製造業のコトづくりを支える強固な「製品セキュリティ」の実現へ

01

エグゼクティブサマリー「コトづくり」に向けた変革の中で生じる
セキュリティ対策を立案から実行まで
コトづくりへのシフトで変わるセキュリティの責任範囲
製品のコモディティ化が進み競争が激化する現在、「モノ」だけを売るビジネスは限界に近づきつつあります。

●

背景と課題

ソフトウェア、データサービスで顧客体験価値を届ける、「コト」ビジネスの重要性が高まっています。

●

「コト」ビジネスでは、自社がソフトウェア環境を管理してサービスを提供する範囲が拡大します。

●

これまで顧客の責任範囲だったセキュリティ領域の一部を自社が管理していく必要が生じます。

これからのセキュリティ詳細＞＞ P6「サービスイン後」のセキュリティ対策が必要に
「コト」ビジネス（サービスビジネス）では、サービスイン後こそ運用上のセキュリティ対策の重要性が高●まります。脆弱性の懸念がある端末側のファームウェアアップデート、クラウドインフラへの攻撃に対する対策の方向性対応（検知・対応・復旧）が必要になります。
セキュリティ対策はまず自社の現状を正確に洗い出し、リスクを特定し、優先順位を付けながら具体的な対●策に落とし込んで実行すること、そしてそのプロセスを繰り返し改善し続けることが重要です。

詳細＞＞ P5

製造業の現場を熟知し、対策の実行まで伴走
マクニカの強みマクニカは、国内・海外の標準規格をベースに、独自の知見を盛り込んだリスクを評価を実施し、優先度に●基づいて課題と改善策を提示する「製品セキュリティ成熟度調査」によって対策の第一歩を支援します。
●セキュリティ対策の運用が開始された後も、サイバーセキュリティに関する最新の知見と、長年にわたって製造業の現場を知り尽くしてきたメンバーやノウハウのもと、日々の対策の実行まで伴走します。

詳細＞＞ P7、8

02

デジタルをベースとしたコトづくりは業界を問わずに加速

コトづくりによる企業価値向上の可能性
デジタルへ注力する企業はROEが高い傾向が明らかに

コトづくりによる顧客体験の創出

マイナス

0%

モノが得られるかではなく、モノを通じて上質な顧客体験が得られるかが重視される今日は、「コトづくり」へ0〜5%14%の転換が必要です。そこに必要なのは、蓄積されたデータや優れたソフトウェア技術を駆使して継続的にサービスを提供して顧客のニーズへ的確かつ迅速に応え続ける仕組みです。それらデジタルに注力する企業のROEが高い傾向にあることが明らかになっています。

モノづくりから変革の課題
世の中にモノが飽和し、コモディティ化が進む中、ただ機器を開発・販売するだけでは、激化するコスト競争や

5〜8%

18%

DX 銘柄企業の過去 3 年のROE

8% 以上

68%

デジタル技術を活用した新興企業との競争に勝ち抜くことは困難です。

経済産業省「デジタルトランスフォーメーション調査 2021 の分析」より※その他企業…経済産業省による「DX 銘柄」の制度における「DX 銘柄企業」「注マイナス目企業」「左記以外の認定申請企業」に含まれない企業

8%

03

今、「製品セキュリティ」の対策が急務な理由

コトづくりでは責任を負う範囲が拡大する
コトづくりではセキュリティ対策領域が変わる「コト」ビジネスへの転換にあたってデータサービスやクラウドを活用したサブスクリプションサービスに乗りコンサルタントからの注意ポイント出す企業が増えています。しかしそれは、自社がいままで管理する必要がなかったデータやクラウドインフラに対新規事業の立ち上げにおいては、サービス開発やその事するセキュリティの責任を負う必要になったことを意味します。セキュリティが不十分であれば、提供する製品の業活動に向けて、クラウドを活用したシステム開発が優脆弱性を原因とするサイバー攻撃でお客様に被害を及ぼし、自社が加害者になってしまう恐れもあります。DXは先され、セキュリティが二の次にされる傾向にあります。
その原因は経験のなかった技術分野における知見・経験セキュリティ対策と両輪で進める必要があります。の不足やセキュリティ人材の不足が上げられます。コトづくりにおいては、対象のサービスの事業継続としてセ「コト」ビジネスでは、製造業自身でインフラやデータを抱えるため、キュリティは必須です。経営者として必要な投資の判断セキュリティ対策の強化が必要が必要となります。

データベースクラウド
プラットフォーム

IoT 機器システム図

クラウド
サービス販売機器販売

データサービス提供システム販売これまでの「モノ」事業

これからの「コト」事業

IoT 機器を含むシステム自体を提供するビジネスモデル

IoT 機器を含むシステムを利用してサービスを提供するビジネス

ビジネスモデル変遷

セキュリティ上の責任範囲

アプリケーション

04

これから求められる製品セキュリティの方向性

脅威の「特定」から「復旧」までの仕組み化と体制運用が急務に「侵入はあり得る」を前提に検知・対応・復旧までの対策を
これまでは、悪意ある攻撃者による攻撃を防ぐための「防御」に重きが置かれがちでした。それは従来のモノづくりのビジネスでも同様です。しかしデジタル技術の発展と共にサイバー攻撃の高度化も進み、すべての攻撃を防ぐことは困難になりつつあります。
そこで、サイバー攻撃を受けてしまうことを前提に、検知・対応・復旧のプロセスを整備して被害を最小にとどめる、サイバーレジリエンスという考え方が重視されるようになっています。製品セキュリティにもこの考え方を取り入れ、新たな脆弱性が発覚した際にいかに素早く対応できるか、サービスに対する攻撃が発生した際にいかにサービスの復旧を素早く行えるかが重要になります。

