JPCERT Coordination Center

電子署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=Japan Computer
Emergency Response Team Coordination Center,cn=JPCERT Coordination Center,
email=office@jpcert.or.jp
日付 : 2019.03.25 12:02:09 +09'00'

製造現場に産業⽤IoTを導⼊する際のセキュリティ対策の⼿始め
産業⽤IoTを導⼊する企業が⼯場でセキュアにIoTを活⽤するために

JPCERTコーディネーションセンター
制御システムセキュリティ対策グループ
河野 ⼀之

アジェンダ１. 産業⽤IoTの導⼊メリットならびにセキュリティリスク
２. 徐々に進むIoT活⽤とセキュリティ対策ガイドの要望
３. 実践すべき産業⽤IoT導⼊時のセキュリティ対策の⼿始め〜 セキュリティ対策ガイドの⽬的や活⽤イメージなどを解説 〜

４. ICSセキュリティを⽀援する各種無料サービスの紹介

1Copyright ©2019 JPCERT/CC All rights reserved.

アジェンダ１. 産業⽤IoTの導⼊メリットならびにセキュリティリスク
２. 徐々に進むIoT活⽤とセキュリティ対策ガイドの要望
３. 実践すべき産業⽤IoT導⼊時のセキュリティ対策の⼿始め〜 セキュリティ対策ガイドの⽬的や活⽤イメージなどを解説 〜

４. ICSセキュリティを⽀援する各種無料サービスの紹介

2

Copyright ©2019 JPCERT/CC All rights reserved.

１-１.製造現場の課題と期待される産業⽤IoT導⼊メリット
製造現場において次のような課題を抱え、産業⽤IoTの導⼊で改善が期待されている

課題 新規⼈材採⽤が困難な上、熟練者の退職で技術継承が困難
 設備の⽼朽化等による機器故障や⽣産設備の停⽌ 競争⼒維持に求められるさらなる⽣産性向上 など

産業⽤IoTの導⼊メリット

 製造⾃動化を⽀援し⼈員不⾜の解消や品質の安定化に貢献
 機器等の稼働状況の⾒える化や故障予知で交換時期の把握
 クラウドなどでの⽣産データ分析による⽣産性改善

3

Copyright ©2019 JPCERT/CC All rights reserved.

１-２.セキュリティ対策が不⼗分な産業⽤IoTのリスク
⼀⽅、製造現場の産業⽤IoTのセキュリティ対策が不⼗分なままだと潜在的にさまざまなセキュリティ被害が発⽣するリスクがある
例えば・・・

 ⼯場の機械が停⽌・遠隔操作される
 検査データが改ざんされ、知らぬ間に不良品が出荷される
 稼働データが改ざんされ、機器の異常発⾒が遅れる サイバー攻撃により⾃社の⼯場が停⽌することで、取引先に影響を与える 等

このような事態にならないために、産業⽤IoTの活⽤においてもセキュリティ対策が求められている
4

Copyright ©2019 JPCERT/CC All rights reserved.

アジェンダ１. 産業⽤IoTの導⼊メリットならびにセキュリティリスク
２. 徐々に進むIoT活⽤とセキュリティ対策ガイドの要望
３. 実践すべき産業⽤IoT導⼊時のセキュリティ対策の⼿始め〜 セキュリティ対策ガイドの⽬的や活⽤イメージなどを解説 〜

４. ICSセキュリティを⽀援する各種無料サービスの紹介

5

Copyright ©2019 JPCERT/CC All rights reserved.

２-１.徐々に進むIoT活⽤とセキュリティ対策ガイドの要望
制御システムユーザや制御機器ベンダ等からの相談や意⾒交換などで分かったこと

制御システムユーザや機器ベンダの声
 産業⽤IoTで制御機器の稼働データを取りたい 産業⽤IoTを使って制御機器の遠隔監視や操作をしたい 制御機器も複数のNWに接続が可能なものがユーザに求められている 等
産業⽤IoT等で制御システムの「つながる」化が、徐々にではあるが進みつつある
制御システムユーザの声
⼀⽅で・・・
産業⽤IoTの活⽤時にどんなセキュリティ対策をしてよいか分からない
またセキュリティに不慣れでも参考にできるものが欲しい 等
6

Copyright ©2019 JPCERT/CC All rights reserved.

２-２.産業⽤IoT導⼊のためのセキュリティ対策ガイドを作成
制御システムユーザ等の要望から
本セキュリティ対策ガイドを作成。
経営者、現場管理者・技術担当者、受注ベンダ等との間で共通認識を得るために、セキュリティ知識に不慣れな製造業者にとって、分かりやすく、使いやすいセキュリティ対策ガイドを⽬指した。
2018年8⽉9⽇ Web公表
全24ページ

https://www.jpcert.or.jp/ics/information06.html
7

Copyright ©2019 JPCERT/CC All rights reserved.

