運輸政策研究機構

2016.5 No.

３東京オリンピック・パラリンピックに向けた交通機関へのサイバーテロ対策に関する調査研究報告書
１．研究の目的である可能性が高いと判断でき、交通機関のクロー2020 年東京オリンピック・パラリンピック競技大ズドネットワークに対する攻撃の可能性もあること会の開催が決定したが、過去のオリンピックでは幾がわかった。交通分野においてもサイバー攻撃やサ度となくテロの標的になっており、特に近年急増しイバーテロの脅威を正しく捉え、適確な対策を講じているサイバー攻撃は大きな脅威となっている。一ていく必要があるほか、攻撃事例は少ないものの、方、期間中に多くの人の移動を担う鉄道、航空など被害に気付いていない可能性も考えられ、既に侵入の交通分野では、一般的に独自回線やクローズドシされていることを想定したセキュリティ対策や、内ステムを運用しており、現在までサイバー攻撃の大部犯行への対応も必要であることがわかった。

きな被害の発生はないが、今後は GPS や電波を利用(2) 外国調査した運行制御、IC カードの料金収受の運用が拡大し欧州では主に鉄道分野、米国では航空分野を中心ている交通機関に対するサイバーテロの脅威も十分とした交通関係の諸機関、組織、民間企業を対象とに考えられ、仮に発生すると被害が甚大になる恐れしてヒアリング調査と実態調査を実施した。

がある。

欧州と米国の両調査とも、クローズドならばシス

これまで交通機関に特化したサイバーテロ、サイテムやネットワークは安全ということは無く、シスバー攻撃に関する研究は非常に少ない。本研究では、テムである以上は何らかの脆弱性を抱えているとい専門家、関係省庁、事業者を委員とする検討委員会

う前提で対策が行われていることを改めて確認した。

を設置し、サイバー攻撃に関する国内外の事例の収また、従業員のバックグラウンドチェックなどを徹集・分析、交通事業者のサイバーセキュリティに対底し、内部犯行への対応や多層防御を実施しているする取組みの実態調査などを実施し、我が国の交通との知見も得られた。さらに、欧米のサイバーセキ分野におけるシステムの脆弱性を明らかにすること

ュリティ体制については、欧州では国の機関に権限を目的とした。と責任がしっかりと委譲されていることなど、米国
で は 情 報 共 有 の フ レ ー ム ワ ー ク で あ る ISAC

２．研究の内容と結果（Information Sharing and Analysis Center）の枠

本研究は、「重要インフラの情報セキュリティ対組みの実態やその設立背景などについて把握するこ策に係る第３次行動計画」に示された重要インフラとができた。

13 分野に指定されている「鉄道」「航空」を対象に、(3)

以下の内容を実施した。

調査(1) 事例調査と分析

交通分野におけるセキュリティに対する意識

交通分野における事業者の情報セキュリティ、サ近年の国内外におけるサイバー攻撃の事例とそのイバーセキュリティへの取り組み状況について現状被害について、「一般事例」「交通機関関連事例」を把握するため、アンケート調査等を実施した。

「ビッグイベント事例」について収集及び整理し、その結果、交通分野のサイバーセキュリティに対サイバー攻撃の傾向や今後の動向を分析した。

する組織体制について、人数ならびにスキル面で不その結果、交通機関はサイバー攻撃の標的の一つ足を感じていること、個別システムのセキュリティ- 1 -対策を検討・実施する所管部門とサイバー攻撃に関寄稿いただいた。

する情報収集の担当部門が異なる傾向が見られるこ

３．おわりにと、セキュリティパッチの適用や脆弱性検査の実施が進んでいない状況などが明らかになった。また、

平成 28 年に入ってサイバー空間に関する情勢は被害を想像しにくい攻撃や脅威については事業者のより深刻になっており、2020 年の東京オリンピッ意識が低くなる傾向が確認された。これは、「クロク・パラリンピックに向けて、わが国に対するサイーズドシステムはインターネットからの脅威とは隔バー攻撃の脅威は一層深刻化すると考えられる。

