
PowerMeasurement around propeller

30％ Energy Saving PCTC

Hybrid T/CShin Koho

LNG-Fueled Tugboat
Sakigake

Solar Panel
Auriga Leader

Wind Power Generator
Andromeda Leader

LNG-Fueled PCTC
Delivery in 2016
Innovative
Air Lubrication System
SOYO
Air Lubrication System

Super Eco Ship 2050
carbon free concept ship

YAMATO, YAMATAI

MT-FAST

Hybrid Electric Power Supply
Auriga Leader

Improved
Electronic Controlled Engine
Governor Controller

LNG Bunkering Vessel
Delivery in 2016

Unmanned Autonomous Ship
Trial Project (MEGURI)

Operation(Software)

IBIS Project

MTI Founded

NYK’s own safety and Prediction ofEnvironment standard
Current
NAV9000

Fuel Consumption

Indicator
FUELNAVI

Onboard Broadband
NYK SATCOM Project
Integrated Operation
Management System
NYK e-missions’

LiVE
Operation Portal Site

Detection of Mach. Trouble
with monitoring data

ShipDC &IoS-OP

24/7 Engine Plant
Monitoring Center2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021
© 2021. MTI Co., Ltd. All rights reserved.

5目次

１．はじめに

２．海運における船舶サイバーリスクとは
３．業界内での議論と対応４．船舶ペネトレーションテスト
５．まとめ© 2021. MTI Co., Ltd. All rights reserved.

6

２．海運における船舶サイバーリスクとは

1) 海運における船舶サイバーリスクの高まり✓ VSAT衛星通信技術の発達により、船舶のインターネット常時接続が普及✓ 船舶の運航データを陸上でモニタリングするなど、船陸間のデータ共有が急増✓ 一方で、舶用機器のコンピューター化や、船陸通信の接続に伴い、船舶の内外からのウイルス感染、不正アクセスといったサイバー攻撃に晒されるリスクが高まる➡ 2017年6月に開催された、国際海事機関（IMO）海上安全委員会 において、船舶のサイバーリスク対策は、「海上人命安全条約（SOLAS条約）」における国際安全コード（ISMコード）に基づき、2021年1月以降から船主・運航者の“安全管理システム(SMS)にて対応すること”が強く推奨される。
© 2021. MTI Co., Ltd. All rights reserved.

7

２．海運における船舶サイバーリスクとは

船舶サイバーセキュリティで守るべき対象は、安全運航を支える ”OT機器”※OT機器を守る＝”乗っ取り“や”運航不能“を防止して、船の運航に関する各機能の正常動作を維持する■その他にも、守るべき対象はさまざま：例） 船上のPCや、そこに含まれる情報：損傷、改変、悪用からの保護
船陸間衛星通信／無線通信：傍受、なりすまし、通信妨害からの保護 など■船舶に対するサイバー攻撃の手段：
・攻撃は、メール添付や、不正URL、USBメモリ経由が主流
・OTシステムの乗取り/機能停止以外にも、データ漏洩、破壊、改ざん
攻撃例：マルウェア、ランサムウェア、GPS信号なりすまし© 2021. MTI Co., Ltd. All rights reserved.

8

２．海運における船舶サイバーリスクとは

2) 船舶運航とサイバーセキュリティ
IT機器

OT機器

（Information Technology）（Operation Technology）

サイバーセキュリティ
３大要素

メールPC、業務用PC、プリンタ
および船内情報ネットワーク など

航海機器・エンジン機関
および制御ネットワーク など

機密性[Confidentiality]

・ 情報の漏洩防止が重要

・ データ漏洩の影響度は低い例）個人、顧客、貨物情報保護
データ暗号化例）舶用機器の設定値
運航状態データ

完全性

・ 運航や貨物情報の改ざん防止
・ 情報整合性の保持が重要

・ 運航機器の正常動作が重要
・ 運航の安全性が最優先
・ リスクの影響が衝突や座礁など物理的危険に直結する可能性が高い・ システムの一時的な停止が運用要件により容認できる
・ 運用のリアルタイム性が低い
・ 緊急対応の重要性は低い

・ 運航機能の継続稼働性が重要
・ 機器再起動は運航状況により許容できない・ 陸上からの支援なしにも緊急対応ができることが重要[Integrity]

可用性（継続性）[Availability]© 2021. MTI Co., Ltd. All rights reserved.

