ショップフロアネットワークのセキュリティ評価：備えはできていますか？

最優先事項ではないかもしれませんが、職業訓練校や中堅メーカーは、特に軍需・防衛部品を製造する場合、IT/OTサイバーセキュリティについて真剣に考える必要があります。規制はすでに存在します。貴社の準備はできていますか？

最新の工作機械や工具技術（5軸機など）を導入し、見習いや新人機械技術者を採用・育成し、部品を生産し、メンテナンススケジュールを管理するだけで十分でしょうか？ スマートセンサーやインターネットベースのインフラがショップフロアの従業員によって使用されるようになった今、ほとんどのショップの機械内外や制御室には大量のテクノロジーが存在しています。

セキュリティ管理は今や現実的な課題であり、すべてのシステムと従業員の行動を管理することを含みます。防衛産業向けに部品を製造するショップにとって、セキュリティはビジネスに実質的な影響を与える最優先のコンプライアンス課題です。

「現実的な問題として、中小規模メーカーはフル稼働で受注が入り、最大の課題は人材の確保と定着です。これが製品を出荷する上での最大の制約になっています。メーカーが日々直面する数々の意思決定の中で、サイバーセキュリティはレーダーの外にあります」と、ミシガン製造技術センターのビジネス運営担当副社長、エリオット・フォーサイス氏は『Advanced Manufacturing』誌の記事で語っています。

業界の内部関係者に、今日の製造業におけるセキュリティの現状と今後の方向性について話を聞きました。

産業サイバー攻撃：データ漏洩、サイバー諜報活動など

インターネットはビジネスにとって素晴らしいツールであり恩恵です。しかし同時に、詐欺、身代金要求、窃盗、システム操作が頻繁に発生する犯罪の温床でもあります。

製造業もセキュリティ問題から免れていません。石油・ガスや、電力・原子力発電所などの重要インフラ分野もセキュリティ強化を迫られています。2018年には、サウジアラビアの石油化学企業が操業妨害と爆発を目的としてハッキングされる事態が発生しました。

これは極端な事例ですが、起こり得ることです。大半のセキュリティインシデントは、金融情報と知的財産を標的としています。

「非常に脆弱な状態です」と、Verve Industrial ProtectionのCEO、ジョン・リビングストン氏は言います。「多くのメーカーは問題を認識していないか、社内に対処するリソースがありません。一方で多くの企業がクラウドサービスに依存し、もう一方でパッチが適用されていない古いOSを環境で使用しています」

Verizonの「2019年データ漏洩調査レポート」（年次で最も包括的な研究の一つ）によると、2018年に製造業で352件のセキュリティインシデントが発生し、うち87件でデータ漏洩が確認されました。

「2年連続で、金銭的動機の攻撃が製造業における侵害の主因としてサイバー諜報を上回り、今年はその差がより顕著です（40%の差）」とレポート著者らは結論づけています。「他の業界であれば、金銭が大半の攻撃の動機であるため特筆すべきことではありません。しかし、製造業は過去数年間、他の業界よりも高いレベルの諜報関連侵害を経験してきました」

ピーク生産と部品製造が目標なら、テクノロジーが企業の目標達成に中心的な役割を果たしていることは疑いありません。正確な機械情報の収集と監視は、最高のパフォーマンスを得るためにより重要になっています。

職業訓練校はしばしばインターネットに接続されており、従業員が使用するメール、Webサイト、モバイルアプリなどすべてが、攻撃者が従業員や企業の情報、知的財産にアクセスするための入り口となり得ます。これには、競合他社に知られたくないOEMの部品仕様ライブラリや、他国に知られたくない政府機密情報などが含まれます。

