セーフティやセキュリティにおけるリスクの受容とは？
名古屋工業大学名誉教授
IPA 産業サイバーセキュリティセンター専門委員

橋本

1．プラントが危ない？

芳宏 Yoshihiro Hashimoto

が、犯行声明と共に、犯行当日に X に投稿された。

本稿では、プラントの操業現場の安全を破

2010年 に Stuxnet と い う マ ル ウ ェ ア が、綻する可能性があるサイバー攻撃のリスクをイランの核燃料施設の遠心分離機を破壊し続どのように評価し、対応するかという課題に、けたことをご存じの方は多いと思うが、イラ

この雑誌の読者である安全担当のみなさんがンは被害にあうだけでなく、彼らもサイバーどう加担すべきかを論じる。

攻撃を他国に対して実施しており、サイバーサイバー攻撃は、悪意からなるもので、従戦争真っ只中の国であるので、このイランの来の安全対策で対象としてきた誤動作、不動製鉄所が、日本の製造現場よりサイバーセ作、誤操作などとは異なり、周到に準備してキュリティの意識が低かったといえるとは思

同時に多箇所に多様な攻撃を行うことも考ええない。

られる。その一例として、2022年にイランの製鉄所で起こったサイバー攻撃を見ていただきたい。図1は、犯行グループが X（Twitter）

日本のプラントは大丈夫なのだろうか？

2．大丈夫って？に投稿した動画の一場面である。Gonjeshke
Darande Iranian Steel で検索すると、この X

はて、ここで素朴に「大丈夫？」という疑へのリンクが得られるので、ぜひ、動画を再問を呈したが、安全の専門家としては、どう生してチェックしていただきたい。

答えるのであろうか？

製造現場の監視カメラをのっとり、攻撃の安全の世界では、すでに様々な事故を経験タイミングを見計らって、製造ラインの制御しながら、事故を防止するシステマティック装置を操作している。それにより、溶鉄が撒なアプローチが開発されてきた。機器の故障き散らされて、消火放水が始まっている動画

率や人間の誤判断、誤操作の発生確率も数値的にとらえて、故障があっても、誤操作があっ図1

 ランの製鉄所へのサイバー攻撃の動画（Xイより）ても、事故に至らないように対策をとった結果の残存事故発生確率を算出して、その発生確率が、運用するうちに悪化してしまわないように運転・保全を管理することが、すでに実現されていると理解している。
安全対策においては、事故の原因は、装置の故障や作業員の誤りだけでなく、台風、地16震や津波、火山噴火などの自然災害も考慮さ

厳密にいえば、サイバー攻撃の発生確率のれ、そのプラントの立地やレイアウトまで対算出は無理という結論が最も適切であると考策設計の考慮対象になっている。表1のリスえる。

クマトリックスに示すように、深刻な被害が制御システムセキュリティの国際標準であ発生するシナリオでは、発生頻度が非常に低る IEC 62443では、Security Level を、防御くなるように、深刻ではない事故に関しては、可能な攻撃者の能力に応じて表2のように分発生確率はそれほど低くなくてもよいよう類していて、発生確率ではなく、どれくらいに、そのプラントへの安全対策を設計する。

高度な攻撃に対応できるように防御するかを

3．事故の発生確率って？

検討することを提唱している。
こ の 基 準 を も と に、 原 子 力 発 電 所 な ら、SL4が求められるけど、うちの企業であれば、安全における事故の発生確率を算定する手SL2の防御でいいのではないか、めざすとし法としては、LOPA（Layer Of Protectionても SL3だけど、まだ先でいいよねというよAnalysis）がよく知られている。安全対策は、うな議論がされることになる。しかし、安全独立で多重な防御層で構成されており、一つ第一をうたっている企業でも、それでよいのの防御層では守り切れなくても、次の防御層だろうか？

