Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency
Response Team Coordination Center, cn=Japan Computer Emergency Response TeamCoordination Center
日付 : 2010.03.09 10:39:36 +09'00'

PA系ネットワークにおけるセキュリティ対策の取り組みの紹介

2010年02月09日
三菱化学株式会社 技術部
プロセス制御技術グループ(四日市)
島廻 昭朗

説明内容

三菱ケミカルホールディングスの紹介
プロセス制御技術Gの役割
プロセスデータベースの位置付け
セキュリティ対策の取り進め
PA系ネットワーク
運用ガイドライン
まとめ
PA Process Automation
2Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

三菱ケミカルホールディングス概況●設立 ：１９５０年 （１９９４年、旧三菱化成・旧三菱油化合併）●資本金 ：５００億円●社員数 ：単独
5,073名 (08年3月）
MCHC連結39,305名●売上高 ：単独：1兆2,462億円
MCHC連結：2兆9,298億円（08年3月期）●社長 ： 小林 喜光●三菱化学グループ会社：約250社

注）MCHC＝三菱ｹﾐｶﾙﾎｰﾙﾃﾞｨﾝｸﾞｽ社
3

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

三菱ケミカルホールディングスグループ
2006/4/1 ˜

三菱化学（株）

ケス

機能商

品ルヘ

設立：1994年
資本金500億円“Ｃｈｅｍｉｓｔｒｙ”の限りない可能性を追求し、地球環境と人類が幸せに共生できる社会の実現を目指しています。

ア(株）三菱ｹﾐｶﾙﾎｰﾙﾃﾞｨﾝｸﾞｽ

三菱樹脂（株）設立：2005年
資本金500億円

設立：1943年
資本金215億円

市場が求める価値をいち早く実現する“開発型企業”として環境に調和した豊かで快適な社会づくりに貢献していきます。

化学品田辺三菱製薬株）
設立：2007年
資本金500億円

4

社会から信頼される国際創薬企業をめざして、人類の幸福に資する医薬品を開発・提供し続けていきます。

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

三菱ケミカルホールディングスの製品群
石油化学製品
高純度テレフタル酸、Ｃ４ケミカル、PET樹脂、ｴﾝｼﾞﾆｱﾘﾝｸﾞﾌﾟﾗｽﾃｨｯｸｽ
PET樹脂、ｴﾝｼﾞﾆｱﾘﾝｸﾞﾌﾟﾗｽﾃｨｯｸｽ
アクリル酸・フェノール及び誘導品、等機能材料製品

機能化学製品
情報電子材料（プリンタ関連、表示材関連、光記録メディア）
2008年度・連結
医薬品中間体、食品機能材、
29,298 億円
機能性樹脂、無機材料、炭素材料、等売上高

経常利益

フィルム・シート製品、建築材料、土木資材
農業資材、高機能材料、等

81 億円

従業員数

39,305 名

ヘルスケア製品

サービス分野医療用医薬品
診断薬、診断機器
臨床検査、創薬支援

エンジニアリング、物流、情報システム、環境・応用分析、調査・情報・コンサルティング

5Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

三菱化学の生産拠点
直江津事業所

四日市事業所

情報電子（トナーなど）
他社を含む工業団地

石油化学（合成樹脂など）
機能化学（合成ゴムなど）

水島事業所

筑波事業所

中地区：石油化学ｺﾝﾋﾞﾅｰﾄ
松江 ：情報電子（光ﾃﾞｨｽｸ）

機能材料（樹脂加工）
情報電子（半導体など）

黒崎事業所
鹿島事業所

機能化学
（無機化学品、医薬中間体）
石油化学（ｴﾝﾌﾟﾗなど）

2008
鹿島⇒四日市

海外：約６０拠点
ｼﾝｶﾞﾎﾟｰﾙ、台湾、韓国、ｲﾝﾄﾞﾈｼｱ、ｲﾝﾄﾞなど

東部：石油化学ｺﾝﾋﾞﾅｰﾄ
波崎：ﾍﾙｽｹｱ（医薬、製剤）

松山工場

小田原工場
情報電子（ｲﾒｰｼﾞﾝｸﾞ製品）

坂出事業所

機能化学（炭素製品）
石油化学（テレフタル酸）
Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved
6