9

２．海運における船舶サイバーリスクとは通信機器
衛星通信 / 4G 等

3) 船舶における IT/OTネットワーク[ある外航貨物船の一例]

UTM / Firewall
船員用ネットワーク

船内業務用ネットワーク (IT LAN)
業務用PC

業務用
プリンタ

船上データ
収集サーバ 等航海系機器ネットワーク (OT LAN)
GPS,AIS等
位置情報RADAR
舶用レーダーGYRO COMPASS© 2021. MTI Co., Ltd. All rights reserved.

ECDIS
電子海図

船員個人PC・スマートフォン

機関系ネットワーク (OT LAN)

VDR
航海記録装置IAS/DCS
機関監視制御装置(シリアル通信等）（シリアル通信等)

AUTO PILOT各SUB SYSTEM
10２．海運における船舶サイバーリスクとは

4) 船舶OT機器へのサイバー攻撃イメージ© 2021. MTI Co., Ltd. All rights reserved.

11

２．海運における船舶サイバーリスクとは

5) 船舶へサイバー攻撃事例①操舵機器のハッキングによる操船乗取り✓2017年2月、紅海付近を航行するコンテナ船が約10時間にわたり操船システムを乗っ取られる。
✓“突然、船の操縦ができなくなった。
航海システムは完全にハッキングされていた。”と、関係者は語った。

✓外部のIT専門家と連携し、何時間もの対応の結果、なんとか乗っ取りをブロックすることが出来た。
✓原因はいまだ不明ではあるが、攻撃者は海賊であり、船を襲いやすい場所に誘導する目的だったとの見方が有力とも。
出典) https://safetyatsea.net/news/2017/shipping-must-confront-onboard-systems-cyber-vulnerabilities/© 2021. MTI Co., Ltd. All rights reserved.

12

２．海運における船舶サイバーリスクとは

5) 船舶へサイバー攻撃事例②GPS信号の改ざん(スプーフィング）✓黒海付近では、この数年間で1万件以上の船舶でのGPS位置情報の改ざんが発生✓1000隻以上の商船の航行に影響✓米国シンクタンク(C4ADS)は、ロシア軍によるGPSスプーフィング行為が原因であると報告出典）Above US ONLY STARS, The Center for Advanced Defense Studies
米国高等国防研究センター（C4ADS）, 2019年3月発行© 2021. MTI Co., Ltd. All rights reserved.

13

目次

１．はじめに
２．海運における船舶サイバーリスクとは

３．業界内での議論と対応
４．船舶ペネトレーションテスト
５．まとめ© 2021. MTI Co., Ltd. All rights reserved.

14

３．業界内での議論と対応

1) 海運の各プレーヤの役割
船舶管理会社

海運会社・船主
海上輸送のための船舶運用・安全管理チーム・インシデント対応組織

安全運航のための運用・維持

外部技術パートナ

船舶

荷主
港湾等

凡例：
➡船舶運航に関係➡船舶設計・建造に関係➡機器設計・建造に関係

造船会社
安全で効率的な船舶の建造

安全運航
舶用機器メーカ

各種技術支援IMO・船級

舶用機器
設計/開発

ルール作成
検査と認証
© 2021. MTI Co., Ltd. All rights reserved.

15

３．業界内での議論と対応

1) 海運の各プレーヤの役割
船舶のフロー
サイバーセキュリティ対応の要求（業界ルールに基づく）

荷主

船会社
・船主

サイバーセキュリティ
対応の要求

運航時のサイバーリスク管理
船舶引き渡し造船会社

情報のフロー

凡例：
船級の確認・認証

・要求に基づき新造設計

舶用機器メーカ© 2021. MTI Co., Ltd. All rights reserved.

・設計に基づきインテグレート・試験の実施

要求に基づいた機器・システム調達

要求に基づいた機器・システム納入

文書・情報引き渡し・収集した情報の管理
・船舶全体に係る文書作成

機器・システムに関する情報の提供
16

３．業界内での議論と対応

凡例：

2) IMO・業界団体・船級のガイドラインや認証
2016

2017

IMO /国際海事機関⚫ UR E-22 Rev.2発行【6月】/国際船級協会連合/ボルチック国際海運協議会

主
要
な
船級協会

2019

⚫ MSC-FAL.1/Circ.3の承認【6月】⚫ MSC.428(98) の採択【6月】

IACS

BIMCO

2018

運用（船社）に関係設計・建造（造船所）に関係設計・建造（メーカー）に関係改訂⚫ ガイドライン
第1版発行【1月】

ABS /アメリカ
BV /フランス

DNV-GL/ドイツ・ノルウェー

LR /イギリス
ClassNK /日本© 2021. MTI Co., Ltd. All rights reserved.