離されており、安全である」という間違った認識の本研究は 2 か年計画で進めており、初年度は、サ結果、交通分野のサイバーセキュリティに対する意

イバー攻撃やサイバーテロに対する脅威について、識が必ずしも高くないことにもつながると考えられ幾つかの角度から事例や実態を用いて正しく把握する。

ることができた。2 年目は、国や事業者がその脅威(4) システムの脆弱性評価・検証とどのように向き合い、どのように対策を施してい事業者にご協力いただき、実際のシステムに対しくべきかについて、引き続き研究を進めていく予定てペネトレーションテストを実施した。

である。

ペネトレーションテストは、対象となるシステム

この成果が関係者の皆様のサイバーセキュリティに対して模擬的に攻撃を行うテストであり、対象シに対する意識の発展への一助となり、それぞれの組ステム上に存在する脆弱性を検出し、ネットワーク織において対策の導入や見直しに向けた第一歩を踏やシステムへの侵入やシステムの停止などに繋がるみ出すきっかけになれば幸甚である。

可能性があるかを検証するものである。対象システ
ムは、運輸事業者の運行系システム群で、前提としてクローズドネットワークに対して内部からアクセ

報告書名：スできる環境（建物や居室への侵入、内部犯行、マ東京オリンピック・パラリンピックに向けた交通機ルウェア感染等）にあるという条件で実施した。

関へのサイバーテロ対策に関する調査研究報告書

その結果、致命的な問題はなかったものの、保守（資料番号 270119）

用ネットワークという限られた利用者あるいは利用

本文：Ａ４版 276 頁

環境において、運用や設定に不備があったため意図的に侵入が可能であることが確認できた。

報告書目次：

昨今の IT システムにおけるセキュリティ対策は序文

システム上の対策に重きが置かれており、今回のよ1. 事例調査と分析

うな運用・設定の不備を突いた攻撃が行われた場合

1.1. 概要の防御と検知は難しいと考えられる。しかし、今後

1.2. サイバー攻撃事例からの傾向分析結果

はネットワーク、各製品の様々な Web アプリケーシ

1.3. 交通機関関連事例

ョン、開発体制、運用体制、各種ポリシーの策定、

1.4. ビッグイベント関連事例

開発委託業者の管理など、あらゆる点において適切

1.5. 事案分析

な情報管理、脆弱性の管理、対策が必要となること

2. 外国調査がわかった。

2.1. 概要(5) 関連する調査等の整理

2.2. 欧州調査

鉄道に関しては韓国の鉄道関連事業者を狙った一2.3. 米国調査

連のサイバー攻撃事例の調査結果、航空に関しては

3. 交通分野におけるセキュリティに対する意識調

情 報 セ キ ュ リ テ ィ 大 学 院 大 学 内 の Aviation

査security 研究会の調査研究を整理した。

3.1. 概要(6) 脅威シナリオと求められるセキュリティ対策

3.2. 事業者意識調査サイバー攻撃の類型化と、サイバー攻撃に係る交3.3. 利用者意識調査

通網システムが有する特徴を整理し、交通網へのサ

3.4. 事業者意識調査

イバー攻撃のシナリオを想定するとともに、想定シ調査

ナリオに基づいたセキュリティ対策について、本研

ヒアリングによる追加

4. システムの脆弱性評価・検証

究の検討委員会にご参画いただいた名和委員よりご4.1. ペネトレーションテストについて- 2 -4.2. ペネトレーションテスト概要
4.3. ペネトレーションテスト結果
4.4. まとめ
5. 関連する調査等について
5.1. 韓国の鉄道関連事業者を狙った一連のサイバー攻撃に関する調査
5.2. Aviation security 研究会の調査研究
6. 脅威シナリオと求められるセキュリティ対策
6.1. 脅威シナリオの前提
6.2. 外交を含む安全保障におけるサイバー攻撃
6.3. 内政的な危機管理におけるサイバー攻撃
6.4. 交通網に対するサイバー攻撃の機運
6.5. サイバー攻撃を許す箇所を内在化させやすい交通網
6.6. 交通網へのサイバー攻撃の想定シナリオ
6.7. 交通網に求められるセキュリティ対策
おわりに参考資料
参考 1. 交通分野におけるセキュリティに対する意識調査
参考 2．英国ネットワークレール社のサイバーセ
キュリティ戦略（翻訳・原文）【担当者名：西村潤也】【本調査は、日本財団の助成金を受けて実施したものである。
】- 3 -