Network Security Forum 202４

被害者にも加害者にもならないための工場セキュリティ
JNSA西日本支部
工場セキュリティWGリーダー
岡本 登（富士通株式会社）

2024年2月2日

自己紹介とワーキンググループの概要●岡本 登
JNSA西日本支部で活動（所属：富士通株式会社）
2000年頃からセキュリティソリューションに従事。2018年から工場セキュリティ対策を研究
現在、お客様のセキュリティアドバイザーとして活動中●今すぐ実践できる工場セキュリティ対策のポイント検討ワーキンググループ
活動期間：2020年10月～現在
メンバー：西日本を中心に約20名
目的 ：現場実態を考慮したセキュリティ対策の考え方や新たなサイバー対応BCP策定に必要な観点などを整理し、中堅・中小製造現場のセキュリティ向上を支援する
成果物：リスクアセスメント、対策、BCPの関するハンドブック
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

本日のお話

１．中小製造業のセキュリティ事情

２．セキュリティ対策の重要性
３．ハンドブックを活用した対策の紹介

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1.中小製造業のセキュリティ事情

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

中小企業の実態①
直近過去３期の情報セキュリティ対策投資額

情報セキュリティ対策投資を行わなかった理由

n=3,802n=1,259

ここが課題

・製造現場にはセキュリティの専門家がいるわけではない
・迫っている脅威、リスクの大きさに気づいていない
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

IPA 「2021年度中小企業における情報セキュリティ対策に関する実態調査」より抜粋
有効回答数4,074（製造業11.8%）

中小企業の実態②
情報セキュリティ対策の必要性を感じない理由
n=1,259

IPA 「2021年度中小企業における情報セキュリティ対策に関する実態調査」より抜粋
有効回答数4,074（製造業11.8%）

情報セキュリティリスクは機密性（情報漏洩）だけではない
特に製造業は可用性（生産を止めない）が重要。止まっても大丈夫な工場はない！
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

多くの中小工場が抱える課題

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

具体的な事例①●マルウェアを飼っている工場
2008年に「コンフィッカー」というワームが爆発的に蔓延。しかし、工場内では目立った被害が出ないために、いまだに感染した機器が稼働している工場がある。
→ 工場では機器の稼働年数が情報系と比べて長い
工場内にもWindowsOSで動作している機器が多数あるが、その認識はない
工場内にはマルウェアを検知する手段がない●LANカード2枚刺しパソコンでネットワーク分離
生産情報の連携などのために、OTとOAをネットワークでつなぐ必要が出てきたが、ネットワークスイッチ（HUB/L2スイッチ）やNIC2枚刺しPCでつなぐケースが多く見られる。
→ 中小製造業のネットワーク構築は、地場の電気工事事業者などが手掛けることが多い。
セキュリティ知識やノウハウのある人材が社内にはいない。
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

具体的な事例②●セキュリティのイメージ
リスクアセスメントハンドブックの作成中に現場のご意見を伺いたく、実際の工場を訪問した際、「セキュリティ」と聞いて思い浮かぶことをお訊ねしたら、「セコムさんとかですかね」という回答だった。
→ 敢えて「情報セキュリティ」とは言わなかったが、やはり、あまり関心がないことが伺われる。
●セキュリティ侵害を受ける可能性
同様に、実際の工場でUSBメモリーを例にアセスメントの方法を説明したところ、「USBメモリーは使っているが、これがリスクになるとは知らなかった」というお話を聞いた。
→ 加えて、工場はインターネットにつながっていないとのことだが、事務所とはつながっていて、事務所はインターネットにアクセスできる環境だった。

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2.セキュリティ対策の重要性

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

本当に危ないのは誰？

国内製造業の９８．９％を占める中小企業（資本金３億円以下）が日本のものづくりを支えている

中小製造業が止まれば経済は止まる

IPA
情報セキュリティ10大脅威 2023 より抜粋
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

サプライチェーンリスク
経済産業省
令和３年版 通商白書
第Ⅱ部第二節第Ⅱ-1-2-3図
サプライチェーンリスクの認識（2020年）

ターゲットを絞って意図的に起こせる脅威
RaaS（Ransomware as a Service）の出現で攻撃は容易に実行可能
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

被害者から加害者へ●生産停止の影響
基本的な対策を怠っているとセキュリティ侵害による生産停止の責任を問われる●DXの推進で新たな脅威
安易なネットワーク化は新たな脅威を生むことになる。
知らずに飼っていたマルウェアをまき散らす原因になるかも。
★段ボール工場の例