2009/12/12

プロセス制御技術グループの役割
高効率運転

ﾃﾞｰﾀ・情報・知識の解析，体系化，共有省資・省エネ

安全･安定･省資省エネ･少人化データ解析・情報共有

高度制御（ＡＣＳ）

統計・多変量解析技術による実験，開発の効率化
実験計画法，ケモメトリックス
配合設計支援最適制御設計シミュレーションによる検証

データマイニングによるトラブル
シューティング
情報検索，技術伝承支援

超安定運転

ＩＴ技術の活用
データオープン化

プロセス情報システム（ＰＡＳ）
プラント情報システム
開発･設計･導入･保全

PID制御等の基本制御
高度制御システム設計・実装
制御性能維持・向上

運転支援
生産管理機能開発・適用

用途に応じた制御システムの開発･設計

プラント情報収集
活用環境整備7

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

プロセスデータベースについて

8

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ネットワーク構成例
品質管理システム

生産計画
システム

保全情報システム

個人用
ＯＡパソコン

ＯＡ系ネットワーク

ＦＷ

ＰＡ（ＭＥＳ）系ネットワーク
計器室
専用端末

計器室端末用ネットワーク

ＰＤＢ

高度制御

アラーム
収集

運転支援
システム

OPC

OPC

OPC

OPCＤＣＳ系エンジ用ネットワーク
OPC

データ通信用ネットワーク

OPC
G/W

エンジ用PC

ｵﾍﾟﾚｰﾀｺﾝｿｰﾙ

制御系ネットワーク

DCS制御ｽﾃｰｼｮﾝ

安全計装

MES Manufacturing Execution System
PDB Process Database
OPC OLE for Process Control
G/W Gateway
DCS Distributed Control System
9Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

プロセスデータベースの位置付け
OA用パソコン
OA系ネットワーク

プロセスデータベースの主な目的
・ＤＣＳデータを収集、保存・生産管理、運転管理に利用・データを、オペレータやスタッフに公開

プロセスデータベース
データ収集
1000〜5000点/分

高度制御
計算機

計器室用
専用端末

計器室用専用ネット
セキュリティ上の懸念事項
・データ設定DCSに極めて近いシステム
・10〜100点/分
プラント稼働中は停止困難
・高度制御
大量リアルタイムデータを扱う為に、
レシピ
アンチウィルスソフトの適用が困難
運転ガイダンスなど
・ 多数のユーザにデータ提供

G/W
OPC

DCS制御用ネットワーク

10Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

プロセスデータベースの利用事例
Process Data 利用の段階

場内NW

記録
運転開示

PDB

Excelに張付

直接利用

加工利用

排水
日誌 自動運転トレンド

主成分プロット
12日誌

広域実時間

定常データ
異常Ａ
異常Ｂ（LC731異常）

液面計異常
8データ
解析

表示

ﾌﾟﾗﾝﾄ停止

Ｂ
4

Ａ

正常範囲

監視機能

0

経営

利用の形態 ／ 管理・監視

蓄積

COMP2

プラント-30-20-100102030

4050

生産管理
-4

予/実

COMP1

日次月次

PDBは付加価値創造の源泉
11

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

セキュリティ対策の取り進め

12

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ネットワーク構成（1990年代前半） 鹿島事業所の例- PDBや高度制御計算機などは、 UNIX,VMSなどを採用- DCSゲートウェイやオペコンは、専用ハード・OSで構成

