Japan Computer Emergency
Response Team Coordination
Center制御システムセキュリティカンファレンス 2018

生産工場制御システム向けサイバー攻撃対策の取組み～JPCERTアセスメントによる推進事例～
2018年2月7日
大陽日酸株式会社 経営企画室 情報システム部
中辻 利一

電子署名者 : Japan Computer Emergency Response TeamCoordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan
Computer Emergency Response Team Coordination Center, cn=Japan
Computer Emergency Response Team Coordination Center
日付 : 2018.03.12 10:54:02 +09'00'

会社概要
社名

大陽日酸株式会社

設立年月日

1910年10月30日

本社所在地

東京都品川区

従業員数

15,860名（連結）グループ会社数

191社

2017年度売上高

5,815億円

サーモス他事業

本日のお話

その他ガス関連事業セパレートガス事業（酸素、窒素、アルゴン）

炭酸ガス

ヘリウム（液化ヘリウムコンテナ）

5,815億円
水素（移動式水素ｽﾃｰｼｮﾝ）

セパレートガス製造

アセチレン

・・・・

半導体材料ガス

貯蔵・供給体制

LPガス-2-Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reservedセパレートガス製造プラント “空気分離装置”
・空気成分ガスである酸素・窒素・アルゴンを、沸点差を利用した蒸留方式にて分離する。
・このプラントに生産制御システム（DCS/FCS）が使用されている。
中央操作室風景※沸点

本日のお話

水分および炭酸ガスを除去
前処理後の空気を液化>-180℃

沸点差を利用して蒸留

窒素-195.8℃

アルゴン-185.8℃

酸素-183.0℃→窒素ガス>99.99 vol%→酸素ガス

>99.5 vol%→アルゴンガス>99.9 vol%→液体酸素

>99.5 vol%→液体窒素

>99.99 vol%原料空気を取り込み-3-Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reservedセパレートガス事業について・鉄鋼や化学、半導体をはじめ、10,000箇所（届け先ベース、日本）を超える幅広い産業、数多くのお客様にご利用いただいている。
・この中には、化学工場・石油コンビナート向けの防爆用窒素、医療用酸素といった安定供給が決して欠かせない用途が含まれる。

安定供給が決して欠かせない用途例⇒ 重 要 イ ンフラ 事 業と 認 識

防爆用窒素

本日のお話

合成空気供給システム

医療用酸素ボンベ-4-Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reservedセパレートガス生産拠点
20人未満の小規模工場が多く、下図以外にも、特定のお客様への供給に特化した生産拠点（ガスセンター）を加え、その総数は国内で４５拠点になる。

本日のお話の対象-5-Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reservedサイバー攻撃被害と新聞報道
・2016年3月、当社データセンタでサイバー攻撃を受けた。
・2017年1月、関連する一部新聞報道があったが、その主旨は「化学プラントを保有するインフラ企業」へのサイバー攻撃、生産設備に攻撃が及ぶことの懸念を連想させる 内容だった。
・そこで、生産制御システムのセキュリティ対策を改めて確認するため、JPCERT/CC「制御システムアセスメントサービス」を実施した。

-6-

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

【参考】JPCERT/CC「制御システムセキュリティアセスメントサービス」※JPCERT/CC ホームページより抜粋-7-

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reservedアセスメント結果※投影のみとさせていただきます。

-8-

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

本対策取組みの目標と進め方
同アセスメントの結果を踏まえ、当社が設定した生産制御システムサイバー攻撃対策の目標と進め方は以下とした。
１．「化学プラントを保有するインフラ企業」といった当社の社会的責任に鑑み、同アセスメントに対して合格点（６０点）が得られ、その対策を対外的に説明できるレベルに引き上げる。
２．そのためには、技術的対策のみならず、生産制御システムのサイバー攻撃による生産設備の停止、破壊を重要リスクと認識し、ポリシー、対策推進体制、現場のＰＤＣＡサイクルの確立を目指す。

-9-

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

対策取組みの本日ご紹介内容
主に以下５項目についてご紹介する。
１．リスクと脅威の理解
２．管理体制の構築
３．ファイアウォール管理体制の見直し
４．サイバー攻撃起点になりやすい端末の対処