があり、それが機能すれば、深刻な被害を避プロセス安全の中心的な存在である CCPS/

けることができる。全体で、事故の発生確率

AIChE（Center of Chemical Process Safety/

を、ALARP（As Low As Reasonably Practi-

American Institute of Chemical Engineers）

cable）なレベルまで、低減する防護層の設か ら2022年4月 に 出 版 さ れ、2024年1月 に計を実施する。

翻訳本が発行された「プロセス産業のための4．サイバー攻撃の確率って？

しているので、新たな手口が発明され続ける。
セキュリティ対策自体も攻撃対象になり、その有効性を維持し続けることも容易ではな

表1←発生可能性

サイバー攻撃の場合、人間の悪意を発端とサイバーセキュリティ リスクに基づくアプ

リスクマトリックス

1
High
MediumLow

表2

ム開発者のミスというよりも、サイバー攻撃

SecurityLevelものだという認識が必要である。

SL4
SL3

例えば、冒頭で示したイランの製鉄所を襲ったようなサイバー攻撃が自社のプラントSL2を襲う確率って、どう考えたらいいのであろSL1
SL0うか。

5

Very High

リティパッチの対象である脆弱性は、システ

えセキュアに開発していても発生してしまう

重大度→
3
4

Very Low

く、新たな対策も高頻度で開発される。セキュ者の発明というべきものも少なくなく、たと

2セキュリティレベル（IEC 62443）

セキュリティ対策技術的評価
巧妙な手法、拡張リソース、産業用制御システムに特化したスキルを有し、かつ高い動機を持つ攻撃者による意図的なセキュリティ違反から保護できる。
巧妙な手法、中程度のリソース、産業用制御システムに特化したスキルを有し、かつ中程度の動機を持つ攻撃者による意図的なセキュリティ違反から保護できる。
単純な手法、限られたリソース、一般的なスキルを有し、かつ低い動機を持つ攻撃者による意図的なセキュリティ違反から保護できる。
偶発的なセキュリティ違反から保護できる。
セキュリティ保護がない。
SE 215 June 2024 17

ローチ」1）では、サイバー攻撃のリスクをプ能な発生頻度は、表4のように重大度（被害ロセス安全のリスクと同様のアプローチで評の深刻度）を基準に定める。

価する方法（以下では、CS-LOPA 法1） と呼このアプローチ自体は、安全解析の LOPAぶことにする）が提案され、その付録 B にと共通であり、この受容可能とする数値が、おいて、具体的なプロセス例で解説されて国際標準や国の規制で決まっているわけではいる。

ないのも、安全と共通である。

そこでは、サイバー攻撃者の能力に応じて、ALARP では、受容できないレベルを満た攻撃の発生確率が異なるとして、表3に示さしたうえで、Reasonably Practicable をめざれる整理が示されている。すでに筆者が無理すとしている。安全では、過去の多くの事故とコメントしたサイバー攻撃の発生確率に数の経験から、消防法や環境規制などで、さま字を設定しているのである。

ざまな数値規制が与えられていて、その数値

5．受容可能な発生確率って？

を満たさないことが受容できないレベルと想定できる。
しかし、世界的にみても、サイバー攻撃で非常に深刻な人身被害、環境汚染が発生した

サイバー攻撃により発生する事故の受容可
表3

例はまだなく、テロ等の手段にされてはなら発生可能レベル（CS-LOPA 法 1））

サイバー攻撃発生可能性

表4

2

3

4518

非常に高い（内部の非意図的、非標的）
年間10回以上

H

高い（攻撃スキルを持たない標的型）
年間1回程度M

中程度（攻撃スキルを持った標的型）
年間10-1回程度

L

低い（国家的）年間10-2回程度

VL

非常に低い（通常、対策後のみ）
年間10-3回程度

被害重大度と受容可能発生頻度（CS-LOPA 法 1））

重大度
レベル
1

VH

重大性の側面
許容可能な事故発生頻度
ビジネス
環境
安全
軽微な影響を生じる 環境に軽微な影響を 安全に軽微な影響を
1.00×10-2/y
侵害（5万ドル未満）生じる侵害
生じる侵害アクセスが妨害さ アクセスが妨害さ アクセスが妨害され、ビジネスに軽微 れ、制御を監視でき れ、制御の停止で設
1.00×10-3/yな悪影響が生じる（5 ず、環境に軽微な悪 備に軽微な悪影響が万〜100万ドル）。 影響が生じる。
生じる。
情報漏洩が発生し、制御が不調になり、制御の誤動作で、記ビジネスに中程度の一時的に放出、およ 録すべき傷害が生じ 1.00×10-4/y
悪影響が生じる（100び数週間での浄化 る。
万〜2500万ドル）。
ビジネスに大きな悪 一 時 的 な 環 境 破 壊
単独のオンサイト死影響が生じる（2500 と、数か月から数年1.00×10-5/y
亡事故万〜1億ドル）。
間での浄化
ビジネスに重大な悪
重大な環境破壊、10 複数のオンサイト死影 響 が 生 じ る（1億1.00×10-6/y
年以上での浄化亡事故ドル以上）。

ないという意識で、法的にもサイバーセキュ6．対策の効果の計算リティが取り入れられるようになってきているが、具体的な数値規制はない。
2）

高圧ガス保安法の改定

サイバー攻撃に対する事故防護の対策としにおいても、サイては、ファイアーウォールやホワイトリストバーセキュリティが必須になり、継続的な取などの情報セキュリティの対策以外にも、入り組みが必要とされているが、ここまでやっ退室の警備などの物理的セキュリティ対策ていれば、事故が起こっても私の落ち度ではや、安全弁やリレーによる緊急遮断装置のよないとする基準を設定することは難しい。

