IIoTのセキュリティリスクまとめ

IoTのセキュリティリスク

36.4％もの企業が実際に脅威を体験している
工場のIIoTやDXが加速する中、情報だけでなく、物理的損失も防ぐ対策が必要

IIoT最大の課題・それはセキュリティ対策

製造業や物流、電力、ガスなどのインフラ業界では、装置や設備をコンピューター制御管理するICS（産業制御システム）が進み、さまざまな業界にとって欠かすことのできない重要な役割を果たしています。

近年では、ICSを含むIT/OT（オペレーションテクノロジー）の統合化により、装置や設備のPLC（Programmable Logic Controller）やセンサーからのデータをサーバに収集・蓄積し、クラウド上でデータの分析処理を行うIIoT（Industrial Internet of Things）の導入も増えてきました。IIoTの導入により、設備の稼働状況を監視して障害予兆に活用したり、需要予測から生産数の調整をおこなうことで、生産効率化に役立てている仕組みを実現している企業も増えています。

しかし、その一方で、IIoTのセキュリティ対策が大きな問題になっています。従来のように、ICSが外部と切り離されている状態であれば、外部からインターネット経由で侵入される危険性はなく、最低限のセキュリティ対策を施しておけば、被害にあうケースはほほありませんでした。

しかし、IIoTの仕組みのように、インターネットに、産業用ロボットをはじめ、多くの設備機械が接続されていることで、セキュリティ対策の不十分さから、既に侵入による被害が報告されています。

実際にある、脅威の数々

では、実際にどのような被害が報告されているのでしょうか。

2021年2月に、IT専門調査会社 IDC Japan 株式会社が、国内企業443社に対して実施した「IoT/OTセキュリティ対策実態調査」によると、IoT/IIoT、OTに関するシステム特有のセキュリティ被害状況について、工場やシステムの破壊・破損・故障・生産・製造ラインの停止、制御データやパラメーターの改ざんなどの事故を36.4％もの企業が経験している結果が出ています。

なかでも特に、外部ネットワーク接続部での事件や事故がもっとも多かったことから、IoT/IIoT、OTシステムなど、直接ネットワークにつないだ総合管理へのサイバー攻撃が増加しています。そのほかにも、マルウェアやランサムウェアの感染によるデータの情報漏洩、システムやサービスに関するWebの改ざんなどの被害も報告されています。

世界では、過去には、2010年には、マルウェア「Stuxnet」がイラン核施設の遠心分離の制御システムにＵＳＢ経由で侵入し、施設の稼働停止に陥れた事件は有名です。そのほか2017年に流行した、ランサムウェアの「WannaCry」では、自動車製造工場など多くの工場が被害を受け操業停止となったケースもあります。

また、製造業に限らず、2013年に小売業をターゲットにした、空せいご調システムをハッキングし、内部への侵入を許し約1億人の個人情報が漏洩した事件も発生しています。

ゼロトラストという次世代のセキュリティ対策

こうした事故や被害を受けている中で、ITネットワークに対する安全なシステムの考え方で、「ゼロトラスト」というコンセプトが注目されています。

ゼロトラストとは、従来のセキュリティ原則のネットワーク内は安全であり、守るべきは外部環境という「境界防衛モデル」の考え方をやめ、すべての通信アクセス・トラフィックが信頼できないことを前提にしたセキュリティ対策の考え方です。

しかし、ITのセキュリティ対策をOTに、そのまま適応することは、ITとOTのシステム構築の考えかたが異なるため現実的ではないという考え方があります。ITは資産となる「情報」を、漏洩や書き換えなどを優先して防ぐことが重要ですが、一方、OTでは「安全性」が重視されます。OTではサイバー攻撃による機械の誤動作や物理的破損以外に、人命への影響が生じる可能性もあります。

このような性質の違いを考え、IIoTに最適化されたゼロトラストアーキテクチャの検討が進められています。コンピューター・インターネットセキュリティ製品の開発販売の大手企業と、最新のハードウェアに深い知識を持つイタリア・ミラノ工科大学が共同で、工場のスマート化に伴うセキュリティリスクの実証実験を行った結果を2020年5月に発表しています。

実証実験では、サイバー攻撃の影響で製造品の損害や、製造ラインの停止に追い込まれたケースも確認されています。さらに、MES（製造実行システム）に蓄積された製造・設計データの改ざんや、機械制御装置を動かすロジックの変更による生産ラインの停止など、被害が生じる可能性があることがわかっています。

この結果を踏まえ、2020年12月に、米国セキュリティ・インフラストラクチャセキュリティ庁（CISA）は、IoT機器・ネットワーク接続機器に使われている米国企業製プログラム群に、サイバー攻撃により、任意のコード実行やサービス拒否、範囲外メモリ読み込みなど、重大な被害が起こる可能性があることを報告し、対応策を発表しています。

今後、工場のIIoTやDXが加速する中、情報だけでなく、物理的損失も防ぐ対策が必要とされています。