PwC’s Cyber Intelligence 危機に瀕する日本のICSセキュリティ 狙われるPLC

攻撃の標的となる日本のICSセキュリティ

産業用制御システム(ICS)セキュリティに対する脅威が近年、特に高まっています。直近の事案として、イランとイスラエルにおける制御システムにサイバー攻撃が発生し、国家安全保障に対する攻撃の一部であったと報道されています(※1)。また、米国の産業制御システムサイバー緊急事態対応チーム(ICS-CERT)のアドバイザリー件数は、2010年に18件だったのが2019年には231件と約13倍に増加しました。また2019年のICSへの攻撃は、2018年と比較すると2,000パーセント増という異常な伸びを見せました(※2)。これまでもICSセキュリティは重要な課題でしたが、現在はより深刻さを増し、重要度が高まっていると言えるでしょう。その脅威はサイバー攻撃によって社会や経済に深刻な被害をもたらすものとなっています。

2018年ごろからBlack Hatをはじめとするサイバーセキュリティカンファレンスでも、ICSセキュリティに関する発表が増加しています。日本企業およびその製品もターゲットとなっていますが、残念ながら国内の多くの企業は、依然ICSセキュリティへの危機意識は薄くICSを狙う攻撃グループの実態を理解しきれていないと言わざるを得ず、格好の標的になっている可能性があります。

大幅に立ち遅れた日本企業

日本においては技術研究組合制御システムセキュリティセンター(CSSC)、経済産業省の産業サイバーセキュリティ研究会、情報処理推進機構(IPA)の産業サイバーセキュリティセンターおよび産業総術研合研究所サイバーフィジカルセキュリティセンター(CPSEC)などをはじめとする各機関が、ICSセキュリティの向上と啓発に努めています。また、経産省が提唱する「Connected Industries」においてもICSセキュリティが重要な課題として挙げられ、国土交通省、厚生労働省などをはじめとする各省庁も真剣に取り組んでいます。

ICSセキュリティは民間企業の課題である以上に安全保障上の問題であり、米国やロシア、中国のように国家が民間と連携して横断的、統合的に取り組む必要があるものです。残念ながら日本の体制はそこまでには達しておらず、省庁や官民学の枠を超えた連携は今後の課題です。

民間企業への啓発も遅れており、脆弱性報告があってもすぐに対応できない、あるいは一部しか対応できないといったことは珍しくありません。インターネット上では、脆弱性のある日本企業の製品が他の日本企業に使われていたり、パスワードをハードコーディングしている製品が存在したりする事実が公にされています。こうした状況は、一刻も早く改善されなければなりません。

中でも、各国で研究が進んでいるPLCを製造する企業は注意が必要です。研究が進んでいるということは、攻撃に悪用されかねない脆弱性が発見される頻度が増えるとともに、その脆弱性を持つ製品が購買や調達から外される可能性をはらんでいるからです。

ICSセキュリティの早急な体制確立のために

日本政府を中心とした取り組みは行われてはいるものの、目の前の脅威に対抗できる状態には至っていないのが現状と言わざるを得ません。日本全体での有効な枠組みが出来上がるまでは、企業自ら、身を守るための対処をしなければなりません。特に重点的に研究が行われ、攻撃も増加しているPLCのメーカーや利用企業は、早急な体制の確立が必要です。そのためには脅威情報の収集とその適切な活用が重要と考えられます。

ICSセキュリティの脆弱性対応とパッチマネジメントにはITセキュリティとは違う、特有の大きな問題があります。脆弱性もパッチも、必要かつ検証されたものだけを適切なタイミングで迅速に対応しなければならないのです。2019年に行われたセキュリティ企業主催のあるセミナーでは、報告されているICSセキュリティ脆弱性の64%は実際にはリスクを引き起こさず、さらに34%は不正確と指摘されています(※5)。

日本ではICSセキュリティ関係の脆弱性が積極的に報告もしくは公開されていないのが実情です。これにより、報告されている脆弱性だけでは十分な対処を行えない可能性があります。

脅威情報を活用することで、狙われている機器や脆弱性、攻撃方法を事前に察知し、備えることができます。また、攻撃グループの狙いを知ることも防御の上では役に立ちます。ICSセキュリティは、緒に就いたばかりです。各国あるいは攻撃グループが研究している内容が実戦に投入されるこれからが本番と言えるでしょう。

執筆者

名和 利男

PwC Japanグループ, サイバーセキュリティ最高技術顧問, PwC Japan

Email

岩井 博樹

PwC Japanグループ, スレットインテリジェンスアドバイザー, PwC Japan

Email

林 和洋

パートナー, PwCコンサルティング合同会社

Email

村上 純一

ディレクター, PwCコンサルティング合同会社

Email

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}