⚫ ガイドライン
第2版発行【7月】

2020“強く推奨”⚫ 12 Recommendation
公開【11月】

統合⚫ ガイドライン
第3版発行【12月】

2021年1月弊社調べ

2021⚫ SMSでのサイバーリスク管理【1月～】⚫ N.166に 統合【4月】⚫ N.166修正版公開【7月】* 統一規則化の見込み⚫ ガイドライン第4版発行【12月】⚫ CS for Equipment
Manufacturers 発行【10月】⚫ CYBER (MANAGED)⚫ SYSCOM発行【10月】⚫ CYBER MANAGED(SECURE) Notation発行⚫ SYSCOM発行【10月】
Notation発行【12月】⚫ CYBER (MANAGED)⚫ CYBER SECURE(SECURE) Prepared
Notation発行【12月】
Notation発行【9月】⚫ RP: Cyber Security⚫ CP-0231改訂【3月】⚫ CP-0231発行【1月】
Resilience Management発行⚫ Cyber Secure⚫ Cyber Secure (basic)【12月】
Notation発行【2月】
Notation発行【7月】⚫ Cyber Secure (advanced)⚫ Cyber Secure (Essential)
Notation発行【7月】(Advanced)Notation発行⚫ Cyber Security Maturity Framework発行【7月】⚫ Cyber Secure (basic)Notation発行【7月】⚫ 型式認証 Network-related devices 発行【9月】⚫ ShipRight発行【12月】⚫ マネジメントガイドライン発行【3月】⚫ マネジメント認証【12月】⚫ デザインガイドラ⚫ デザインガイドラインイン発行【2月】
第2版発行【7月】⚫ ソフトウェアガイドライン発行【5月】
17⚫ CS Notation 発行【7月】⚫ CS Ready Notation
発行【6月】

３．業界内での議論と対応ガイドラインや規則など、要件(Plan)の作成は進み、各事業者は、いかに要件を満たす対応を実施(Do)するかを対策中。 しかし、検証(Check)の仕組みや体制の整備は道なかば
Security by Design
フェーズ舶用機器製造船舶建造

船舶運用主担当

舶用機器メーカ

造船会社

船社

要件(Plan)

改善(ACT)

Security Management

実施
(Do)

検証(Check)

IACS No.166 “Recommendation on Cyber Resilience”(2020.4)
ガイドライン・認証

ガイドライン・認証

船技協 舶用機器向けガイド
ライン作成中 (2020年度)

船技協 CyberResilient Ship

船技協 サイバーリスク管理

ガイドライン発行 (2020.3)

テンプレート発行 (2019.3)

舶用機器メーカ向けガイド
ライン等に基づき対応

Cyber-Resilient shipガイ
ドライン等に基づき対応

CSMSテンプレートに基づ
き、SMSでの対応を実施 (2021年1月～）© 2021. MTI Co., Ltd. All rights reserved.

整備が必要

整備中のものBIMCOガイドライン (2018.11)

各国船級による新造船向け船舶全体のシステムや、各ファンクションのサイバー耐性を検証する手法の業界団体が実施

IMO MSC-FAL.1/Circ.3 (2017)

各国船級による舶用機器向け

舶用機器・システムに対する検証・テスト手法の整備が必要

凡例： 各国船級が実施

各国船級 船主向け
ガイドライン認証

2021年1月以降の最初の適合証書の年次検査で実施
運航時におけるサイバーインシデントへの対応演習*船技協 ：(一財)日本船舶技術研究協会

18

３．業界内での議論と対応

3) 船舶運用でのサイバーリスク管理
船舶
安全運航

安全で環境にやさしい運航を実現

安全管理システム(SMS)SOLAS条約 国際安全管理(ISM)コードに則った安全管理システム(SMS)

サイバーリスク管理

サイバーリスク管理はSMSに含めて実施することが推奨される①特定(Identify)
サイバーリスク管理アプローチ：②防御(Protect)
NIST(*1) Cybersecurity Framework“5つの対応カテゴリ” に整理し改善する ③検知(Detect)
ことが多くのガイドラインでも推奨されている④対応(Respond)*1 NIST＝アメリカ国立標準技術研究所⑤復旧(Recover)© 2021. MTI Co., Ltd. All rights reserved.