アジェンダ１. 産業⽤IoTの導⼊メリットならびにセキュリティリスク
２. 徐々に進むIoT活⽤とセキュリティ対策ガイドの要望
３. 実践すべき産業⽤IoT導⼊時のセキュリティ対策の⼿始め〜 セキュリティ対策ガイドの⽬的や活⽤イメージなどを解説 〜

４. ICSセキュリティを⽀援する各種無料サービスの紹介

8

Copyright ©2019 JPCERT/CC All rights reserved.

３-１.本ガイドで取り上げる産業⽤IoT（例）本セキュリティ対策ガイドで取り上げる産業⽤IoTは主に次のような製品を指す
インテリジェント
カメラ

スマート
エアコン

センサ

冷蔵庫
スマート
テレビ
スマート
スピーカー

タブレット
（⾒える化、現場操作等）

本ガイドの対象
9

Copyright ©2019 JPCERT/CC All rights reserved.

３-２.ガイドの⽬的『⼯場における産業⽤IoT導⼊のためのセキュリティ ファーストステップ』は記載のセキュリティ対策を⾏うことで次の点の実現を⽬的としている。

⽬的

産業⽤IoT導⼊による制御システムへのセキュリティリスクを低減

 セキュアな環境におけるIoTの活⽤で、⽣産停⽌などの⾃社の事業継続リスクを低減
 ⽣産停⽌等による取引先等への影響といったサプライチェーンのセキュリティリスクを低減

これらのセキュリティリスクを低減して、結果的に⽣産改善などの本来業務に注⼒できる
10

Copyright ©2019 JPCERT/CC All rights reserved.

３-３.ガイドの特徴
本ガイドは、セキュリティに不慣れなICSの担当者でもセキュリティリスクを理解し、現場で活⽤しやすいように次の特徴がある。

特徴①

基本的なセキュリティ対策に絞り、これから取り組む⽅のためのセキュリティ対策の⼊⾨的なガイドとした

特徴②

実質20ページ程度とし、セキュリティに不慣れな⽅でもわかりやすい表現に努めて読みやすくした

特徴③

視覚的に対策箇所を把握し、対象の対策ページを迅速に参照できるようなモデル図を採⽤した製造現場のIoT活⽤における「セキュリティ対策の⼿始め」として、本ガイドを活⽤いただきたい
11

Copyright ©2019 JPCERT/CC All rights reserved.

３-４.本ガイドの活⽤シーンとプレーヤー

依頼

事業者内での活⽤

経営者

任命／指⽰

依頼

現場管理者および技術担当者(セキュリティ責任者)

SIer/エンジニアリング

アセットオーナ

サプライチェーン
での活⽤

親会社／取引先
経営者

経営者

任命／指⽰

協⼒依頼等

Copyright ©2019 JPCERT/CC All rights reserved.

現場管理者および技術担当者(セキュリティ責任者)

グループ会社／取引先
12

ベンダ

３-５.ガイドの構成（各読者層向けに３つのパートに⼤別）
各読者ごとに⼤きく分けて次の３つでパートに分かれている［パート１］経営者向け
 本ガイド「経営者の皆さまへ」（P3）‒ 国内外で実際に発⽣した被害とその対応コスト等を交え、産業⽤IoT 導⼊時のセキュリティ対策の必要性を解説［パート２］経営者や現場管理者、技術担当者向け
 本ガイド「本書における産業⽤IoTのセキュリティ対策の考え⽅」（P4）‒ 「クラウド層」、「外部ネットワーク層」、「⼯場内IoTネットワーク層」とIoT ネットワークを構成する各層ごとにセキュリティ対策を⾏うことで防御の効果を⾼めることができる多層防御の必要性を解説［パート３］現場管理者や技術担当者、エンジニアリング会社・SIer向け
 本ガイド「産業⽤IoT の導⼊プロセス︓外部事業者との役割・業務分担」（P5 〜 8）
「産業⽤IoT の構成要素︓対策ナビゲーションマップ」（P9 〜 19）‒ 仕様策定から運⽤までのプロセスで実施すべきセキュリティ対策を解説‒ 産業⽤IoTシステムの5つの構成要素ごとに実施すべきセキュリティ対策を解説
13

Copyright ©2019 JPCERT/CC All rights reserved.

