工場スマート化に伴うセキュリティリスクに対する対策
事例のご紹介2024年2月29日
独立行政法人情報処理推進機構（セキュリティセンター）高見 穣

1. 工場のシステム⬧ 制御システム• 情報資産を扱う情報システムとは別に、社会インフラや工場・プラントにおける監視・制御、生産・加工ラインにおいて、他の機器やシステムを管理・制御するために用いられている機器群• 利用分野• 社会インフラ： 電力、ガス、水道、鉄道等• 工場・プラント： 石油、化学、鉄鋼、自動車・輸送機器、精密機械、食品、製薬、ビル管理等• 一般企業
情報システム• 社会インフラ、工場・プラント
情報システム
制御システムCopyright © 2024 独立行政法人 情報処理推進機構

石油化学プラント工場の生産ライン22

2. 制御システムのサイバー攻撃の脅威
情報システム従来

OA用サーバ

監視端末

OA端末

最近
SW

制御システム
制御サーバ

制御NWの分離

EWS

リモートメンテナンス

制御システム

アクセスポイント（無線含む）

アクセスポイント

バルブ センサフィールド機器SW

制御ネットワーク （情報側）
SW

制御サーバ

生産性・保守性・利便性向上
フィールド機器、装置

EWS

制御専用
プロトコル

フィールド機器、装置

コントローラバルブ センサフィールド機器
Copyright © 2024 独立行政法人 情報処理推進機構

外部記憶媒体の利用

汎用のLinux,
Windows

制御ネットワーク（フィールド側）

汎用のTCP/IP

制御NWの外部NW
接続

FW

コントローラコントローラ

専用の制御機器

監視端末
情報ネットワーク

HMI（操作端末）
制御ネットワーク

OA端末

OA用サーバ情報ネットワーク
HMI（操作端末）

情報システムコントローラ

攻撃者の制御システムの理解
33. 制御システムに対するサイバー攻撃の事例１
インド、ムンバイの大規模停電⬧ 2020年10月 人口1,200万人(エリア2,000万人)のインド、ムンバイで２時間にわたる広域停電⬧ 株式市場が閉鎖、交通機関も停止⬧ 電力供給と送電ユーティリティ（Load Despatch Centre）の複数のサーバへの侵入の記録があったと州警察が発表（詳細は調査中）【出典】https://indianexpress.com/article/explained/mumbai-power-cut-thane-adani-bmc-explained-6721839/
https://www.financialexpress.com/opinion/get-cybersecurity-right-mumbai-power-failure-shows-firefighting-cant-be-a-response/2136767/
Copyright © 2024 独立行政法人 情報処理推進機構

4

3. 制御システムに対するサイバー攻撃の事例２
米国の上水施設に対する攻撃⬧ 2021年2月 米フロリダの水処理プラントへのサイバー攻撃との報道があった⬧ リモート操作により、SCADA*が操作され通常の100倍以上の水酸化ナトリウムが投入されるよう設定された。現場の監視員が気付いてすぐに設定を修正した。
⬧ 調査の結果、OSは既にサポートが終了したWindows 7ですべての端末が同じパスワードのままインターネット接続されていた事が判明した。
【出典】https://www.mass.gov/service-details/cybersecurity-advisory-for-public-water-suppliers＊SCADA：Supervisory Control And Data Acquisitionの略。制御システムの情報を集約し遠隔からの一元管理を可能とする情報処理システム。
注）本件は、2023 年 4 月に、事件当時の市当局者が、サイバー攻撃は無かったと主張。
当局もサイバー攻撃の証拠は見つからなかったと発表しており、真相は闇の中である。
Copyright © 2024 独立行政法人 情報処理推進機構

5

3. 制御システムに対するサイバー攻撃の事例3
独の病院に対するランサムウェア攻撃⬧ 2020年9月 ドイツの大学病院でランサムウェアの被害が発生⬧ ランサムウェアにより救急患者の受け入れが不可能になり搬送中の患者が別の病院に搬送中に死亡⬧ ランサムウェアによる初の死者と考えらえる【出典】https://xtech.nikkei.com/atcl/nxt/column/18/00989/010500043/
Copyright © 2024 独立行政法人 情報処理推進機構