19

３．業界内での議論と対応

3) 船舶運用でのサイバーリスク管理
船舶安全運航安全管理システム(SMS)①特定 Identify
リスクアセスメント②防御/③検知
Protect/Detect

サイバーリスク管理

技術的対応
運用的対応

脅威/脆弱性の特定
影響度分析

ユーザの教育レベル評価
物理的保護
ネットワーク保護システム保護
異常監視運用ルール④対応/⑤復旧
Respond/Recover

対応と復旧

アクセス権限変更履歴管理教育 (船/陸)対応復旧計画※船技協 “SMSテンプレート”(2019.3) および、BIMCOガイドライン第３版(2018.11)の内容をもとに各要件をMTIで整理したもの© 2021. MTI Co., Ltd. All rights reserved.

対応組織

20

３．業界内での議論と対応

4) 船舶建造におけるサイバーレジリエンス向上

国際船級協会連合(IACS) 2020年4月発行
Recommendation on Cyber Resilience(No.166)
目次
１章. イントロダクション２章. スコープ３章. 参照ガイドライン・規格
４章. 単語の定義
５章. 設計・製造のゴール
６章. 機能要件
７章. 技術要件
８章. 検証要件
付録. A～C© 2021. MTI Co., Ltd. All rights reserved.

Recommendation on Cyber Resilience , IACS
Apr.2020 (Corr.1 July 2020) ,57 Pages
ダウンロード：http://www.iacs.org.uk/download/10714

21

３．業界内での議論と対応

4) 船舶建造におけるサイバーレジリエンス向上
IACS Recommendation on Cyber Resilienceの構成

ゴール

サブゴール

機能要件

技術要件

検証要件

5章

5章

6章

7章

8章

①特定
Identify

機器・システム・データ特定

インベントリ作成(機器リスト)インベントリ提出

リスク特定

ネットワーク
構成図作成

ネットワーク
構成図提出

リスク評価実施

リスク評価
結果提出

ライフサイクルを通じて、サイバー攻撃耐性のある船舶の設計・建造②保護Protect③検知
Detect④対応
Respond⑤復旧
Recover・・・※設計～建造～運航の各段階での・ 検証と試験の実施にも言及
・・・・・

より具体的な内容に© 2021. MTI Co., Ltd. All rights reserved.

22

３．業界内での議論と対応
舶用機器や船舶のサイバーセキュリティに関する
海外船級の主な認証取得状況

ご参考
日付

船級

2017年11月

DNV-GL

Kongsberg Maritime（ノルウェー）

同社のVPMS K-IMSが型式認証DNVGL-CP-0231を取得

2018年1月LR

Nantong COSCO KHI ShipEngineering （中国）

同社のコンテナ船が「Cyber AL3 SECURE PERFORM (EnergyManagement System)」を取得

2018年11月

ABS

現代重工業（韓国）

同社及び同社のVLCC船がCS-Ready Notationを取得

2019年2月

KRS

Songa Shipmanagement（英国）

同社がサイバーリスクマネジメントのCertificationを取得

2019年2月

DNV-GL

Naval Dome（イスラエル）

同社のエンドポイント防御システムが型式認証DNVGL-CP-0231のSL4（最高レベル）を取得

2019年6月

KRS

現代重工業（韓国）

同社のHyundai-ISCSがサイバーセキュリティの型式認証を取得

2019年7月

LR

大宇造船海洋（韓国）

同社のECDIS等を含む艦隊監視システムが「Digital AL3 SAFE
SECURITY」のAiPを取得

2019年8月

LR

現代重工業（韓国）

同社のネットワークセキュリティデジタルコンポーネントが型式認証を取得。

2019年11月

DNV-GL

現代重工業（韓国）

同社が建造中のLPG船がCyber Secure (Advanced) のAiPを取得

2019年11月

DNV-GL

サムスン重工業（韓国）

同社のSVESSEL®がCyber Secure(Advanced+）のAiPを取得

2019年12月

LR

Wärtsilä（フィンランド）

同社の統合システムネットワークが「SAFE AL2」のAiPを取得

2020年 5月

BV

France LNG Shipping SAS(NYKとGeogas LNG SASの共同船舶保有会社) (フランス）

現代三湖重工業（韓国）にて建造した、同社の保有のLNG運搬船が、BV SYS-COM Notationを取得（LNG船では世界初の取得）© 2021. MTI Co., Ltd. All rights reserved.