３-６.［パート１］経営者向け
「経営者の皆さまへ」（P3） ⼯場内の様々な機器が「つながる」と利便性の向上
とともにセキュリティリスクも増⼤ 被害にあうと⽣産計画や品質に影響し、売上減少などで事業の経営に影響を与える
 事実、海運業や製造業でネットワーク経由で被害が発⽣
 将来的には取引先等サプライチェーンへの影響が懸念される

セキュリティ対策は IoT投資の⼀環経営者が⾏うべき役割を理解いただく リソース（予算、⼈員）確保
 本ガイドを参考にセキュリティ対策実施の指⽰
14

Copyright ©2019 JPCERT/CC All rights reserved.

３-６.［パート２］経営者や現場管理者、技術担当者向け
「本書における産業⽤IoTのセキュリティ対策の考え⽅」（P4）
 IoTデバイスは機能制約等のため、それ⾃体では⼗分にセキュリティ対策ができない クラウド、外部NW、⼯場内IoTNW、デバイスなど個別に対策を⾏うことが重要
さまざまな対策を重層的に⾏う多層防御が効果的経営者や現場管理者等に多層防御によるセキュリティ対策の重要性を理解いただく
15

Copyright ©2019 JPCERT/CC All rights reserved.

３-６.［パート３］現場管理者や技術担当者、SIer等向け ①
「産業⽤IoT の導⼊プロセス︓外部事業者との役割・業務分担」（P5〜8）
 導⼊プロセスを意識したマネジメント視点のセキュリティ対策が重要
 5つの導⼊プロセスごとの対策で包括的にセキュリティを確保 ベンダ等外部事業者との役割や責任を明確化し、運⽤まで考慮した協⼒関係を築く

各プロセスのセキュリティ対策は社内外の関係者とのセキュリティ対策の確認や周知となる重要な⼿続き
現場管理者やSIer等関係者間で実施するセキュリティ対策のマネジメント体制を構築
16

Copyright ©2019 JPCERT/CC All rights reserved.

３-６.［パート３］現場管理者や技術担当者、SIer等向け ②「産業⽤IoT の導⼊プロセス︓外部事業者との役割・業務分担」（P5〜8）
 5つのプロセスごとに次のような点を実施① 仕様策定: SIer等への要求仕様にセキュリティ要件を盛り込む② 選定: 第三者認証取得の外部事業者のサービスや⻑期的なセキュリティサポートが期待できるベンダの機器を選定③ 契約: ①を元にセキュリティ対策事項の確認や責任分界点の明確化をして外部事業者と契約④ 設置: ①,③を元に受⼊検査を実施⑤ 運⽤: 脆弱性の情報収集や適⽤⼿順の作成、セキュリティ被害発⽣時の対応⼿順や体制構築、産業⽤IoT製品廃棄時の対応⼿順等を作成
17

Copyright ©2019 JPCERT/CC All rights reserved.

３-６.［パート３］現場管理者や技術担当者、SIer等向け ③
「産業⽤IoT の構成要素︓対策ナビゲーションマップ」（P9〜19）
 産業⽤IoTネットワークモデルと5つの構成要素から導⼊箇所等を視覚的に把握①IoTデバイス、②⼯場内IoTNW（LAN）、③サーバ、④外部NW（WAN）、⑤クラウド
 各要素のページ番号を参照して、対象箇所の技術的な対策ページへ移動し、具体的なセキュリティ対策とその必要性を把握してセキュリティ対策を実施

全体構成や各対策の理解を促しセキュリティ対策の参考にしていただく
部分導⼊の場合を含めて産業⽤IoT導⼊において、まず何から実施するかの参考として活⽤。
18

Copyright ©2019 JPCERT/CC All rights reserved.

産業⽤IoT の (5つの) 構成要素︓対策ナビゲーションマップ

19

Copyright ©2019 JPCERT/CC All rights reserved.

３-６.［パート３］現場管理者や技術担当者、SIer等向け ④「産業⽤IoT の構成要素︓対策ナビゲーションマップ」（P9〜19）
各対策ページは次の3つで構成①セキュリティ対策が不⼗分な場合のリスク例②個々のセキュリティ対策の重要性の解説③重点的なセキュリティ対策例の紹介
 例: IoTデバイスでの対策ポイント
 IoTデバイスのセキュリティ対策が不⼗分な場合、設計時の脆弱性の作り込み、不正アクセスによる内部データの漏えいやデータの改ざん・削除、物理的な盗難等のセキュリティリスクが想定される
 次のようなセキュリティ対策が必要になる
 セキュリティ実装のIoTデバイスの選定
 盗難防⽌のワイヤーロック
 不正アクセス低減のための初期ID／PW変更
 ソフトウエアの最新アップデート など※本ガイド掲載のセキュリティ対策で⼀定のセキュリティ確保は可能だが、⼗分ではない点に留意。
20

Copyright ©2019 JPCERT/CC All rights reserved.