これまでのモノ事業
これからのコト（サービス）事業

特定

防御

検知対応

復旧

情 報 資 産と脅 威を洗 い
出し、対策すべきリスクを特定する

製品・サービスへのサイバ ー 攻 撃を防ぐために防御策や対策のための仕組を実装する

製品・サービスへのサイバー攻 撃の発 生を検 知するための対策を実装・実施する

検 知 にされ た サ イバ ー
攻 撃に対 処 するための対策を実施する

サ イバ ー 攻 撃 によって阻害されたサービス・システムや デ ータを復 旧する

People（組織体制・人材）

Process（ 基準・手順/仕組み）

System（技術）05

製品セキュリティ強化で注力するべき課題

特に強化するべきは、製品セキュリティ独自の方針・体制・プロセスの融合
日本の製造業は、モノづくりにおける品質確保を得意としてきました。しかし、より顧客と長いフェーズにまたがるコトづくりの中で新たなセキュリティリスクをとらえ、対処するための人や体制、プロセス、そして技術が整っていないことが課題です。中でも多くの製造業が直面している課題として、以下の3つの切り口が考えられます。

1

独自のセキュリティ方針の策定

2

3

能動的なインシデント対処

サプライチェーン攻撃への対策

情報セキュリティに関する方針やガイドラインを定め、開示している企業「コトづくり」の世界では出荷後も継続的にサービスを提供していきます。

製造業のサプライチェーンは複雑です。昨今、サイバー攻撃者はここに目は多くありますが、製品セキュリティ方針となるとまだ少数派です。製品

また常に攻撃の手法も変化するので全てを防ぐことは困難です。サービス

を付け、パートナーや子会社側にまず侵入し、そこからシステムに影響をセキュリティにどのように取り組むかの全体的な指針やビジョンが示さ

基盤がサイバー攻撃を受ければ顧客に大きな影響を与える恐れがありま及ぼす事件が発生しています。パートナー企業から納品される部品やソフれていなければ、現場の姿勢も定まりません。方向性を明らかにし、それにすので、攻撃を受けることを前提とした対処をしていく必要があります。

トウェアに脆弱性やバックドアが含まれているケースも出てきており、サ基づいた対策基準や手順、組織を整備し、ガバナンスを確立することが第そこで、受け身ではなく、サイバー攻撃を早期に検知し、製造部門と連携をプライチェーン全体で対処が求められてきています。

一歩です。

取りつつ迅速に対処して影響を最小限にとどめるキュリティ監視が必要です。また攻撃を受けてからいかに早く復旧するかのインシデント対応体制が必要です。

3rd Def.

法務/RM 部門

CSIRT

PSI RT

2nd Def.

品質部門 等

1st Def.

開発・運用部門

製品・サービスから得たログ収集結果
取引先/顧客から得た個別申請結果

製品・サービスライフサークル
新 た な セ キュリ ティ対 策

事務局

脅威インテリジェンス

機 能 評 価・検 証

セキュリティ統括役員

ログ 分 析・脅 威 分 析

最高経営責任者（C EO）

分析を中心としたアクティブ 監視体制
セ キュリ ティ イ ン シ デン ト
監 視・検 知対 応・復 旧︵SOC︶︵SIRT︶

マネジメント体制の一例

企 画
要件定義
設 計・開 発検証

製 造・構 築販 売・提 供
運 用・
（保守）
廃棄

サプライチェーンを含めたリスク分析の実施
委託先への成果物仕様/運用仕様/ベンダ要件定義
委託先への要求事項の準拠確認・修正
顧客との責任範囲の合意
委託先への要件準拠の継続的確認

06

製品セキュリティ強化の具体的なステップ

徹底的な現状把握、そして改善サイクルを自社で回すことが重要です

場当たり的な対策では次々に来るセキュリティ攻撃で手一杯になります。適切なステップを踏んだセキュリティ対策で、製品の信頼構築を実現することができます。

1
2

3

STEP 1

STEP2

現状把握と対策項目のセキュリティ成熟度評価

優先順位付けSTEP3対策の社内浸透

STEP4
定期に目標達成度の効果測定を実施し、継続的に改善

製品セキュリティは現状把握から始まります。例えばIoT

対策項目をむやみやたらに始めてはいつまで経っても「セキュリティガイドラインができた」、「開発プロセスが製品セキュリティ対策の難しいところはセキュリティ攻製品、クラウド環境、ネットワーク構成等です。次に自社が効果は表れません。何から始めるかが重要です。はじめにできた」、「セキュリティ運用体制ができた」という時点で満撃がアップデートされるため、日々対策も改善を進めなけ提供するサービスに対して守られねばならない標準規格の取り組むべきは検知～対応～復旧についてWho・What・足してしまいがちですが、ここからが本当のスタートです。