５．ガイドライン策定と想定成果物- 10 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

１．リスクと脅威の理解
JPCERT/CCアセスメントツールの以下設問に対する取組み。
１．制御システムに起こりうる脅威を特定していますか？
「はい」を選択した場合、それは過去12 ケ月以内に見直していますか？
２．１．で特定した脅威のシナリオを考慮して、脅威評価（発生場所×発生頻度×システムへの影響）を行っていますか？
「はい」を選択した場合、それは過去12 ケ月以内に見直していますか？

３．過去12 ケ月以内に、制御システムの脆弱性評価/状態チェック（ソフトウエア、ハードウエアの現存する脆弱性の確認、システム全体（最も弱い部分）の保護水準の確認）を実施していますか？

- 11 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

１．リスクと脅威の理解※投影のみとさせていただきます。

- 12 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

１．リスクと脅威の理解
前項で本取組みの対象を限定したうえで、その脅威、脆弱性、リスクを以下に特定した。

- 13 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

【参考】想定リスク例※投影のみとさせていただきます。

- 14 -Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

２．管理体制の構築
JPCERT/CCアセスメントツールの以下設問に対する取組み。
１．制御システムのセキュリティに対して、責任をもつ専門のチームまたは個人はいますか？
２．経営者は制御システムのセキュリティ担当者の責務を文書化していますか？

- 15 -Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

２．管理体制の構築※投影のみとさせていただきます。

- 16 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

【参考】情報管理委員会/技術的安全対策分科会※投影のみとさせていただきます。

- 17 -Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

【参考】制御システムのセキュリティ担当者の責務例※投影のみとさせていただきます。

- 18 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

３．ファイアウォール管理体制の見直し
JPCERT/CCアセスメントツールの以下設問に対する取組み。
１．制御システムをファイアウォールで他のネットワークから保護していますか？
２．過去12 ケ月以内にファイアウォールの設定を監査していますか？
３．現行のファイアウォール機種で、ベンダか専門家のトレーニング、または、それに相当する適切なトレーニング等を実施しましたか？

４．ファイアウォールは24 時間・365 日、監視・管理されていますか？
（ログの記録やエラー発生時の確認など）- 19 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

３．ファイアウォール管理体制の見直し
・20人未満の小規模工場が多数、セキュリティの専門スタッフが確保できない状況。
・ファイアウォールを工場毎の個別管理から情報システム部門の集中管理に移行することにした。
①日常的な設定変更対応、②ログの一元的収集管理、③セキュリティインシデント対応- 20 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

４．サイバー攻撃起点になりやすい端末の対処
JPCERT/CCアセスメントツールの以下設問に対する取組み。
１．PCや外部メモリ等を制御システムネットワークに接続する前に、それらがウイルスに感染していないことの確認を実施していますか？
２．制御システムネットワークでIP通信を行う制御機器を使用している場合、攻撃に対する対策(ファームウエアやソフトウエアのアップデート、設定の確認など)を行っていますか？

- 21 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

４．サイバー攻撃起点になりやすい端末の対処
制御系LANと接点を持ちながら、インターネットとも接点を持つ端末を特に注視してリスクを極小化した。
インターネット＆USBポート
はブロック、データ連携は必要な相手先に限定した。

電子メール
サイバー攻撃起点になりやすい端末
・制御系LANや工場操業LANと連携
・インターネットとも接続

Ｗｅｂサイトインターネット

インターネット
ウイルス対策
ソフト

USBメモリ情報系LAN
USB連携

USB連携
データ連携

データ連携

工場操業システム
LAN

制御系LAN- 22 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

５．ガイドライン策定と想定成果物
JPCERT/CCアセスメントツールの以下設問に対する取組み。
１．制御システムのセキュリティポリシーを正式に文書化していますか？
２．文書化されている場合、その内容が徹底されるための方策を取っていますか？

- 23 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

５．ガイドライン策定と想定成果物※投影のみとさせていただきます。

- 24 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

所感※投影のみとさせていただきます。

- 25 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved

【参考】当社ネットワーク構成※投影のみとさせていただきます。

- 26 -

Copyright(C) 2018 TAIYO NIPPON SANSO Corporation All Rights Reserved