2020年、Honda（本田技研工業）はランサムウェアの被害を受け、複数の海外工場で生産が停止しました。2022年には、トヨタ自動車の取引先である小島プレス工業がサイバー攻撃を受けたことで、トヨタグループの国内全14工場・28ラインが一時停止する事態となりました。
いずれの事例にも共通するのは、「自社（あるいは取引先）のどこに、どのような資産があり、どこと繋がっているのか」を十分に把握できていなかったことが、被害拡大の背景にあったという点です。
本記事では、IPA（情報処理推進機構）が公開している「制御システムのセキュリティリスク分析ガイド 第2版」をベースに、リスク分析の出発点である「資産把握」の重要性を整理します。あわせて、脅威を具体的に把握するための枠組みとして、MITRE ATT&CK for ICSの活用方法についても紹介します。
制御システムのセキュリティリスク分析ガイドとは
IPAは2008年頃から制御システムのセキュリティ対応状況の調査を進め、IEC 62443の普及活動などに取り組んできました。その一環として策定されたのが「制御システムのセキュリティリスク分析ガイドです。
このガイドは、リスクアセスメント（リスク特定・リスク分析・リスク評価）のうち、中心的な作業であるリスク分析にフォーカスした実践的な手引きです。事業者自身が自社の制御システムに対してリスクアセスメントを実施できるようになることを目的としており、以下の2種類の詳細リスク分析手法が紹介されています。
- 資産ベースのリスク分析：制御システムを構成する機器やネットワークといった「資産」を基点に、想定される脅威と脆弱性を評価する手法
- 事業被害ベースのリスク分析：事業に重大な影響を与えるシナリオを起点に、そこに至る経路を分析する手法
今回は、この2手法のうち「資産ベースのリスク分析」の土台となる、資産把握という工程に焦点を当てます。
資産把握の重要性
資産ベースのリスク分析は、まず自社の制御システムを構成する資産を洗い出すところから始まります。PLCやHMI、エンジニアリングワークステーションといった制御機器はもちろん、それらを接続するネットワーク構成、外部との接続点まで含めて可視化することが出発点です。
一見当たり前のようですが、実際の製造現場では、稼働年数の長いレガシー機器や、現場担当者の判断で後から追加されたネットワーク機器などが、正式な資産台帳に反映されていないケースが少なくありません。こうした「見えていない資産」や「把握されていない接続点」こそが、攻撃の起点になりやすいのです。
資産管理表のイメージ
IPAガイドの考え方に沿うと、資産管理表にはおおよそ以下のような項目を整理します。
| 資産ID | 資産名 | 種別 | 設置場所 | ネットワーク接続 | 管理責任者 |
|---|---|---|---|---|---|
| A-001 | 生産ライン用PLC | 制御機器 | 第1工場ライン3 | 工場内LAN | 生産技術部 |
| A-002 | HMI端末 | 監視端末 | 第1工場ライン3 | 工場内LAN | 生産技術部 |
| A-003 | エンジニアリングPC | 保守用端末 | 中央制御室 | 工場LAN／保守用リモート接続 | 情報システム部 |
| A-004 | 取引接続用ゲートウェイ | 境界機器 | 中央制御室 | 社外（取引先）接続 | 情報システム部 |
こうして一覧化することで、「どの資産が外部と接続しているか」「誰が責任を持って管理しているか」が明確になり、次のステップである脅威・脆弱性の評価が初めて可能になります。
Honda事例に見る資産把握の課題
Honda事例では、2020年6月にICSのプロセスを認識する機能を持つランサムウェア「EKANS（別名SNAKE）」の被害を受け、北米・トルコ・ブラジルなど複数拠点の生産が一時停止しました。同社の内部ネットワーク名を宛先としたドメイン照会が組み込まれていたとされ、グローバルに広がる社内ネットワークの構成そのものが攻撃対象として利用されたことがうかがえます。世界各国の拠点を横断する広範なネットワークの中で、どの拠点のどの資産がどこまで接続されているかを一元的に把握することの難しさが、この事例の背景にあると考えられます。
小島プレス工業の事例に見る境界資産の把握不足
一方、2022年の小島プレス工業の事例は、自社ではなく取引先が起点となった点が特徴的です。同社のファイルサーバーでウイルス感染と脅迫メッセージが確認されたことを受け、取引先であるトヨタ自動車は国内全14工場・28ラインの稼働を停止する判断を下しました。
