IIoT×ゼロトラスト：新たなセキュリティ対策の考え方とは？
すべての通信アクセスやログに対応するゼロトラスト
IoT（Internet of Things）によってすべてのデバイスがつながり、デジタルトランスフォーメーション（DX）が加速する中で、サイバー攻撃や情報漏洩などのリスクが増大しています。特に、工場などの装置を運用・制御するOT（Operational Technology）システムでは、システムの破壊・破損、製造ラインの停止・故障、制御データやパラメーターの改ざんなど、深刻な被害が生じることが危惧されています。今回は、こうしたセキュリティ上のさまざまなリスクと共に、セキュリティ対策の新たな考え方である「ゼロトラスト」について解説します。
IT専門調査会社IDC Japanが2020年4月に発表した「IIoT/OTシステムのセキュリティ対策に関する実態調査」によると、「加工組立製造」や「プロセス製造」などの製造業において、セキュリティに関して「事件・事故が発生したことがある」と回答した企業は30％以上。「事件・事故にはならなかったが危険を感じたことがある」と回答した企業も同様に30％以上でした。事件・事故は外部ネットワークとの接続部分で最も多いことから、工場などの内部システムがクラウドなどの外部ネットワークにつながることでサイバー攻撃のリスクが高まっていると分析しています。
そうした中で、ITネットワークに対する安全なシステムの考え方として「ゼロトラスト」というコンセプトが注目を集めています。ゼロトラストとは、従来のセキュリティ原則であった「ネットワークの内側は安全であり、守るべきは外部との境界」という「境界防衛モデル」の考え方をやめて、「すべての通信アクセス・トラフィックが信頼できないことを前提にセキュリティ対応する」というアプローチを意味します。
一般的なITシステムのセキュリティ対策では、ファイアウォールやIPS/IDS（侵入検知・防御システム）などでネットワークの境界を監視する手法などが主流でした。それに対して、ゼロトラストのコンセプトのもとに構築されるシステム構造「ゼロトラストアーキテクチャ」では、こうした境界監視型のセキュリティ対策は不十分とされ、「通信アクセスすべての可視化・検証」「すべてのログの記録」「ソフトウェアによる境界の構築・集中制御」「デバイスごとの境界管理」などが重要視されています。
実証実験によって判明したスマート工場に潜むセキュリティリスク
ところで、ITとOTではシステム構築の考え方が異なり、ITのセキュリティ対策をそのままOTに適用することは現実的ではないという考え方があります。ITの世界で資産となるのは主に「情報」であり、その漏洩や書き換えなどを防ぐことが最優先です。一方、OTでは「安全性」が重視されます。サイバー攻撃などによって機械の誤作動などの物理的損失を被るだけでなく、人命に影響が生じる可能性があるからです。そうした性質の違いも踏まえ、IIoTに最適化されたゼロトラストアーキテクチャの検討が続いています。
コンピュータ・インターネット用セキュリティ製品の開発・販売大手企業は、最新ハードウェアの造詣が深いイタリア・ミラノ工科大学と共同で、工場のスマート化に伴う新たなセキュリティリスクの実証実験を行い、その結果を2020年5月に発表しました。実証実験では、サイバー攻撃の影響で製造物に損害が及んだり、生産ラインが停止に追い込まれたりするリスクが確認されました。さらに、製造工程の実行管理を担うMES（製造実行システム）に蓄積される製造・設計データも改ざんされることや、機械制御装置を動かすロジックが変更され、生産ラインを停止せざるを得なくなることなどがわかりました。
実験結果を踏まえて同社は、工場のスマート化に伴い、ソフトウェアのサプライチェーンが複雑さを増し、多くの開発者・企業が関わっていることのリスクを指摘。あらゆる工場の侵入経路におけるセキュリティ体制を疑い、侵入されることを前提とした対策を打つゼロトラストの重要性を訴えています。そうした意識は世界的に浸透しつつあり、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2020年12月、IoT機器・ネットワーク接続機器に広く使われている米国企業製プログラム群に、攻撃者によって「任意のコード実行」「サービス拒否（DoS）状態」「範囲外のメモリ読み取り」などの重大被害が引き起こされる脆弱性があることを報告し、対応策などを公表しました。
今後、工場などの生産現場におけるセキュリティリスク対策をどのように構築するか。IoTやDXが加速する今、情報だけでなく、物理的損失も防ぐ対策が求められています。
[PR]村田製作所の通信モジュール
ムラタの通信モジュールは、無線化に必要な専門知識を最小限に抑え、無線通信デバイスの開発と認証を容易に行えるように設計されています。それにより幅広い用途の無線化を実現します。
詳細はこちら：
https://www.murata.com/ja-jp/products/connectivitymodule