OTセキュリティソリューショントピックス
「OTセキュリティ」は何から始めるべきか？ 製造現場を可視化し、“次の一手”を導き出すアセスメントの真価とは
製造業を取り巻くサイバーセキュリティの重要性が高まる中、多くの企業がOTセキュリティの必要性を認識しながらも、「何から着手すべきか分からない」という課題を抱えている。半導体の基板材料であるシリコンウェーハの専業メーカである株式会社SUMCOもその一社だった。
24時間365日稼働する同社の工場がまず始めたのは、工場全体のネットワークを可視化し、事業リスクを洗い出した上で、優先順位とロードマップを明確にする「OTセキュリティアセスメント」だった。
本記事では、SUMCOがOTセキュリティ推進の第一歩をどのように踏み出したのか、また製造現場を理解する三菱電機がどのような価値を提供したのかを、両社へのインタビューを通して紹介する。
-
株式会社SUMCO
AI推進本部 システム部逸見 利介氏
-
三菱電機株式会社
デジタルイノベーション事業本部
OTセキュリティ事業推進部山本 孝史
24時間の安定稼働が求められる最先端半導体工場
OTセキュリティアセスメントで見えてきた、生産現場を守るセキュリティの在り方とは
――今回OTセキュリティアセスメントを行った工場について教えてください
逸見 私が担当しているのは、佐賀県にある2つの半導体製造工場です。主に300mmシリコンウェーハ関連の生産設備をはじめ、ネットワークやサーバなど、インフラ全般を担当しています。
今回、三菱電機とOTセキュリティアセスメントを実施したのは、比較的新しい工場です。シリコン結晶からインゴットを切り出し、研磨洗浄して出荷するまでの工程を担っています。
この工場は、特に高品質かつ高精度の製品を扱っており、24時間365日稼働しています。昨今のAI需要もあり、高品質なメモリ向け製品の需要は今後さらに増えていくと考えられます。安定生産には継続的なセキュリティ対策が必要と考え、まず昨年、一部のエリアのOTセキュリティアセスメントを実施しました。今年は残るエリアを実施して、工場全体のOTセキュリティアセスメントが完了する予定です。
山本 SUMCOの第一印象は、「情報がきちんと整理されている工場」というものでした。工程ごとに設備は異なるものの、ネットワークアーキテクチャには一定の統一性がありました。ネットワークの基本的な情報がしっかり整備されていたため、全体像を整理・可視化しやすい環境だったことも印象的でした。
また、OTセキュリティアセスメントを実施する際には、現場との調整に苦労するケースも稀にありますが、今回は全くそのようなことはなく、現場の皆様にも非常に協力的に対応いただきました。設備の調査や、リスクが与える事業への影響に関する確認にも真摯でした。両社の各部門がうまく連携しながら進められたことが、短期間で質の高いOTセキュリティアセスメントにつながったと感じています。
必要性には気づいていた。
しかし、何から手を付ければよいのか分からなかった。
――OTセキュリティについての意識の高まりというのは、SUMCOではすでにあったのでしょうか
逸見 OTセキュリティについては、2023年ごろから社内でも取り組まなければならないテーマとして挙がっていました。そういった中で、さまざまな企業からセミナー等で話を聞き、その必要性を強く認識するようになりました。
また、お客様からもセキュリティという言葉で要求されているわけではないですが、生産設備の構成について説明できる状態が求められている、という感覚はあります。
さまざまな事例を調べていく中で、自社の環境と照らし合わせてみると、さらなる対策が必要な部分があることが見えてきました。
危機感という意味では、Purdueモデル※の概念に基づいたOT環境とIT環境の適切な分離ができているか確認する必要性を感じていました。
ただ、実際にそれをどのように確認すればよいかは難しく、具体的な対応方法について整理できていない、という状態でした。
OTセキュリティの対策を進める中で、一番難しかった事は「何から手を付ければいいのか分からない」です。
Purdueモデル：工場やインフラなどの産業用制御システムを機能階層に分け、ネットワークをセグメント化するためのセキュリティ参照フレームワーク
生産を理解した現場目線の提案と、自社工場での経験。
FAをリードする三菱電機だからできる「アセスメントの後をみた提案」とは。
――そのような状態から、OTセキュリティアセスメントのパートナーとして三菱電機を選んだ理由を教えてください
逸見 自社だけで進めるには限界があると考えました。
そこで、当初相談する会社を５社ほど選定し、それぞれに同じ内容で依頼をすすめました。しかし、どの会社も提案の内容にはそれほど差が無く、どこに依頼すべきかに悩みました。