6

4. 制御システムのセキュリティリスク管理⬧ 被害拡大防止のために何をすべきか？

IPAが提供するサポート情報

サイバー攻撃の手口を学ぶ

制御システム関連のサイバーインシデント事例

自組織の現状を把握する

制御システムのセキュリティ
リスク分析ガイド

サイバー攻撃対応を行う

対策事例の紹介Copyright © 2024 独立行政法人 情報処理推進機構

7

５．制御システムのサイバーインシデント事例

サイバー攻撃の手口を学ぶ⬧ 制御システムに対する過去のサイバー攻撃の事例を紹介⬧ 対策に向けた「自組織の現状の把握」の参考となるように分析⬧ 紹介しているインシデント事例①②③④⑤⑥⑦⑧⑨

2015年 ウクライナ 大規模停電
2016年 ウクライナ マルウェアによる停電
2017年 安全計装システムを標的とするマルウェア
Stuxnet：制御システムを対象とする初めてのマルウェア
2019年 ランサムウェアによる操業停止
2018年 半導体製造企業のランサムウェアによる操業停止
2020年 医療関連企業のランサムウェアによる業務停止
2021年 水道局への不正侵入と飲料水汚染未遂
2021年 米国最大手のパイプラインのランサムウェア被害「制御システム関連のサイバーインシデント」シリーズは、以下のURLからダウンロード可能。
https://www.ipa.go.jp/security/controlsystem/incident.html
Copyright © 2024 独立行政法人 情報処理推進機構

8

自組織の現6.制御システムのセキュリティリスク分析ガイド(1)状を把握する◼ 自組織のサイバー攻撃への対応の現状を把握する為のリスクアセスメントの参考書• 自組織でリスクアセスメントを実施し、セキュリティ対策を向上するための実践的な分析手法の解説書• 資産ベースのリスク分析、事業被害ベースのリスク分析の２つの詳細リスク分析の手法を解説◼ セキュリティ対策のための資料• FWの活用、暗号化や内部不正対策等のチェックリスト

リスク分析で弱点を明確にして強化する「制御システムのセキュリティリスク分析ガイド」は、以下のURLからダウンロード可能。
https://www.ipa.go.jp/security/controlsystem/riskanalysis.html
Copyright © 2024 独立行政法人 情報処理推進機構

9自組織の現6.制御システムのセキュリティリスク分析ガイド(2)状を把握する

詳細リスク分析とは⬧ リスク分析手法の一つ。分析対象のシステムに対して、そのシステムにより実現されている事業を、「重要度」（あるいは損なわれた場合の被害レベル）「脅威」「脆弱性」の評価指標の下で実施するリスク分析。

サイバー攻撃⬧ 詳細リスク分析を行うことで、分析の漏れや、検討不十分なケースを減らす事ができる。
対策未確認⬧ 詳細リスク分析を行って自組織の現状を知ってセキュリティ対応策を検討することで効率的に的確な対策が可能

Copyright © 2024 独立行政法人 情報処理推進機構

未対策
対策済

10

自組織の現 サイバー攻撃
7. 工場のセキュリティリスク分析例(1) 状を把握する 対応を行う
スマート化した工場のシステムを7つの実装モデルに分類しリスク分析ガイドに沿って分析した事例。
実装モデル毎に対策すべき脅威を洗い出し、それぞれに対する技術的な対策例を提示。
実装モデル
内容
実装モデル1: IoT機器から収集した情 単一工場内で、既存の設備やIoTデバイスから情報を収集し、報の利用(単一工場モデル)生産や制御の最適化を実施することを想定したモデル

実装モデル2: IoT機器から収集した情 複数の工場から、既存の設備やIoTデバイスから情報を収集し、報の利用(複数工場モデル)生産や制御の最適化を実施することを想定したモデル
実装モデル3: 遠隔からのシステム監視・制御

WANを経由して、既設機器のプロセス値やIoTデバイスから情報を収集し、遠隔からシステムの監視や制御を行うことを想定したモデル
実装モデル4: 遠隔からの設備の保守
リモートアクセスによる接続を経由して、設備の遠隔保守をすることを想定したモデル
実装モデル5: 遠隔からのソフトウェア更 スマート工場化にかかわる機器の内部のソフトウェア構成を収
新集し、必要に応じて脆弱性対策のためのパッチをオンラインで配布することを想定したモデル
実装モデル6: ロボットの利用
既設設備にアドオンする形で、ロボットアームや搬送機などを追加し業務効率の改善を行うことを想定したモデル
実装モデル7: ドローンの利用ドローンでフィールド上の設備の異常がないかをカメラで監視し、監視記録をクラウドで経由して保存することを想定したモデル
Copyright © 2024 独立行政法人 情報処理推進機構「スマート工場のセキュリティリスク分析調査調査 報告書」では、各モデル毎に脅威・被害・対策を記載

