IoT化で高まるサイバーリスク

公共インフラを標的としたサイバー攻撃は今後あらゆるモノがネットにつながる「IoT」化が進むにつれて、より一層増加することが予測される。
事業運営に関わる重要システムがインターネットを介して外部とつながっている事例として、鉄道・航空などの輸送事業者が手掛ける運行・運航案内、座席予約などのウェブサービスがある。これらは情報系システムに分類されるが、鉄道ではダイヤを管理する運行管理システム、航空では運航系データを管理する運航管理システムなどの制御系システムと直接または間接的に連携しており、標的型攻撃を受ける可能性を高める。

また、列車を制御する自動列車制御装置（ATC）と地上装置間のデータ授受や航空機から発信する位置情報を航空管制システムが受信する際に無線技術が多用されており、これらの通信がハッキングされた場合には人命にかかわる大事故につながる恐れがある。
電力事業ではIT（情報技術）を組み込んだスマートメーターが家庭に設置され、送電・発電事業会社のネットワークとつながっており、これが攻撃口となってデータの改ざんや停電を引き起こすリスクが考えられる。ガス業界でも同様の取組みが進んでいる。
石油・水道などの事業では、プラント設備の保全対策の目的から設備異常の予兆を分析・検知するクラウドサービスなどが登場し、直接プラント設備とインターネットがつながることで外部から攻撃を受けるリスクが高まる。その場合、バルブやアクチュエーター（駆動部品）といった計測・制御機器が不正操作され、最悪の事態として爆発を誘発するなど大惨事を招くことも考えられる。
制御系システムは汎用技術を採用する際に常にサイバーリスクを考える必要がある。この場合、システム更新のサイクルが10年以上の長期であること、可用性（継続的な安定稼働）が最優先され再起動が許容されないことを考えると、情報系システムのセキュリティ対策をそのまま適用できない点に注意が必要である。

これまで生産の効率化から制御系と情報系ネットワークをつなぐ場合のリスクが課題となり、そのリスク対策が制御系システムセキュリティの国際規格などで示されてきた。しかし、制御系システムなどのOT（制御技術）環境をインターネットに直接つなぐための指針やガイドラインはまだ整備されていない。
システムに直接対策を講じるのではなく多層防御の観点から、ネットワークや組織プロセスなどで設備を防護し、影響を極力抑える試みが求められる。

日経産業新聞　2019年4月18日掲載（一部加筆・修正しています）。この記事の掲載については、日本経済新聞社の許諾を得ています。無断での複写・転載は禁じます。

KPMGコンサルティング
マネジャー　新井 保廣