取得メーカ(国名)2020年８月弊社調べ

認証内容

23

目次

１．はじめに
２．海運における船舶サイバーリスクとは
３．業界内での議論と対応

４．船舶ペネトレーションテスト
５．まとめ© 2021. MTI Co., Ltd. All rights reserved.

24

４．船舶ペネトレーションテスト

1) ペネトレーションテスト検証の位置づけ
ペネトレーションテストの実施要件は、サイバー対策の検証において、業界標準で設計する領域と、事業者独自で設計する領域にまたがる。
造船会社・舶用機器メーカ[Security by Design]

船社・船主[Security Management]

事業者で独自に設計する領域
検証/試験要件

当該船固有の事情を考慮した技術的対策の試験要件

ペネトレーションテストの実施要件規格化された舶用機器・
NWにおけるセキュリティ機能の試験要件

当該船固有の事情を考慮した運用的対策の試験要件

マネジメントの監査要件

業界標準として設計する領域
対応/運用要件規格化された舶用機器・NWにおける機能要件

当該船固有の事情を考慮した技術的対策要件© 2021. MTI Co., Ltd. All rights reserved.

船社組織におけるサイ
バーセキュリティマネ
ジメント要件規格化された舶用機器・NWにおけるセキュリティ機能の健全性を保つ運用要件

当該船固有の事情を考慮した運用的対策要件

25

４．船舶ペネトレーションテスト

1) ペネトレーションテスト検証の位置づけ
業界ガイドラインでは、現時点ではペネトレーションテストを義務付けてはいないが、試験実施の推奨や、高いレベルの船級認証では実施が求められる場合もある。
組織名

IACS

ABS

DNV-GL

BV

国際船級連合(アメリカ 船級)

(ノルウェー 船級）(フランス 船級）

IACS Recommendation No.
166“Recommendation onCyber Resilience”*CYBERSECURITY
IMPLEMENTATION FOR THE
MARINE AND OFFSHORE
INDUSTRIES ABS CyberSafetyTM
VOLUME 2**

DNVGL-RU-SHIP“RULES FOR CLASSIFICATIONPart 6 Additional class notations
Chapter 5 Equipment and designfeatures”***

NR 659 DT R00“Rules on Cyber Security for
the Classification of MarineUnits”****(N/A)

CS-Ready, CS1, CS2, CS3

Cyber secure

CYBER MANAGED,CYBER SECURE

ペネトレーショ ⚫ 設計段階および、船舶建造完了直前のンテストの扱い⚫ 最も厳しいNotationである”CS3”の要件として、⚫ 「要求通りの作りとなっているか」を検証する統合試験の実施を規定⚫ 自律機能を有する船舶を対象としたNotationである”CYBER SECURE”の要件と文書名

Notation名

機能検証する手段として、“試験”を実施すべきと言及© 2021. MTI Co., Ltd. All rights reserved.

運航後の定期的なペネトレーションテストの実施を規定⚫ ペネトレーションテストは、検証の手法として例示

して、建造時のペネトレーションテストの実施を規定*
http://www.iacs.org.uk/download/10714** https://ww2.eagle.org/content/dam/eagle/rules-and-guides/current/other/251_cybersafetyV2/CyberSafety-V2-Cybersecurity-Guide-June18.pdf*** https://rules.dnvgl.com/docs/pdf/DNVGL/RU-SHIP/2020-07/DNVGL-RU-SHIP-Pt6Ch5.pdf**** http://erules.veristar.com/dy/data/bv/pdf/659-NR_2018-12.pdf

26

４．船舶ペネトレーションテスト

2) 船舶ペネトレーションテスト 検証PJ (2019年10月～2020年7月)
海運業界の各プレイヤーが連携し、サイバーセキュリティ専門家の協力を仰ぎながら、ペネトレーションテストの知見の獲得と、検証手段としての各種課題の抽出が目的
役割

プロジェクト統括
被験機器・システム主管アドバイザリーテスト運営支援

企業名

業種

ジャパン マリンユナイテッド 株式会社 (JMU)