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

3.ハンドブックを活用した対策の紹介～目指すのは中小企業が自らの手でできること～

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1st STEP リスクアセスメント

どこに弱点（脆弱性）があるかが分からなければ、有効な対策を行うことはできません。
どの弱点からどんな脅威が侵入してくる可能性があるのか、その脅威は、工場にどのようなダメージを与えるのかをしっかり見極めることが重要です。
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

リスクアセスメントの対象

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

13の脅威の入口

全ての脅威を網羅するものではありませんが、世の中で発生している事故の原因はほとんど含まれています。
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

ハンドブック・リスクアセスメント編
このハンドブックでは、一般的なリスクアセスメントとは異なるユニークな手法で現場の皆様が簡単に実施できるように書かれています。

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

アセスメント結果の例
脅威の入口

アセスメント結果

課題

USBメモリー①

持込みパソコン

BAD

スマホ・タブレット②

IoT機器・センサー

①

複合機

①

ハンディターミナル④

古い機種の入れ替え検討が必要

OAネットワークBAD

接続の有無、方法などの詳細な調査が必要

インターネット①

WiFi（無線AP）③

管理者が明確になっていないものがある

保守用回線

BAD

ベンダー任せで詳細が不明（VPN接続方法など）

クラウドサービス①

部品・原材料①

新規購入機器③

実態が把握できていない

ベンダー任せで詳細が不明（チェック体制など）
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2nd STEP リスク対策
リスク対策にはいくつかの段階があります①弱点をなくす
セキュリティパッチを適用する、システムをアップデートする②弱点を攻められないように守る
ファイヤウォールなどを導入する③攻められたらすぐに見つけて抑える
ウイルスチェックを行う④やられたらすぐに元に戻す
バックアップを作る
対策方法には3つの種類があります
物理的対策
不法侵入や破壊、紛失、盗難などに対応
例）監視カメラ

技術的対策システムやデータ、ネットワークなどのリスクに対応例）ウイルス対策

人的（組織的）対策
従業者のミスや不正など人によるリスクに対応
例）ルール、教育

残念ながら万能な対策はない！
アセスメントの結果や環境に合わせて対策を選ぶことが重要
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

多層的防御の視点で整理

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

代表的なフレームワークも参考に

特定

防御

検知対応

復旧

リスクを特定する

攻撃を防ぐ

異常を検知する異常に対応する

被害を復旧する

13の脅威の入口の状況を把握し対策すべきリスクを特定する

被害に遭わないための対策を実施する

異常を早期に発見し被害が広がらない対応のための対策を実施
する

被害から早期復旧するための対策を実施する

すり抜けた攻撃を見逃さない
被害範囲を特定して対処
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

ハンドブック・リスク対策編（近日公開）

対策カード（全４６種類）

リスク対策集として、13の入口ごとに複数の対策カードが用意されています。
対策カードには対策段階や対策の種類以外にも必要な費用情報などが記載されています。
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

3rd STEP BCP策定
2023年12月1日に大阪で「NSF in KANSAI 2023」を開催
工場内でのセキュリティ事故を想定したワークショップを実施

どのような行動をとればいいのか、事前に決めておくことが重要であると実感
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

ハンドブック３部作
リスクアセスメント編
セキュリティリスクアセスメントを自らの手で実施できる参考書
2022.6 初版公開（https://www.jnsa.org/result/west/2022/index.html）

リ ス ク 対 策 編

近日公開予定

自社の環境に合ったセキュリティ対策が選択・実行できる参考書
2024.2 初版公開予定

サイバーBCP策定編

3 rd STEP

従来の災害対応BCPにセキュリティ観点を加えるための参考書
2024.夏 初版公開予定
Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

セキュリティ屋のひとりごと
例えば「USB管理ルールを作る」という対策→ どのような項目を定義するのかは例示しているが、これで本当にルールがつくれるのか？
結局、参考になる「ひな形」が欲しいという要望が出るのではないか？
→ 様々な業態、環境に対して「ひな形」を用意するのは無理。。。
→ ならば生成系AIを使おう！
基本プロンプトと自社の特徴や環境などを定義する条件プロンプトを提供できれば中小企業でも自分で最適なルールが作れる、、、かも。というようなことを引き続き検討していきたいと考えています。

Copyright 2024 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会