11

自組織の現 サイバー攻撃
7. 工場のセキュリティリスク分析例(2) 状を把握する 対応を行う
実装モデル１：
IoT機器から収集した情報を利用するモデル（単一工場モデル）の検討例
インターネット工場A
執務室

一つの事業所で閉じるコンパクトなIoT事例

ルータ(1)サーバ
室
DMZ(社外/情報)

プロキシサーバ

FW(2)SW

監視端末 ERP,OA用PC ビューワ
情報ネットワーク

SW

検討した被害の例１：【既存の制御システムへの侵入】
スマート工場化により追加された装置がサイバー攻撃の侵入口、経路となり、既存の制御システムへ侵入、停止される被害。

攻撃対象：
既存制御システム
データ分析(1)
計算機
室

MES

HMI
(操作端末)

制御
サーバ

フィールド
(敷地内)

FW(1)

データヒストリアン

SW
制御ネットワーク(情報側)

EWS

コントローラ制御ネットワーク(フィールド側)
コントローラ(マスター)

センサバス

通信回線

侵入口
攻撃ルート
攻撃対象
注意を要する箇所

SW

バルブ センサフィールド機器■設備の種類

装置名 新規システムの装置(スマート工場化に伴い導入)

IoTネットワーク

フィールドネットワーク
コントローラ(スレーブ)

装置名 既存システムの装置(スマート工場化に伴う変更なし)
装置名 既存システムの装置(スマート工場化に伴う変更あり)

IoTデバイス/IoTNW

保守用PC(1)フィールド(敷地外)

IoTゲートウェイ

無線ネットワーク
バルブ センサ バルブ センサ
フィールド機器

IoTデバイス(1)IoTデバイス(2)

図 実装モデル(実装モデル1)と検討すべき被害例「スマート工場のセキュリティリスク分析調査 調査報告書」は、以下のURLからダウンロード可能。

※1：https://www.ipa.go.jp/security/reports/vuln/controlsystem-smartplant.html
Copyright © 2024 独立行政法人 情報処理推進機構

12

8. 工場のシステムセキュリティ対策事例(1)

サイバー攻撃対応を行う⬧ スマート工場化した工場での、以下ガイドラインに沿った実践例を紹介• 「サイバー・フィジカル・セキュリティ対策フレームワーク」• 「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」⬧ 国内企業のスマート工場化の促進を目的に、工場セキュリティ対策の実装支援を狙う• スマート化を施したプリント基板を製造する工場をモデルに汎用的なセキュリティ対策事例を紹介• 製造システムに関する設計開発から廃棄に至るまでの工場のライフサイクルに沿った対策を提示⬧ 想定読者• 工場セキュリティ担当者
2023年7月31日• 工場を保有する事業者のセキュリティ担当者
公開127頁「スマート工場化でのシステムセキュリティ対策事例 調査報告書 調査報告書」は、以下のURLからダウンロード可能。

https://www.ipa.go.jp/security/controlsystem/securityreport-smartfactory-2023.html
Copyright © 2024 独立行政法人 情報処理推進機構

13

サイバー攻撃対応を行う

8. 工場のシステムセキュリティ対策事例(2)⬧ 生産システムに関するセキュリティにフォーカス⬧ 実際のモデル事業者の組織体制と、各フェーズ毎に実施している内容を紹介
工場の生産システムで実施される業務とフェーズ
設計・開発

企画



その他
情報管理、インシデント対応、エリア人員管理、経理・財務、投資管理、知的財産・ブランド管理、法務



生産システムの保守

廃棄研究開発営業
事業企画



製品の生産保守

生産システムの設計開発、調達、構築

運転・運用



生産システムの廃棄

図 フェーズと業務
Copyright © 2024 独立行政法人 情報処理推進機構

14

8. 工場のシステムセキュリティ対策事例(3)
記述内容例
設計や生産工程を効率化するために、生産システムから様々な情報を収集したり、収集した情報を基に設計データや生産工程を最適化するための仕組みを導入したモデル事業者の実際の工場を例として提示。

サイバー攻撃対応を行う⚫実施例
スマート化で増大するセキュリティリスクに対し、モデル事業者において実施している取り組みとして、社内で規定するセキュリティ規定文書とその規定内容を示す。
⚫関連帳票
取り組みの内容として作成している帳票がある場
合は、そのサンプルも示す。

図 モデル事業者の生産システム

Copyright © 2024 独立行政法人 情報処理推進機構

図 記述例

15

ご清聴ありがとうございました
IPAのWebページ「制御システムのセキュリティ」をぜひご覧ください。
https://www.ipa.go.jp/security/controlsystem/index.html