そんな時期に、もともと三菱電機のFA機器を採用しており、その営業の方がきっかけで、三菱電機からもOTセキュリティアセスメントの提案をしていただきました。
工場のセキュリティを相談するにあたって、FA事業も手掛けられており、製造現場というものを理解されているという印象がありました。他社製品も含めたアセスメントも可能と知り、そこがお願いする決め手の一つになりました。
――三菱電機ではどのような経緯で、このOTセキュリティアセスメントという事業を始めたのでしょうか
山本 OTセキュリティアセスメントは、2021年頃から社内工場向けの活動としてスタートし、その後は一部のお客様向けにも実施していました。
OTセキュリティは、「これは絶対に必要になる」という認識が社内にありました。それで、まず自社工場で取り組み、そのノウハウが蓄積されてきた段階で、「社内でできるのであれば、お客様にも提供できるのではないか」と考えるようになりました。
実際、お客様も同じような課題を抱えており、ニーズも高まっていました。そのため2023年に事業として正式に立ち上げたという経緯です。
お客様向けの支援も進め、さらにFA部門とも連携することで、製造の現場にいるお客様に対して、より幅広い提案ができるようになりました。
実際にお客様の現場でお話を伺う中で、OTセキュリティでは「アセスメントを実施した後」が重要ということも分かってきました。
実際にアセスメントを実施しても、次にどこへ何を導入すればよいのか分からない、という課題を抱えているケースが少なくありません。
そのため私たちは、単に評価結果をお渡しするだけでなく、どこに、どのような対策を講じればよいか、までを具体的に提案することを重視しています。
第三者の目を通して初めて実感できた
「これまでの取り組みは間違っていなかった」という安心。
――実際のOTセキュリティアセスメントはどのような手順で行うのでしょうか
山本 今回のSUMCOへのOTセキュリティアセスメントでは、キックオフ後に現場確認を行い、具体的なスケジュールを確定しました。
その後、隔週で定例のリモートミーティングと、必要に応じて現場での確認も行いながら、新たな課題や確認事項について打ち合わせを行いました。
今回まず取り組んだのはネットワーク全体の可視化です。各部門にネットワークの資料は揃っているものの分散しており、全体を見通すことは困難でした。
逸見さんから提供いただいたさまざまな資料から、情報をひとつひとつ整理・統合し、工場全体のネットワークを見渡せるマップを作成しました。
実際のネットワークは非常に大規模ですのでそのままでは全体を把握するのは困難です。そのため、現状の構成は維持しながら、同じ役割を持つ設備を整理・集約し、モデル化を実施しました。
そのモデルを基に「侵入される可能性があるか」「攻撃を受けた場合の被害の規模は」といった攻撃シナリオを検討しています。
さらに、それぞれのシナリオについて、事業への影響度や発生可能性、脆弱性などを総合的に評価し、リスク値を算出しました。
その結果をもとに、優先的に対策すべき項目を整理し、「どこに、どのような対策を講じるべきか」までを具体的に提案するのが、今回実施したアセスメントになります。
単にリスクを洗い出すだけではなく、「実際に起こりえるのか」「起こった場合の事業被害の程度は」といった点から、リスク値の高いものから優先的に対策を提案するよう、心がけています。
また、機器の導入等の技術的対策は、ネットワークのどの部分に何を導入すると効果的かを示し、お客様のセキュリティ対策が止まらないようにしています。
――このOTセキュリティアセスメントの報告を見てどのように感じましたか。
逸見 まず、資料は現場目線だけでなく、経営者目線でも説明がされており、その多角的な視点での資料に驚きましたね。
その一方で、大きな問題が見つからなくて良かった、という安心感がありました。これまで自社で取り組んできたネットワーク構成やセキュリティ対策について、「大きく間違ってはいなかった」ということを第三者の視点で確認できたことは、大きな成果だったと思います。
もちろん改善すべき点はあります。Purdueモデルのような理想的な構成に完全に合わせるのは、現実には簡単ではありません。設定変更なども数多く必要になりますので、現実的には少しずつ理想に近づけていく形になると思います。
現状を可視化する、対策の優先順位をつける、具体的なロードマップを敷く。
対策の道筋を立てて、一歩ずつ進めていくことの重要性。
――OTセキュリティアセスメントの結果をみて、具体的な対策はどのように進んでいるのでしょうか