「メーカーは自社業務のリスクアセスメントを実施すべきです」と、全米製造サイバーセキュリティセンターの戦略アドバイザー、コウシク・スブラマニアン氏は『Advanced Manufacturing』誌の記事で述べています。「リスクは技術的なもの（機械、制御装置、ソフトウェアに潜む）であり、人員、慣行、プロセスにも潜みます。リスクは多様な形を取りますが、最も一般的なのは、最も弱いリンクである『人』を悪用してシステムに侵入しようとするサイバー攻撃です。それがフィッシングやランサムウェアが流行し、攻撃が増加傾向にある理由です」

中小規模ショップでは、コンピュータ管理を外部IT企業（「IT」企業）に委託することが多いです。中堅・大手メーカーでは、社内ITスタッフと複雑な技術課題への外部支援を組み合わせたハイブリッド体制を取ることがあります。

「業界の大半はこの認識フェーズを通過中です」とリビングストン氏。「問題があると理解し始めています。しかし、『これまでインターネットベースのインフラとして管理されたことのない世界を、どう把握すればいいのか？』と自問しています」

技術的な質問がありますか？ MSCメタルワーキングテックチームにフォーラムで質問してください。

変革の推進要因：規格、州の資金援助、サードパーティサービス

米国国立標準技術研究所（NIST）は、重要インフラを規制し、航空宇宙・防衛産業のルールを定める機関です。2016年、NISTは「非連邦システムおよび組織における管理対象非機密情報の保護」に関するルールを含むSP 800-171を公表しました。

この規格には、OEMやあらゆる規模の防衛下請け企業に影響を与える厳格なセキュリティ管理が含まれます。準拠していなければ、入札に参加できない可能性が高いです。

「重要インフラ以外のほとんどのメーカーにとって、セキュリティ問題による1日の生産損失は国家緊急事態ではありませんが、収益を圧迫します」と、Paperless PartsのCTO、スコット・ソーヤー氏は言います。「真に影響が出ているのは知的財産の分野です。国防総省はこの領域を極めて重視しています」

あらゆる規模のメーカーに影響を及ぼしています。

「従業員100〜200人の企業でも苦労しています」とソーヤー氏。「突然、コンプライアンス対応をどう進めるかを考えなければなりません」

企業はどう対処しているのでしょうか？ 防衛産業との契約維持や新規獲得を目指す企業の中には、コンサルタントを招き、セキュリティプログラムを導入するところもあります。州や地域経済は、こうした規制によって悪影響を受ける可能性があります。コストがかかるためです。そこで、製造延長パートナーシップ（MEP）を通じて、企業がセキュリティ規格に準拠できるよう資金援助を行う組織もあります。

国防総省の取り組みとNISTについて詳しくは、この動画をご覧ください。

セキュリティ問題に取り組んでいる企業にとっては朗報ですが、ほとんどのメーカーはまだ暗中模索です。特に中小規模ショップでは、とソーヤー氏は説明します。

「誤った安心感を持っているケースがあります。『自分たちは小規模で田舎にあり、従業員も少なく、マーケティングも控えめだから標的にされない』と考えるのです。しかし、それがまさに標的にされやすい要因になり得ます。ロッキード・マーチン、レイセオン、ノースロップ・グラマンのような大手より、セキュリティ対策が不十分だから狙われやすいのです」

大手企業は標的になりやすい一方で、機密仕様や物理セキュリティの取り扱いにはるかに洗練されています、とソーヤー氏は説明します。同氏は製造業に移る前、数年間防衛産業で働いていました。

防衛企業は、工場を出たら仕事の話をしないよう従業員を教育します。多くの企業では、退社時に身分証を見えないようにするよう指示します。しかし、こうした努力でも、意欲的な攻撃者が重要な知的財産に到達するのを完全に防げてはいません。

「アメリカの製造業を信じ、愛国心を持つなら、その一環として情報セキュリティにも関心を持つべきです」とソーヤー氏。

貴社のショップでは現在、セキュリティをどう対応していますか？ 対策を強化中ですか、それとも「知らぬが仏」モードですか？ フォーラムで議論しましょう。[要登録]