造船会社

株式会社ＭＴＩ

船会社 研究機関

寺崎電気産業 株式会社

（機関系）

東京計器 株式会社（航海系）

ナブテスコ 株式会社

（機関系）

日本無線 株式会社（航海系）

BEMAC 株式会社（機関系）

古野電気 株式会社（航海系）

舶用機器メーカ

一般社団法人 日本海事協会

船級協会

日本郵船 株式会社

船会社

株式会社 ＮＴＴデータ

ＩＴ・サイバーセキュリティ
専門企業

テスト実行
© 2021. MTI Co.,
Ltd. All rights reserved.株式会社 イエラエセキュリティ

27

４．船舶ペネトレーションテスト

3) ペネトレーションテストのタイミングと実施主体
安全運航に大きな影響を与えるサイバーインシデントのシナリオを定義し、当該脅威の顕在化を目的とした。今回はソフト・ハードウェア機能に限定したTLPT検証を実施

脅威ベースペネトレーションテスト (TLPT*)
今回の対象
ソフトウェア/ハードウェア機能© 2021. MTI Co., Ltd. All rights reserved.

規則・手順

人的対応

* TLPT = Threat Led Penetration Test

28

４．船舶ペネトレーションテスト

3) ペネトレーションテストのタイミングと実施主体
タイ
ミン
グ
フ
ェ
ーズ
実施
主体

PT

PT/TLPT

TLPT

本ＰＪ想定

新造（設計・建造）
舶用機器
設計開発

船舶建造での舶用機器メーカ

船舶運航

機器統合

船舶建造後の検査/認証

運航

造船会社

船級協会

船社

運航中の安全運航に影響を与える
サイバー攻撃・ 船外/船外からのサイバー攻撃© 2021. MTI Co., Ltd. All rights reserved.

29

４．船舶ペネトレーションテスト

3) ペネトレーションテストのタイミングと実施主体
造船会社によるPT/TLPTを想定し、インシデントシナリオ作成には船会社、検証結果の評価および今後の課題抽出には船級協会とも協力して実施。

© 2021. MTI Co., Ltd. All rights reserved.

30

４．船舶ペネトレーションテスト

通信機器
衛星通信 / 4G 等4) 対象被験システム[ある外航貨物船の一例]

UTM / Firewall
船員用ネットワーク

船内業務用ネットワーク (IT LAN)
業務用PC

業務用
プリンタ

船上データ
収集サーバ 等②機関系機器

①航海系機器
航海系機器ネットワーク (OT LAN)
GPS,AIS等
位置情報

船員個人PC・スマートフォンRADAR
舶用レーダーGYRO COMPASS© 2021. MTI Co., Ltd. All rights reserved.

ECDIS
電子海図

機関系ネットワーク (OT LAN)

VDR
航海記録装置IAS/DCS
機関監視制御装置(シリアル通信等）（シリアル通信等)

AUTO PILOT各SUB SYSTEM
31

４．船舶ペネトレーションテスト

4) 対象被験システム①<航海系機器>

シナリオ１

TCP/IP (船内LAN)
シナリオ3
IEC61162-450 (OT LAN)

GPS,AIS等
位置情報

VDR
航海記録装置

RADAR
舶用レーダ
USB

ECDIS
電子海図システム

USB

USB

シナリオ２

IEC61162-1
凡例：

侵入経路

© 2021. MTI Co., Ltd. All rights reserved.

GYRO COMPASSAUTO PILOT
32

４．船舶ペネトレーションテスト

4) 対象被験システム②<機関・エンジン系機器>
シナリオ１
OT LAN
シナリオ２

VDU
情報表示ユニット

制御ユニットUSB

RS-422

M/E Remote
Controller
エンジン制御装置

シナリオ３
凡例：

侵入経路

USB
© 2021. MTI Co., Ltd. All rights reserved.

33

４．船舶ペネトレーションテスト

5) 対策技術の検証 <IoTセキュリティオーケストレーションエンジン(ISE)>
ISEサーバ
SLC

ECDIS

RADAR

ネットワーク接続機器の把握
通信パケットルーター

IEC61162-450 (OT LAN)AIS

異常通信の検知

VDR

ブラックリスト/ホワイトリストの設定

ホワイトリスト/ブラックリ
ストによる異常通信断

TCP/IP (船内LAN)*ISE : NTTセキュアプラットフォーム研究所により開発されたサイバー攻撃検知技術© 2021. MTI Co., Ltd. All rights reserved.