うな情報システムを利用しない安全対策も有

ALARP では、その実現可能の観点には、技術的な問題だけでなく、経済的な側面も含効である。これらの対策の効果を、CS-LOPA法1）では、表5のように整理している。

んでいるため、Reasonably Practicable は意

表6に CS-LOPA 法1）で作成されるリスクア思決定者であるその企業のものであり、たとナリシスのスプレッドシートの一部を示す。

え、他の機関が LOPA の結果を認証したとしこの表では、3つのシナリオに対する残存リても、認証したのは、その数値ではなく手続スクを算出している。残存リスクが1を超えきの適切さである。

るシナリオに対してはさらなる対策を検討す

また、事故が発生したときに、事故原因のることになる。なお、紙面の制約のため、表発生確率（例えば地震の発生確率）が適切で6ではスプレッドシートを三分割して掲載しあったかを論じても、その検証は難しい。たていることに注意していただきたい。

とえ、1000年に1回の確率だからといって、この表での整理の有用性は、どのような対今日発生しないと言っているわけではない。

策がどのような効果を目指して設置され、管想定する原因によって、低減するのに必要な理されているかが、明記されていることであ対策の厳重さが異なることを調整するパラり、数値の正確さではない。

メータでしかないと考えられる。

そして、被害が発生するシナリオは数多くその意味では、表3に示すサイバー攻撃の発考えられるが、重大なものから検討すること生確率も、攻撃により要求される対策の差異

が CS-LOPA 法1）では提唱されている。起こっを表現していることになる。高度なサイバー攻撃者は、襲ってくる確率が下がるので、発生する事故が同じ重大度であれば、必要となる対策による低減は少なくて済むことになる。
しかし、高度な攻撃者であるほど、その攻撃シナリオにおいて想定する被害の重大度は大きくなるはずなので、結果として、より厳重な防護をすることになると考えられるが、要求される対策による低減は、表3と表4から求められる攻撃発生確率と受容可能な事故発生確率の相対値により定まる。

表5

対策の効果評価の例（CS-LOPA 法 1））

対策発生可能性レベルの低減各々が個別のアクセス・アカウントを持つ。必1段階低減
要な担当者のみにアクセス権を制限する。アク（10の－1乗）
セス権は毎年レビューされる。
基本制御システム用エンジニアリング・ワーク
ステーションは、必要な担当者のみがアクセス 1段階低減できるように、鍵のかかったキャビネットに保 （10の－1乗）管されている。
DMZ（DeMilitarized Zone）が業務ネットワークと制御システムネットワークの間に設置され、 1段階低減
DMZ と制御ネットワーク間には、ファイアー （10の－1乗）ウォールが設定されている。
基 本 制 御 シ ス テ ム 用 PLC（Programable LogicController）のアプリケーション・プログラムに 0.5段階低減
未承認の変更がなされていないか、毎年レビュー （10の－0.5乗）する。
反応器に圧力安全弁が設置されており、圧力制2段階低減
御に障害が発生した場合を想定したサイズに（10の－2乗）なっている。
SE 215 June 2024 19

表6Cyber Securty-PHA/LOPA で作成した解析表例

脅威ベクトル

攻撃者 発生
受容可能 リスク 攻撃発
望ましくない結果
カテゴリ 重大性
スキル 可能性
発生確率 レベル 生確率
基本制御用エンジニアリグ・ワークステーショ
スキルをもった攻撃者によンの侵害により、制御用 PLC のプラグムが改ソーシャル・るフィッシング活動により制3 M ざんされ、圧力制御が破綻する。劇毒物の環 安全
5
10 -6/y
4 0.1/yエンジニア
御システムの認証情報が搾境への放出、さらに装置破裂によるオンサイリング取された。
トでの複数の死者が発生する可能性がある。
協力会社が意図せずにランランサムウェアにより制御システムが利用できサムウェアに感染した機器なくり、操業を停止して制御システムの入れ替
物理的
0 VH
ビジネス
2
10 -3/y
3 10/yを基本制御のエンジニアリえなど対応完了までのコストと操業できなアクセス
ング・ワークステーションにかった損失が発生する。
接続した。
システム・アップグレードの基本制御用エンジニアリング・ワークステーショ
際に基本制御用エンジニア
ンの侵害により、制御用 PLC のプログラムがリング・ワークステーション
ソフトウェア2 H 改ざんされ、圧力制御破綻する。劇毒物の環 安全
5
10 -6/y41/y
で WEB サーバが稼働し、ス境への放出、さらに装置破裂によるオンサイト
キルのない攻撃者に対してでの複数の死者が発生する可能性がある。
もシステムが脆弱になる。
シナリオ