OA用パソコン
OA系ネットワーク

他プラントデータによる監視・制御機能の実施

プロセス
データベースプロセス
データベース

高度制御
計算機

計器室用
専用端末
計器室用専用ネット

G/W
DCS制御用ネットワーク
13

【問題点】
メールやマルチメディアの普及
ネットワーク保全作業・機器故障⇒ PDB間の通信に影響

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ネットワーク構成例（2004年〜）鹿島事業所の例- PDB間の通信性能確保を目的に、専用ネットワーク（PA系ネット）を用意- PDBや高度制御計算機にWindows系の導入が始まった

OA用パソコン
OA系ネットワーク

既設ネットワーク更新に合わせ設計システム更新に合わせ拡張

プロセス
データベース

ルータ
PA系ネットワーク

プロセス
データベース

高度制御
計算機

計器室用
専用端末
計器室用専用ネット

G/W
DCS制御用ネットワーク
14

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

Windowsの制御系システムへの進出
ＰＤＢは、一部特殊なシステムを除き、Windowsを採用（2004〜）
ＤＣＳ更新に伴い、制御系システムにもWindowsを採用（2005〜）
PDB/高度制御計算機 OS
16141210VMS
UNIXLINUX
WIN

8642019992004

2009

制御系システムにおいて、OPCサーバ、オペコン、運転支援システムなど Windowsパソコンが増加
15

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

セキュリティ検討のきっかけ

きっかけ

OA系ネットにおいてネットワーク型ウィルスの脅威が高まっている（実例）
ＯＡ系ネット上の分析機器用パソコンにウィルスが感染し、一部のシステムに被害をもたらした。

問題

PDB〜DCSオペコンにWindowsが増加
運転中の再起動が困難
アプリ動作保障の点から、パッチ適用の問題

リアルタイムでデータを取り扱う為アンチウィルスソフトの適用も困難

リスク

セキュリティホールとして残る可能性あり
OA系ネットからのウィルス感染・拡大のリスクが想定される長期間（最短でも５年）利用するシステムであり、セキュリティパッチの入手期限の問題もある

対策

OA系ネットワーク経由のウィルス侵入を防止することが必要

16

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

リスクの洗い出し
情報資産の破壊や改竄

システム停止■（広義の）ウィルス感染■通信の改ざん■意図的な破壊や改ざん■不正アクセス■（広義の）ウィルス感染■物理的な破壊■DOS攻撃■意図的な停止■不正アクセス

現実的な脅威である「ウィルス感染」への対策が必要
情報漏えい■（広義の）ウィルス感染■内部者の意図的な持ち出し■パケットの盗聴■PC紛失■アプリケーションへの脆弱性攻撃■不正アクセスなりすまし■（広義の）ウィルス感染■リプレイ攻撃■各種スプーフィング■不正アクセス
社内のネットワークであることから悪意のあるものなどは対象外
17

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ネットワーク構成例（2006年〜）鹿島事業所の例- ＦＷを導入し、通信機器やポートについて限定する形で運用

OA用パソコン
OA系ネットワーク

FW
PA系ネットワーク

プロセス
データベースプロセス
データベース

高度制御計算機

計器室用
専用端末
計器室用専用ネット

OPC

【問題点】
FWルール,PA系ネットの運用などに各事業所でばらつきが見られた

DCS制御用ネットワーク
18

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ワーキング活動

19

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

WG活動によるガイドラインの作成
黒崎・水島・四日市・鹿島のメンバーからなるWG活動
各事業所の実態を確認、問題点を整理、対策検討を行い、FWの運用ルールを中心にガイドラインを作成
主な項目
・ PA系ネット管理部門の明確化
・ あるべきネットワーク構成について・ FW通過ルールの整理
・ 運用に関わる注意点
・ 変更管理、FW登録の定期的な見直し
・ ユーザへの教育

20

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ガイドラインの例 抜粋
OA用PC

専用端末

OA用ネット以外との接点を持たないこと
FWの通信ルールを追加・変更する場合は、プロセス制御Gの了承を得ること
FWを通過させるポート、機器は極力抑えること
FWに登録されている機器について、年に２回棚卸しを行うこと