３-７.制御システム関係者からのお声や引⽤など（⼀部）
制御システム関係者からのお声や引⽤していただいた記事を紹介。
 TechFactoryサイトでの引⽤記事

セキュリティに不慣れな制御システムユーザでも使えるガイドが欲しかった。
（制御システムユーザ）

こういうガイドがもっとたくさん出た⽅がいいと思う

こんな制御システムユーザ向けのガイドが出て欲しいと思っていた（制御機器設計者）

制御システムユーザに紹介させていただきたい（セキュリティベンダ）（制御システムコンサルタント）

21

Copyright ©2019 JPCERT/CC All rights reserved.

引用元：宮田健の「セキュリティの道も一歩から」（32）：「ウチには関係ないよ」と考えている中小企業経営層の皆さまへ（TechFactory）
http://techfactory.itmedia.co.jp/tf/articles/1811/08/news002.html

３-８.セキュリティ対策ガイド（⽇本語版）の⼊⼿⽅法紹介したセキュリティ対策ガイドは次のURLからダウンロードできる。

【ダウンロード⼿順】
下記URLにアクセス し、Webページ内の以下のPDF欄（⾚枠部分）をクリック。

⼯場における産業⽤IoT導⼊のためのセキュリティ
ファーストステップ
https://www.jpcert.or.jp/ics/information06.html

Webページ内にこの表を⾒つけたら、ここをクリック

22

Copyright ©2019 JPCERT/CC All rights reserved.

３-９.セキュリティ対策ガイド（英語版）のご案内
 概要と活⽤メリット 概要︓・構成等、内容は⽇本語版と同じ
 活⽤メリット︓
・国内・海外拠点で同⼀内容のセキュリティ対策を実施可能
・海外拠点の担当者のセキュリティスキルがあまり⾼くなくても活⽤可能

 英語版公表時期
 2019年春の予定

23

Copyright ©2019 JPCERT/CC All rights reserved.

アジェンダ１. 産業⽤IoTの導⼊メリットならびにセキュリティリスク
２. 徐々に進むIoT活⽤とセキュリティ対策ガイドの要望
３. 実践すべき産業⽤IoT導⼊時のセキュリティ対策の⼿始め〜 セキュリティ対策ガイドの⽬的や活⽤イメージなどを解説 〜

４. ICSセキュリティを⽀援する各種無料サービスの紹介

24

Copyright ©2019 JPCERT/CC All rights reserved.

４-１.変化の激しいサイバー脅威のトレンド把握
おすすめ

効率的な制御システムセキュリティ情報の収集

変化の激しいサイバー脅威のトレンドや脆弱性情報などを把握

制御システムセキュリティ情報提供⽤メーリングリスト• 国内外で確認された制御システムに深刻な影響の可能性がある情報の適宜配信• 国内外の制御セキュリティ、脅威情報の⽉刊配信

制御システムセキュリティ情報ポータルサイトConPaS• 制御機器、制御製品の脆弱性情報の適宜配信• 制御システムセキュリティガイドやツール提供

JPCERT/CC はこれらの情報を無料提供しています。ぜひお申込みください。
25

Copyright ©2019 JPCERT/CC All rights reserved.

４-２.簡易に⾏える制御システムのセキュリティ評価
おすすめ

制御システムのセキュリティ評価を簡易に実施できる

制御システムセキュリティ⾃⼰評価簡易ツール（J-CLICS）
制御システム関係者全員とシステム管理者向けの2つのSTEPで構成
各STEPはガイドとチェックリストで構成。各々10問程度のチェック式
⽇本語版と英語版があり、国内拠点と海外拠点を同⼀条件で評価可能「J-CLICS」は SICE/JEITA/JEMIMA と共同開発したICSセキュリティ評価ツールである。
JPCERT/CC の Web にて本評価ツールを無料提供している。ぜひご利⽤ください。
26

Copyright ©2019 JPCERT/CC All rights reserved.

制御システムセキュリティで困ったら・・・
情報収集やセキュリティ評価など、制御システムセキュリティで困ったら、下記へお気軽にお問い合わせください。

■制御システムセキュリティに関する各種ご相談— Email︓icsr@jpcert.or.jp— https://www.jpcert.or.jp/ics/■制御システムインシデントの報告や初動対応の⽀援依頼等— Email︓icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form.html
JPCERT/CC 制御システムセキュリティ対策グループ
Progressing ICS Security ＞＞

27

Copyright ©2019 JPCERT/CC All rights reserved.

ご清聴ありがとうございました28

Copyright ©2019 JPCERT/CC All rights reserved.