34

４．船舶ペネトレーションテスト

6) テスト結果① <対策されていた例>
大分類
小分類
REDSセキュリティ

レッドチーム攻撃に対して対策済みであった項目
キーボード操作を模擬できるBadUSBを用いて侵入を試みたが、BadUSBからの文字列入力はアプリケーションに入力されたため、任意コマンドの実行には失敗した。

ソフトウェアメンテンナンス

OS/インターフェースに既知の脆弱性が存在しなかった。

ユーザ認証
/認可

認証実施

ある航海機器が提供するサービスにはすべて認証が求められており、認証情報についても容易に入手できないよう設定・管理されていた。

権限設定

提供するサービスへアクセスするアカウントに与えられる権限を限ることで、当該アカウントで実施できる操作を限定している。

適切なポート・サービス公開

必要最低限のサービスのみを提供しており、不要なサービスは提供していない。
このことにより、レッドチームのエントリポイントが限定された。

適切なファイル公開

レッドチームは、当該機器から電文を発出する操作を実現するための情報収集を当該機器内のファイルを閲覧することによって行うが、公開サービスのアカウントで閲覧できるファイルは限定されている。

公開設定© 2021. MTI Co., Ltd. All rights reserved.

35

４．船舶ペネトレーションテスト

6) テスト結果② <対策が必要だった例>
大分類
REDSセキュリティ小分類

明らかになった検討事項
USBポートから特殊キー操作が有効

ソフトウェアメンテンナンス

Windowsベースの機器、既知のWindowsの脆弱性が存在

ユーザ認証
/認可

⚫ 同一LAN内であれば重要なデータが存在する領域に匿名アクセスが可能⚫ 認証なしで重要な機能へアクセス可能⚫ Windowsの管理者アカウントにパスワードが設定されておらず、ネットワーク経由でファイル読み書き可能
機器管理画面において、GuestアカウントでAdministratorアカウント権限と同様の操作が可能
デフォルトのパスワード、もしくは容易に推測可能なパスワードを設定

公開設定

認証の不備

権限設定の不備
貧弱なID/パスワード
不要なポート/サービス公開
不要なファイル公開© 2021. MTI Co., Ltd. All rights reserved.

公開不要なポート/サービスを公開⚫ 公開不要な機器上のファイルが外部から閲覧可能⚫ ディレクトリリスティング機能が有効になっておりファイル一覧情報を取得可能⚫ 企業のウェブサイト上に，公開を想定していない機器関連情報のファイルを公開
36

7) ペネトレーションテストPJのまとめ■結果と成果✓ 船舶ペネトレーションテスト実施に必要な連携体制・手順の知見を獲得✓ 機器の動作停止、データ改ざん、不正データ偽装送信などが可能となったケースが小数例ではあるが存在することが判明。それぞれの対策案が確認された✓ ペネトレーションテストの、船舶建造の検証・試験における有用性を確認➡ 「実施成果報告書」として、WEB一般公開
https://www.nyk.com/news/2020/20200720_01.html■今後求められるアクション✓ テスト実施のタイミング・主体者・方法について業界内での議論 (When/Who/How)①機器開発段階：舶用機器メーカによる機器へのPT②船舶建造段階：造船会社によるPTおよびTLPT③就航後：船会社・船主による定期的なTLPT実施による健全性評価➡ 海運ビジネスとしてのコスト・メリットも考慮して業界内での合意形成も必要© 2021. MTI Co., Ltd. All rights reserved.

37

目次

１．はじめに
２．海運における船舶サイバーリスクとは
３．業界内での議論と対応
４．船舶ペネトレーションテスト

５．まとめ© 2021. MTI Co., Ltd. All rights reserved.

38

海運における船舶サイバーセキュリティ対策 まとめ✓ 舶用機器や、船陸通信の高度化に伴い、船舶サイバーセキュリティ対応（特にOT機器）が世界的に急務となっている。

✓2021年1月以降、安全運航のための”船舶サイバーリスク対策”が必須となり、船会社・船主・造船会社では、それぞれ対応を進めているが、各プレーヤが効果的に連携して、対策・対応にあたる体制作りが重要。
✓ 業界内でガイドラインやルールは作成されつつあるが、検証する仕組みや体制は、まだ議論の途中である。
✓ 今後、検証手法としてペネトレーションテストは有用であるものの、実施タイミングや主体社については、海運ビジネスの特性も考慮した議論が必要© 2021. MTI Co., Ltd. All rights reserved.

39

ご清聴ありがとうございました。

© 2021. MTI Co., Ltd. All rights reserved.

40