【製造業の皆さん、他人事じゃない！】工場を守るサイバーセキュリティ対策、今すぐ始めよう！
え？うちの工場が狙われる？まさか、まさか！
皆さん、こんにちは！製造業の現場で日々奮闘されている皆さん、お疲れ様です！ 「サイバー攻撃」なんて、なんだかIT企業とか、遠い世界の出来事だと思っていませんか？ 実は、製造業こそが、今、最もサイバー攻撃に狙われているって知っていましたか？
2022年には、なんと製造業が2年連続でサイバー攻撃の標的ナンバーワンに輝いてしまったんです！ まるで、ドラマの悪役が「お前を狙っている」とささやくような、そんな状況なんです。 「うちの工場は大丈夫」なんて、のんきに構えている場合じゃありませんよ！
なぜ製造業が狙われる？
「なんで、よりによってウチが？」って思いますよね？ 理由は簡単。工場が止まると、大損害が出るからです。 泥棒だって、金目の物を狙いますよね？それと同じです。 特に、工場の制御システム（OT）への攻撃は、工場停止や莫大な金銭的損害に直結します。 まるで、工場の心臓を握られて、「身代金を払え！」と脅されているようなものです。
しかも、「工場は絶対に止められない」という、製造業の弱みを、犯罪者たちは知っているんです。 なんとも憎らしい話ですよね。
どんな攻撃が来るの？
サイバー攻撃には、大きく分けて2種類あります。
•標的型攻撃：これは、まるでスナイパーのように、特定の企業を狙い撃ちする攻撃です。業務メールを装ったりして、巧妙に侵入してきます。
•ばらまき型攻撃：こちらは、マシンガンのように、無差別に悪意のあるメールなどを送りつける攻撃です。
どっちも怖いですよね？ たとえ標的にされなくても、ばらまき型攻撃で被害にあう可能性は、どの工場にもあります。 まるで、いつ飛んでくるかわからない流れ弾みたいで、怖いですよね。
代表的な攻撃：ランサムウェアとEmotet
特に注意したいのが、ランサムウェアとEmotetという２つの攻撃です。
•ランサムウェア：これは、あなたの会社のデータを人質にして、「お金を払わなければ、データを消すぞ！」と脅す、とっても悪質な手口です。 最近では、VPN機器の脆弱性を狙って侵入してくるケースが増えています。 まるで、家に押し入ってきて、「お宝を隠したから、探してみろ！」って言われるような、そんな状況です。
•Emotet：これは、メールに添付されたファイルやリンクを開いてしまうと感染する、恐ろしいウイルスです。 感染すると、会社の機密情報を盗んだり、他のパソコンにも感染を広げたりします。 まるで、風邪を引いた人が、咳をするたびに、周りの人に風邪をうつしていくようなものです。
実際の被害事例
実際に、製造業の会社で、こんな被害が発生しています。
•事例１：ランサムウェアによる工場停止 ある自動車部品メーカーでは、ランサムウェア攻撃により、工場のシステムが停止してしまいました。 結果、生産ラインがストップし、納期遅延、損害賠償のリスクが発生しました。 まるで、動脈を断ち切られたような、そんな状況ですよね。
•事例２：サプライチェーン攻撃による情報漏洩 ある大手電機メーカーでは、取引先のシステムが攻撃を受け、そこから自社の情報が漏洩しました。 まるで、友達の家から、自分の家の情報が盗まれたような、そんな気持ち悪い話です。
被害に遭うと、一体いくらかかるの？
警察庁の調査によると、ランサムウェア被害にあった企業のうち、46%が「復旧に1000万円以上かかった」と回答しています。 さらに、そのうちの約3割は、5000万円以上かかったとか！ これはもう、笑えない金額ですよね。 治療費が払えないくらい大怪我をする前に、予防策を講じるべきです。
今すぐできるセキュリティ対策
「もう、どうしたら良いか分からない！」って、パニックになっている人もいるかもしれません。 でも、大丈夫！今からでもできる対策はたくさんあります。
•守るべき資産を整理する まずは、工場内のネットワーク、機器、データを洗い出して、どこを重点的に守るべきかを決めましょう。
•セキュリティ対策を立案する ファイアウォールや侵入検知システムを導入したり、IDやパスワードをしっかり管理したりしましょう。
•セキュリティ対策を実行し、改善する 定期的にシステムの監視を行い、異常があればすぐに対応できるように体制を整えましょう。
まるで、毎日歯を磨くように、セキュリティ対策も習慣化することが大事です。
経済産業省のガイドラインを活用しよう
経済産業省が出している「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を参考にすると、より効果的な対策ができます6...。 まるで、テスト勉強する時に、教科書を使うようなものです。
このガイドラインでは、工場システムのセキュリティ対策を３つのステップで進める方法が示されています。
1.ステップ１：守るべきものを整理する 工場のシステム、業務内容、守るべき情報を洗い出し、優先順位をつけます。
2.ステップ２：具体的な対策を立てる ステップ１で整理した内容に基づいて、ネットワークや機器、プログラムに対する具体的なセキュリティ対策を計画します。
3.ステップ３：対策を実行し、見直す 計画に基づいてセキュリティ対策を実行し、定期的に効果を検証し、改善を繰り返します。
また、このガイドラインには、セキュリティ対策のレベルを「最低限」「中」「高」に分類して、システムのリスクレベルに応じた対策を選べるようになっています。 まるで、ゲームの難易度設定のように、自分たちの工場に合ったレベルの対策を選べるんです。
さらに、セキュリティ対策状況を評価するためのチェックリストも付属しています。 まるで、健康診断みたいに、現状を把握できるんです。
まとめ：セキュリティ対策は、もはや義務！
サイバー攻撃は、他人事ではありません。 どんな工場でも、被害にあうリスクがあります。 「もし、ウチの工場がサイバー攻撃に遭ったら…」と想像してみてください。 ゾッとしますよね？
セキュリティ対策は、もはや「やるか、やらないか」ではなく、「いつやるか」です。 今すぐ、セキュリティ対策を始めましょう！ まるで、雨が降る前に傘をさすように、備えあれば憂いなしです。
参考資料
•経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」 https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html
•
IPA（情報処理推進機構）「中小企業の情報セキュリティ対策」 https://www.ipa.go.jp/security/sme/