昨今、サイバー攻撃などによりOperational Technology（OT）システムが狙われることが増えており、そのセキュリティ対策が急務だと言われている。Information Technology （IT）とは担当者、システム、機器が異なるため、OTセキュリティは後手に回る傾向があるが、どのようなアプローチを採るべきか。

5月17日に開催された「TECH+セミナー セキュリティ 2024 May.製造業×OTセキュリティ システムアーキテクチャの変化に伴う、セキュリティの在り方を再考する」に、東京大学 大学院 情報理工学系研究科 教授の江崎浩氏が登壇。デジタル田園都市構想におけるOTのセキュリティについて、5つのポイントから話した。

サイロを脱却し、水平統合型へ

1つ目のポイントは「De-Silo-ing」だ。これまでのサイロ構造のシステムを、ゼロトラストに基づいて変えていくことである。

「生き残るため、攻めるためにITとOTの間にあった壁を壊さなければならない」と江崎氏は話す。そのためには、これまでの垂直統合型の閉域システムではデータ連携が難しい。この問題は新しいものではなく、過去にはビックデータ解析の障害となった。現在でもDX、そしてAIを阻む要因になっている。

そこでハードウエアとソフトウエアを分離した水平統合型のモデルに移行する必要がある。IoTがモノ（Things）であるのに対し、ファンクション（F）のIoFに変わる必要があるのだ。「そのためには、既得権益を持っているベンダー、SIerとの綱引きが求められる」と同氏は続ける。

「攻めるための守りをしっかりつくる。これを工場の中で考えなければなりません」（江崎氏）

そこに向けたアプローチが、2つ目のポイントである「4方（至宝）良し」だ。

具体的には、デジタル化により脱炭素が進む、新しい価値の創造、組織の強靱化、時間と資源の無駄を削減するという4つになる。

これは、日本政府が2018年に政府系情報システム構築で方針とした”クラウド・バイ・デフォルト（Cloud by Default）”のシナリオで実現できるメリットでもある。中でも江崎氏が特に重要だと強調するのが、BCP（事業継続計画）だ。クラウド・バイ・デフォルトを実装することは自然災害とサイバー攻撃に対するBCPの拡充というメリットを生む。

ここで江崎氏はセキュリティに対する考え方として、日本インターネットガバナンス会議が2016年に公開した「セキュリティに対する考え方」で定めた10の考え方を示した。特に4番目の「『過保護』は、かえってリスクを増大させる」、10番目の「まずは自助、次に共助、最後に公助」が重要だと言う。

  • 日本インターネットガバナンス会議による「セキュリティに対する考え方」

「自助とは地理的・物理的に自律・分散、共助とはステークホルダー間でのコミュニケーションや連携と競合、事業者間の協力関係、公助とは政府・自治体との連携」としながら、「この順番を間違えると大変なことになる」と警告した。

「現場が自助と公助で守っているところでインシデントが発生した場合、どのようにリスク管理をするのかを事前につくっておくことが重要です」（江崎氏）

IoFでサイバーファーストへ、セキュリティはゼロトラストへ

具体的な策となるのが、3つ目のポイント、IoFとAIとデータの掛け合わせだ。「工場の中で発生するデータとAIを掛け算してOTを守っていく」と同氏は説明する。

ハードウエアとソフトウエアの分離によりソフトウエアファーストに、そしてネットワーク化が加わったことで、サイバーファーストの世界に入りつつある。これを江崎氏は携帯電話業界で起こったガラケーからスマホへの変化に例えながら、「新しい形態でのシステム設計と実装、そして運用に変わらなければならない」と話した。そこでの新しい前提となるのが「地球上を動き回れる」「アップデートとアップグレード」「背後には賢い人工知能」だという。

4つ目のポイントは「クライアントサーバー（CS）とピア・ツー・ピア（P2P）の振り子」だ。クラウドは中央にあるデータセンターでデータを処理し、工場の中には工場のシステム（IT）があり、フロントエンドでロボットが動くOTがある3層構造が、現在の工場のシステムである。

そこからロボットがAIで動く時代に向かいつつあるが、そこではロボット同士のやりとりが生じるようになる。そのため、遅延は許されない。また、データの機密性、ネットワーク障害へのレジリエンスの点からも、「中央集権型から再び分散型に振り子の針が向かっている」と江崎氏は述べる。

そうなるとセキュリティも変わってくる。IoT、IoF時代のOTシステムに対するセキュリティ対策として求められているのが、ゼロトラストだ。

「先端産業においては、ゼロトラストベースでサイバーセキュリティができていないと危険という認識がされています」（江崎氏）

ここで江崎氏は、自身が2018年に取り組んだ「第5期総合科学技術基本計画」を紹介した。その中のSociety 5.0で重視すべき課題として、「セキュリティ品質の実現が欠かせない」「セキュリティ・バイ・デザインの考え方をもつ」「セキュリティオペレーションセンター（SoC）の整備」などが挙がっている。また、デジタル庁が示す「アーキテクチャの前提条件」では、ゼロトラストを前提につくっていくと明記されていることも紹介した。

  • デジタル庁による「アーキテクチャの前提条件」

買う側が変わるしかない、台湾TSMCの事例

最後のポイントはサイバーセキュリティガイドラインだ。

江崎氏は「OT産業の商習慣として独自技術なので安全だという主張があるが、デジタル化が必須になるオープンな技術がどんどんロボットに入ってきている。アップデートはしない・できない状況にあり、簡単にハッキングできる状態にある」とした上で、囲い込もうとするベンダーに対して、「買う側が変わるしかない」と述べた。

そこで同氏が取り上げたのが、台湾の半導体企業TSMCの事例だ。

TSMCは数年前、ランサムウエアにより年間売上の5%を失うという大きな被害を受けた。これをきっかけに、半導体産業のサイバーセキュリティ仕様・SEMI（Specification for Cybersecurity of Fab Equipment）台湾地区で「SEMI E187」というサイバーセキュリティ規格を策定し、2023年8月よりこれを調達可能企業の条件にした。つまり、全体のサイバーセキュリティガバナンスができていない企業からは調達しないということだ。

「買う側が納入するベンダーに要求をしっかり出し、満足できなければ買わないといったことを業界全体としてやっていかなければなりません」（江崎氏）

江崎氏が手掛ける「東大グリーンICTプロジェクト」では、「オープン調達への提言」として、「相互接続性（De-Silo-ing）」「外部との接続を前提（Security by Design）」「調達のオープン化」「ライフタイムコスト」「オーナー主導へ」などを示しているという。

国の対策としては、製品・サービス、システム、会社・組織と3段階/レベルのラベリングを進めている。製品・サービスではIoT製品に対するセキュリティ適合性、システムでは工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン、会社・組織ではサプライチェーンサイバーセキュリティ成熟モデルとなる。IoT製品に対するセキュリティ適合性制度は2024年秋から正式スタートするそうだ。

さらに江崎氏は、経済産業省の産業サイバーセキュリティ研究会の取り組みも紹介した。ビル、電力、宇宙産業、工場などに向けたサイバーセキュリティのガイドラインで、OTについては「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」があると話す。

同氏は最後に、「デジタル化により効率を上げ、かつ創造的な活動をするためにはAIとデータの連携、そのネットワーキング化が必要だが、工場ではなかなか進んでいない」と述べ、ガイドラインを活用しながらOTセキュリティを進めてメリットを得るよう提言した。