逸見 実施する方針はすでに決めています。現在の対策が不十分というわけではなく、これまで進めてきた取組みをさらに強化していく、という考え方です。
OTセキュリティアセスメント結果をもとに概算見積りを作成していただきましたので、来年度に必要となる予算規模を社内へ説明できるようになりました。
三菱電機の報告書をベースに、どの対策が工場のどのエリアに対応するのかを明確にし、「どこに、何を導入すればよいのか」といった具体的な対策の全体像が整理されました。予算感や対策内容について、あらかじめ社内でのコンセンサスを得られたことは大きかったですね。
OTセキュリティは”診断”では終わらない。
工場を、ものづくりの現場を知っているからこそ、対策まで提案できる。
――OTセキュリティで想定される生産現場におけるリスクには、どのようなものがありますか
山本 OTセキュリティでは、情報漏洩といったIT寄りの被害だけでなく、設備や生産、さらには人の安全に関わるリスクまで考える必要があります。
例えば、化学薬品を扱う工程では、通常は安全対策や運用ルールが整備されており、危険な状況に陥る可能性はかなり低いと思われがちです。
しかし、万が一、サイバー攻撃を受けて攻撃者が不正な設定変更を行うなど、複数の要因が重なった場合、本来起こりえないはずの動作が発生し、設備トラブルや人身事故につながる可能性は完全にゼロとは言い切れません。
そのため私たちは、発生の確率だけでなく、万一発生した場合の影響まで含めた、事業被害という観点でリスクを評価します。
事故とまではいかなくとも、製品品質に影響が及ぶ場合もあります。こうした事業への影響をリスクシナリオとして整理し、対策案をまとめています。
逸見 こうした内容を整理していただいたことで、やはり対策を進めなければならないという意識がより強くなりました。
会社全体でも、セキュリティに取り組もうという意識が広がったことは良かったと感じています。
対策を入れるだけで終わらない、どう継続していくかが重要。
アセスメントから得られた知見を、今後の設備設計や他工場にも活かしていく。
――OTセキュリティアセスメントが、社内にどのような効果をもたらしたと言えるでしょうか
逸見 今回のプロジェクトを通じて、例えばローカルネットワークの機器構成はどうするべきかなど、ひとつのモデルケースを作ることができたと考えています。
今回アセスメントを行った工場は比較的新しい工場でしたので、ネットワーク構成も比較的整理された状態です。この知見をベースに標準化を進め、今後は他の工場についても横展開することで、導入済みのセキュリティ対策をさらに強化するため、それぞれの工場ごとの重要度を踏まえながら、検討していくことになると思います。
また、将来のセキュリティ対策についてですが、理想としては新しいシステムや設備を導入する際には、個別に検討するのではなくあらかじめセキュリティ対策を組み込んだ状態にしたいと考えています。
山本 私たちとしては、アセスメント後の運用や監視まで含めてご支援したいと考えています。24時間365日稼働する工場では、夜間休日に起こるリスクについても、継続的に監視し、異常があれば迅速に対応する体制が重要です。
しかし、その体制をお客さまだけで構築し運用するのは人的なコストもあり簡単ではありません。
三菱電機では、SOCサービス（Security Operation Center）として、導入した機器をリモートで監視し、異常が検知された際には、そのアラートが本当に対応すべきものなのかを判断し、初動対応をご支援する仕組みを提供しています。
また、AIを活用した監視・分析について検討開発を進めています。異常の兆候をAIが
検知・分析し、人が最終判断を行うような仕組みも、近い将来には実現できると考えています。
ベストを目指すのではなく、ベターを積み重ねていくこと。
そこにセキュリティの本質がある
――まだOTセキュリティに踏み出せていない、何から始めていいか分からない、といった現場も多いと思いますが、そのような企業へ何か伝えたいことはありますか。
逸見 OTセキュリティは、完璧を目指すというより、現実的に実現できる最善策を積み重ねていくことが重要だと考えています。
そのためには、社内の関係部署、現場の協力、そして信頼できる外部のパートナーとともに、いま現状がどうなっているか、優先すべきは何か、ということを明確にすることが第一だと思います。
山本 お客様からは、最初からアセスメントのご相談をいただくケースだけでなく、製品紹介やセミナーなどをきっかけに、個々の製品や課題のご相談から、その中で、実はアセスメントも必要ではないか、というお話になりご支援につながるケースも多いです。
私たちは、生産現場をよく知るFA製品側と連携し、実際に現場で使える提案と、さらにその先の提案を常に考えています。
