スマート工場のセキュリティリスクとは
スマート工場（Smart Factory）は、IoTセンサー、AI、クラウド、ロボティクスを活用して生産工程をデジタル化・自動化した次世代の工場です。しかし、従来は閉じたネットワーク（エアギャップ）で運用されていた制御システム（OT: Operational Technology）がインターネットやクラウドに接続されることで、新たなサイバーセキュリティリスクが発生しています。
製造業を標的としたランサムウェア攻撃や、サプライチェーン経由の侵入事例が世界的に増加しており、OT/IT統合環境のセキュリティ確保は製造業の経営課題となっています。
IPA調査報告書の概要
IPA（情報処理推進機構）は2022年7月に「スマート工場のセキュリティリスク分析調査」報告書を公開し、2024年10月に第2版を公開しました。
| 項目 | 第1版（2022年） | 第2版（2024年） |
|---|---|---|
| 分析対象 | IoT機器（LPWA、エッジコンピューティング等）を利用したスマート工場 | 第1版を更新し、最新の脅威動向と攻撃事例を反映 |
| 分析手法 | 事業被害ベースのリスク分析 | 同左＋攻撃シナリオの精緻化 |
| 主な内容 | 脅威の特定、リスク分析、対策案 | 攻撃事例の追加、対策優先度の明確化 |
報告書では、スマート工場のシステム構成をモデル化し、想定される脅威と攻撃シナリオを体系的に分析しています。
主要な脅威シナリオ
| 脅威シナリオ | 攻撃経路 | 想定される被害 |
|---|---|---|
| ランサムウェアによる生産停止 | IT系ネットワーク経由でOTに侵入、制御システムを暗号化 | 生産ラインの全面停止、身代金要求、納期遅延 |
| IoTセンサーの改ざん | IoTセンサーの脆弱性を突いてデータを改ざん | 品質異常の見逃し、不良品の出荷、製品リコール |
| リモートアクセス経由の侵入 | 保守用リモートアクセス（VPN等）の脆弱性を悪用 | 制御システムの不正操作、設定変更 |
| サプライチェーン攻撃 | 取引先・委託先のシステム経由で侵入 | 設計データ・生産技術の窃取、サプライチェーン全体への波及 |
| クラウド接続の悪用 | クラウドに送信されるデータの傍受、クラウド管理画面への不正アクセス | 生産データの漏洩、リモート制御の乗っ取り |
IoT機器のリスク
スマート工場では大量のIoT機器（センサー、ゲートウェイ、エッジデバイス等）が稼働しており、これらが新たな攻撃面（アタックサーフェス）を形成します。
| IoT機器のリスク | 内容 |
|---|---|
| 脆弱なファームウェア | パッチ未適用、デフォルト認証情報のまま運用されるデバイスが多い |
| 通信の非暗号化 | LPWA等の省電力通信では暗号化が不十分な場合がある |
| 長期運用 | 工場のIoT機器は10年以上使用されるケースがあり、サポート終了後も稼働 |
| 物理アクセス | 工場内に設置されたセンサーへの物理的なアクセスが比較的容易 |
| 可視性の欠如 | IT部門が把握していないシャドーIoTデバイスの存在 |
推奨される対策
| 対策領域 | 具体的な対策 |
|---|---|
| ネットワーク分離 | IT系とOT系のネットワークを物理的または論理的に分離（DMZの設置） |
| リモートアクセス管理 | 保守用リモートアクセスにMFAを必須化、VPN機器の脆弱性管理を徹底 |
| 資産管理 | OT環境のすべてのデバイス（PLC、HMI、IoTセンサー等）の資産台帳を整備 |
| パッチ管理 | OTデバイスの脆弱性情報を継続的に収集し、適用可能なパッチを計画的に適用 |
| 監視・検知 | OTネットワークの異常通信を監視するためのOT-IDS/IPSの導入 |
| バックアップ | 制御システムの構成情報・プログラムのバックアップをオフラインで保管 |
| インシデント対応 | OT環境を含むインシデント対応計画の策定と年次訓練 |
| 従業員教育 | 製造現場の従業員にもサイバーセキュリティ教育を実施 |
対策フレームワーク
スマート工場のセキュリティ対策を体系的に進めるために、以下のフレームワークが参照できます。
| フレームワーク | 発行者 | 概要 |
|---|---|---|
| IEC 62443 | IEC | 産業用オートメーション・制御システムのセキュリティに関する国際規格 |
| NIST SP 800-82 | NIST | 産業制御システム（ICS）セキュリティガイド |
| CISA CPGs | CISA | 重要インフラ向けサイバーセキュリティパフォーマンス目標（→ CISA CPGs解説） |
| 経産省 工場セキュリティガイドライン | 経済産業省 | 工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン |
まとめ
スマート工場ではOT/IT統合とIoT機器の大量導入により、ランサムウェア、IoTセンサー改ざん、リモートアクセス侵入などの新たなサイバーリスクが発生しています。ネットワーク分離、資産管理、リモートアクセスのMFA化、OT監視の導入が最優先の対策です。