標的人員
乗数 被害人員対策1の魅力所在率
影響が大きい3

影響が大きい3

影響が大きい

3

現場パト
ロール

現場パト
ロール

0.1

0.1

効果 対策2効果

PLC のプログラムが未承認に変更さ
安全弁のサイズが圧力制御不調が0.01れていないか毎年レビューされる
想定されたサイズになっている

0.3

基本制御用エンジニアリング・
各人が個別のアクセスカウントをワークステーションを必要な担当もち、必要な担当者にのみアクセ0.1
者のみがアクセスできる鍵のかス権があたえられていて、アクセかったキャビネットに保管するス権は毎年レビューされる

0.1

基 本 制 御 用 エ ン ジ ニ ア リ ン グ・
安全弁のサイズが圧力制御不調がワークステーションを必要な担当
0.010.1
想定されたサイズになっている
者のみがアクセスできる鍵のかったキャビネットに保管する対策3

効果 対策4

効果

対策後残存発生確率 リスク

情報システムと制御システム間の DMZ
各人が個別のアクセスカウントをが制御システムに接続する場所にファもち、必要な担当者にのみアクセ
イ 制御システムに接続する場所ファイ 0.1
0.1 9×10-7/y
ス権があたえられていて、アクセ制御システムに接続する場所ファイス権は毎年レビューされる
アーウォールが設定されている

0.9

3×10 -1/y

300

3×10-5/y30

各人が個別のアクセスカウントをもち、必要な担当者にのみアクセス権があたえられていて、アクセス権は毎年レビュー される

0.1ては困る重大なことは、安全解析と共通であり、この洗い出しが安全解析でも重要である。

7．安全担当者のサイバーセ
キュリティへの寄与とはこの安全担当者の知見が CS-LOPA 法1） でも重要で情報システム担当者のみでは困難である。

事業所認定審査に、サイバーセキュリティ審査機関が新たに加わることになった2）。サ
イバーセキュリティの審査は従来の審査機関では難しいという経済産業省の判断からの審査体制変更であると考えられるが、受審側もサイバーセキュリティは従来の担当では難し

20

いので情報システムに任せるという体制にならないことを切に願う。情報セキュリティは、高速のイタチごっこになりかねない特性をもち、情報システム担当でもついていくことは

参考文献 1） 浜口訳：プロセス産業のためのサイバーセキュリティ リ
スクに基づくアプローチ，丸善出版，2024．
2） 経済産業省：高圧ガス保安法における新たな認定制度の運用について，2024．https://www.fdma.go.jp/relocation/neuter/topics/fieldList4_16/pdf/r05/01/shiryou4-4.pdf（参照日：2024年5月23日）．

容易ではない。
だからこそ、安全はイタチごっこに委ねるべきでなく、地に足がついたものでなければならない。情報セキュリティの対策が破綻したとしても、安全は確保できるという体制が必要である。
CS-LOPA 法1） の表6の例で示したように、安全弁やリレーによる緊急遮断システムなどの情報システムではない安全対策の寄与も考慮することが必要である。コントローラを利用せずに安全に停止できるか、緊急停止後の安全確保の二次処理を、DCS 等の情報なしに実施しうるかという検討こそが、まず、現場が実施すべきサイバーセキュリティ対策である。そして、情報セキュリティ対策が異常を検知したときに、通信を遮断し、被害が疑われるサーバーや、コントローラを切り離すのは情報システム担当かもしれないが、操業を継続できるか、安全に停止できるかを即座に判断するのは従来からの安全の担当者であろう。
操業現場で理解すべきことは、サイバーセキュリティの情報技術ではなく、それらが破綻する危険性とそれらが発信する情報を、操業継続や安全確保にどのように活用できるかである。
冒頭のイランの製鉄所の例でみるように、サイバー攻撃の危険性が高くなっているのが現状である。安全に関わるみなさんには、サイバーセキュリティを他人事にせず、情報システム担当と協力して進めていただきたい。
そ の 際 に、CCPS/AIChE に よ り 提 唱 さ れ た
CS-LOPA 法1） が両者のよいインターフェイスになり、プロセス安全に関わるステークホルダーすべてに対する対策の見える化にも貢献できるようになることを祈る。

はしもとよしひろ 

1985年京都大学大学院工学研究科 化学工学専攻博士課程単位取得退学（工学博士）。2023年名古屋工業大学定年退官（名誉教授）。2017年から IPA 産業サイバーセキュリティセンターで中核人材育成プログラムを担当、現在も、制御システムセキュリティの研究に従事。

SE 215 June 2024 21