ればならないことです。一度の対策を実行では終わりとな洗い出しを実行します。その環境と規格で守るべきことかHowを決めることです。たとえば、一定のセキュリティ品策定したルールやマニュアルが適切に運用されるよう、自りません。もちろん、KPIに対する効果測定や振り返りも重ら調査をすることで、セキュリティリスクの洗い出しがで質を担保する体制が不十分であれば、PSIRTと呼ばれる社内で浸透させることが、最も大変であり、最も重要なポイ要ですが、新たな脅威や課題から弱点を徹底的に深堀するきます。そのリスクを減らすために、セキュリティガイドラチームを組織する。また、セキュリティガイドラインの整ントです。企業のトップや情報セキュリティ担当だけでななど、定期的な見直しが必要となってきます。最低でも1年イン修正や、社員の教育、事故～復旧対応プロセス整備、サ備や製品開発プロセスに関係各所でチェックを必然化す

く、製造現場や品質管理部門、DXに関する新規事業推進担に一度は関係者で効果測定のレビュー、課題認識、改善計画

プライチェーンリスク管理改善など様々な観点から対策項るなど、セキュリティに対してはシステム導入だけでな当など多くのステークホルダーを巻き込み、協力を得るこ立案はする必要があります。

目を明らかにしていきます。

く、人、プロセスも含め、必要な対策を明確化していかなけとが重要です。

ればならないのです。

07

製品セキュリティ強化を支援するマクニカの強み

セキュリティとものづくりの現場を長年サポートしている
マクニカだからこそできる
製品セキュリティ実行支援

マクニカ特有の製品セキュリティにおける成熟度調査

現場が実行できる
コトづくりセキュリティ対策の実行支援

経済産業省の「サイバーフィジカルセキュリティ対策

左のような標準規格はあいまいな表現が多いため、実際評価すフレームワーク」やIEC 62443、NIST SP800-171とるのは簡単ではありません。ましてや実行する現場は「何をしたらいった国内外の標準から評価をするのはいわゆる及第いいかわからない」ということになります。マクニカはこれまでの点の調査です。日本の製造業独自の課題や日本特有のセ現場サポートの知見やノウハウをもとに、調査の回答者が明確に答キュリティ攻撃手法などの評価項目の追加が必要で、えることができる質問項目の作成から実際の実行項目の落とし込

我々の知見があるからこそ更に深い調査が可能と考えみなど、「絵に描いた餅」ではない現場に寄り添ったセキュリティ対ています。

策の伴走型実行支援が可能です。

マクニカが提供する製品セキュリティ成熟度調査

マクニカは半世紀にわたり、半導体ビジネス「モノづくり」を展開し、製造業のお客様を現場からサポートしてきました。また、セキュリティに関してもほとんどの企業が課題認識をしていない時代から課題解決に取り組み、現場でサポートを続けています。更には専門の研究所を設立してセキュリティの知見を蓄積し、外部への発信も積極的に実施しています。現在我々はIoTやAI国際標準のセキュリティ基準に独自の知見を融合
経済産業省
サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）IEC 62443
NIST SP.800 -171

といった新たなデジタル技術に積極的投資を行い、これまでの強みを掛け合わせ、コトづくり時代の製品セキュリティ支援を実行しています。

弊社知見

組織体制、人材、デバイス、システム、データ、プロセスなど多彩な観点から調査
ルール・運用 組織・ポリシー ツール・技術
14 のセキュリティ要件
1 アクセス制御

8 メディア保護

2 意識向上と訓練

9 人的セキュリティ

監査と責任追跡性
3 （説明責任）1101物理的保護
4 構成管理11 リスクアセスメント

5 識別と認証

12 セキュリティアセスメント

6 インシデント対応

13 システムと通信の保護7 メンテナンス

14 システムと情報の完全性

成熟度を定量値で評価
現在のセキュリティ
成熟度

2.9
1.74

IndustryAverage

08

マクニカのDXコンサルティングについて

お客様の安心・安全を目指した
製品セキュリティの実現
さまざまなプロフェッショナルの力を集約
製造業の「コトづくり」へのシフトに不可欠な製品セキュリティ対策については、方針や体制を作るだけではなくやはり現場への浸透が鍵となってきます。また、製品・サービス開発には多くのステークホルダーが関わることから浸透も簡単なものではありません。マクニカは長年にわたってモノづくりの現場を知り、プロセスの中にセキュリティを取り込む難しさと対峙しノウハウを積み重ねてきました。最新の脅威動向も踏まえながらプロフェッショナルとして支援できればと考えております。

ものづくりコンサルティング
コンサルタント紹介
株式会社マクニカ
DXコンサルティング室

飯田 洋平

まずはお気軽にご相談ください
マネージャー

フォームでのお問い合わせメールからお問い合わせはこちら

add-venture@macnica.co.jp