この事例が示すのは、資産把握の範囲を自社内だけに閉じてはいけないということです。取引先との接続点（ゲートウェイやVPN機器など）も立派な「資産」であり、そこにどのようなセキュリティ対策が施されているかは、自社の生産継続性に直結します。サプライチェーン全体を見渡した資産把握の必要性を、この事例は強く示しています。
脅威把握へのMITRE ATT&CKの活用
資産を洗い出したら、次に「その資産に対してどのような脅威が想定されるか」を具体化する必要があります。IPAガイドでも脅威（攻撃手法）の例が紹介されていますが、日々変化する攻撃手口を継続的に追いかけるうえで役立つのが、MITRE ATT&CK for ICSです。
MITRE ATT&CKは、攻撃者が使う戦術（Tactics）と技術（Techniques）を体系的に整理したナレッジベースで、ICS版では制御システムを狙った攻撃に特化した技術が収録されています。IEC 62443やIPAガイドが「対策すべき枠組み」を示すのに対し、ATT&CKは「実際にどう攻められるか」を具体的な技術レベルで示してくれる点に違いがあります。両者を組み合わせることで、資産ごとに想定すべき脅威をより現実的に描けるようになります。
ATT&CKマトリクス（抜粋）のイメージ
Honda・小島プレス両事例に関連する戦術を抜粋すると、以下のように整理できます。
| 戦術 | 該当する技術の例 |
|---|---|
| 初期侵害（Initial Access） | 外部リモートサービスの悪用、取引先ネットワーク経由の侵入 |
| 実行（Execution） | 悪意あるスクリプト・実行ファイルの起動 |
| 防御回避（Evasion） | 特定のホスト名・ドメインを確認してから動作するなどの検知回避 |
| 水平展開（Lateral Movement） | 社内ネットワークを介した他拠点・他システムへの拡散 |
| 影響（Impact） | データの暗号化による生産システムの停止 |
Honda事例の攻撃フロー（イメージ）
- 侵入経路ー外部から社内ネットワークへ侵入
- 初期侵害ー社内ネットワークへのアクセス確立
- 防御回避ー内部ドメイン名を確認し、Honda環境であることを特定してから動作
- 実行ーEKANS（ランサムウェア）を起動
- 水平展開ーグローバル拠点のネットワークへ拡散
- 影響ー北米・トルコ・ブラジル等、複数拠点で生産停止
小島プレス工業事例の攻撃フロー（イメージ）
- 侵入経路ー取引先ネットワーク（小島プレス工業）経由での侵入
- 初期侵害ー小島プレス工業のファイルサーバーへの侵入
- 実行ーウイルス感染、脅迫メッセージの表示
- 波及ートヨタ側の境界資産（取引先接続点）を介してリスクが顕在化
- 影響ートヨタグループ国内全14工場・28ラインの稼働停止
こうしてフロー図に落とし込むと、Hondaは自社ネットワーク内での侵害拡大が中心であるのに対し、小島プレス工業の事例は取引先との境界を越えて影響が波及した点で、攻撃の性質が異なることが視覚的にも理解しやすくなります。
資産把握と脅威把握の関係性
ここまで見てきたように、資産把握と脅威把握は切り離せない関係にあります。資産を洗い出していなければ、そもそも「どこにどんな脅威が及び得るのか」を評価する土台がありません。逆に、脅威の知識だけを増やしても、自社のどの資産がその脅威にさらされているかが分からなければ、対策の優先順位をつけることはできません。
Honda事例は「自社内の資産・ネットワーク構成の把握」の重要性を、小島プレス工業の事例は「取引先を含めた境界資産の把握」の重要性を、それぞれ異なる角度から教えてくれます。IEC 62443が掲げるゾーニングの考え方も、突き詰めれば「何が資産で、どこに境界を引くか」を明確にすることが前提になっています。
まとめ
制御システムのセキュリティリスク分析は、いきなり高度な脅威分析から始める必要はありません。まずはIPAガイドが示す通り、自社の制御システムを構成する資産を一つひとつ洗い出し、可視化することが出発点です。そのうえで、MITRE ATT&CKのような枠組みを活用して脅威を具体化していくことで、限られた人員・予算の中でも効果的なリスク低減につなげることができます。
Honda・小島プレス工業、どちらの事例も、決して「対岸の火事」ではありません。自社の資産管理表は、いま何行埋まっているでしょうか。まずはそこから見直してみてはいかがでしょうか。
コメント