FW

PDB

OPC

OA系ネット規約に基づくセキュリティ対策がされていること
PCを自宅などでインターネットに接続しないこと
PA系ネットにアクセスするPCは、ラベリングを行い、ユーザに注意喚起する（実施中）

専用端末

新たな機器・ネットワークを接続する場合、プロセス制御の了承を得ること
OA系ネットにデータを提供する必要がないものは、セグメントを分けること
接続する端末は、OA系ネット規約に基づくセキュリティ対策を、可能な限り行う
PAネット外よりファイルを持ち込む場合（含む、PC）には、ウィルスチェックをすること
インターネットへのアクセス、メール等の利用は禁止
ハブや電源タップに、PA系ネットのものである旨、ラベリングする（実施中）
緊急のセキュリティパッチは、２週間以内に適用など
機器管理用に図面（システム構成、ネットワーク系統、電源）の整理
システム停止時の影響範囲の整理
起動・停止手順書の整理など改めて実施中
21

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

（取り組み事例：四日市）

中継サーバによるデータ収集の代行（従来）
ＯＡパソコンからPDBのデータを利用する為にＦＷに登録し、PDBに直接アクセスしていた

OA端末

FW

Aプラント用PDB（対策）
ＰＤＢへのアクセスは、中継サーバに代行させることでＦＷ登録の絞込みを実施

中継サーバ

OA端末

400台のユーザＰＣを登録

FW

Bプラント用PDB

Aプラント用PDB100台まで削減⇒最終的には50台程度まで

Bプラント用PDB

DCSへ
22

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

まとめ

23

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

実行にあたって感じたこと

・ 専門家ではないため、情報システム部門の協力が必要
最初は、守るべきものの認識合わせが大変だった
・ OA系ネットのセキュリティ維持が一番大切
結局のところ、ユーザモラルが一番のポイントになる・ 地道な運用、対策が肝心
セキュリティパッチを当てる為に、高度制御を停止してもらうこともあり、現場の協力・理解を得る事が大切
ウィルス対策以外にも、誤作業防止対策など（ラベリングなど）実施
・ 変更管理運用維持には、変更管理は大切関係部署を含めた運用ルールの作成を行うこと

24

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

要望
ユーザや経営層に重要性を認知させたい⇒ トラブル事例、件数推移など、情報を公開して欲しい団体が多くあり（？）、勉強不足も手伝い、良く分からない・・・
理想は、利便性を損なわない、セキュリティ強化を⇒ 保全担当者の作業負荷・プレッシャーは、相当大きい
極力止めないシステムへの対応⇒ 影響範囲を分かり易く公開して欲しいパッケージベンダーへのお願い⇒ パッチ適用可否について、速やかな情報公開
可用性が求められるシステム⇒ 産業用ネットワーク機器の導入検討も必要？

25

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ご静聴ありがとうございました

26

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

各ネットワーク規模について種類

目的

主ユーザ

OA系ネット

メール、サーバ共有など

社員全般

PDB間の通信
APC用の通信プロ制関係者
メーカ関係者

５０台

データ収集
ネット

DCSデータ収集

プロ制関係者
メーカ関係者

２〜５台

計器室端末
ネット

高度制御やPDB
専用端末用

オペレータ

DCSエンジ用ネット

メンテナンス

計装関係者
オペレータ
メーカ関係者

DCSバス

制御関係

PA系ネット台数

備考

膨大

情報システム中心にセキュリティ対策

プロセス制御で運用方針決定

２〜５台

計装関係者
メーカ関係者

27

20台

メーカによる設計

数十台

専用通信
専用ハード

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ネットワーク

ＩＴ系

情報システム部門

制御，ＭＥＳ

プロセス制御部門

ＯＰＣ〜ＤＣＳ〜フィールド

計装部門

それぞれ担当分野が違う求められるセキュリティ―3要素（機密性、完全性、可用性）のプライオリティーがITと異なる。

28

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

想定されるウィルス感染経路
ファイルサーバ

インターネット

セキュリティ対策をしていないＰＣ

OA系ネット

対策必要（運用規約）
利用禁止

ルータ

直接攻撃
ネットワーク感染型
ウィルス侵入の可能性（運用規約）
ダウンロードWEB,メール
利用禁止

ファイルのやり取り
ファイル感染型
ウィルス侵入の可能性

ファイルのやり取り
ファイル感染型
ウィルス侵入の可能性

PA系ネットPDB（Windows)

端末

外部媒体
OPC

（運用規約）
感染経路を増やす
接続は禁止

作業用PC
（運用規約）
一時接続 ウィルスチェック（運用規約）
ウィルスチェック
セキュリティ対策なしの計算機
ウィルス感染したPCやサーバ

制御系ネット29

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

対策の基本方針

制約条件

制約条件

PDBやDCSは再起動が困難なため、パッチを適用しにくいパッチを適用する場合、その一つ一つに対してアプリケーションに影響がないことの確認が必要

リスク分析

OA系ネットとPA系ネットの通信を適切に制御する為に、ファイアウォールを採用し、セキュリティレベルを維持

ウィルス感染を防止できれば、システム停止などのリスクを大幅に減らすことができる

制約条件

制約条件

OA系ネットワークからの完全分離は困難

アンチウィルスソフトは、リアルタイム処理のアプリケーションに影響を与える可能性がある考えられる対策は、多数ありコスト的にも青天井
ある程度コスト・運用体制を考えた割り切りも必要
30

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

ＷGで議論した内容
守るべき対象の明確化
PA系ネットに設置するもの、OA系に設置するもの の考え方
PA系システムの持つリスクの洗い出し
悪意による障害（ウィルス、乗っ取り、破壊など）
人的ミスによる障害（誤操作、誤接続など）
災害による障害（火災、停電、ハード障害など）
悪意による障害外部ネットからのウィルス対策
FW設定ルールの整理
アンチウィルス対策の強化
今回のメインテーマ
緊急時の拡大防止策
管理MH・コストの軽減策
ウィルス以外は、検討対象外とする
人的ミスによる障害対策
最初にリスクを洗い出し
ハード、ソフトの面からの、問題点と対策FWの設定でカバーできず緊急時の拡大防止策
リスクとして残ったものを明確にする
災害による障害31

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

OPC技術の活用状況
・ここ１０年の間で急速に普及しつつある（とくにOPC-DA）・OPC-A&Eも数は少ないものの使用しているシステムもある・DCSシステムの更新にあわせさらに利用が進むと考えられる
OPC-DA

120

その他

100

100

8080
(システム数)(システム数)

12060

その他

60

40

4020200

OPC-A&E

0
2000年

2005年

2009年

2000年

(年度)

2005年

2009年

(年度)

OPC-DA利用システム数推移

OPC-A&E利用システム数推移

着実に増えているが一部機能の活用にとどまっている
32

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

以前のPDB〜DCS周りのシステム構成
OA系ネット

高度制御
専用端末

高度制御

PDB

- プロコンや高度制御計算機などは、UNIX,VAXなどが採用されていた。
- DCSオペコンやゲートウェイなどは、専用ハード・OSで構成されていた計器室端末ネット
データ収集ネット
RS232C/GPIB
TCP/IP

ゲートウェイゲートウェイ

オペコン

ＤＣＳバス

制御ステーション

OS：MS Windows

33

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12

最近のPDB〜DCS周りのシステム構成
プロコン〜ＤＣＳ周りにもWindows系ＰＣが積極的に採用されるようになってきた
ビジネスネット

FW
ＰＡネット

高度制御
専用端末

高度制御

ＰＤＢ

ＰＤＢ
データ収集ネット

計器室端末ネット

ＤＣＳエンジ用ネット

OPC
サーバ

運転支援
サーバ

オペコン

運転支援
クライアント
ＤＣＳバス

制御ステーション

OS：MS Windows

34

Copyright © 2010 Mitsubishi Chemical Co. All Rights Reserved

2009/12/12