連日の「深刻な脆弱性」の報道から何を得て、情報をいかに咀嚼していくべきなのか（2/3 ページ）

　その中で課題となるのが「セキュリティ」だ。一切インターネットに接続しなければ安全は保てるだろうが、効率の向上は見込めない。「米国やヨーロッパでは、『つながないとこれ以上のカイゼンはできない。だからこそ高度なセキュリティを実現しなくてはならない』という考え方が主流になっている。『Shodan』で検索すると、日本ではつないでいる機器が少ないせいか『真っ暗』な状態だが、日本でもこうした取り組みを進めるべきではないか」（チョンチャナ氏）

　では、OTをネットワークにつなぐと、どのような脅威が考えられるだろうか。実は、ウイルス感染によって工場のオペレーションが影響を受けるセキュリティインシデントは、古くは1980年代から発生していた。ただ多くは「Conficker」のようにワーム感染によってITシステムのネットワーク帯域が圧迫され、稼働に影響が生じるという形だったという。「しかしStuxnetの出現によって状況は変わった。OTの脆弱性を突き、物理的な被害をもたらす恐れが出てきた。これを踏まえて『何をしなくてはならないか』という議論が始まった」（チョンチャナ氏）

　OTの場合、たとえ脆弱性を修正するためのパッチ適用という形であっても、システムに何らかの変更を加えると停止してしまい、億単位の損害が生じる恐れがある。それだけの損害を引き受け、パッチ適用の責任を取れる人はまずいないが、仮に脆弱性を突かれて何かインシデントが起こっても大規模な被害が生じる。ならば、セキュリティ対策に数千万支払ってもいいと考える会社も増えている。GEもそんなポジティブな会社の1つだ。

　では、GEではどんな対策を取っているのだろうか。「OTである以上、何はともあれ機械を止めるわけにはいかない。そこで、入口、前側を固める対策よりも、もっと後ろの部分に目を向けている」とチョンチャナ氏は述べた。

　「インシデントが起きてもできるだけ早く対応できるように、自分たちの持っているデバイスがどんなもので、どんな脆弱性があるかを把握すべきだ。また対応の優先度を付けるため、イベントの監視やアセスメントを行うことも推奨している」（チョンチャナ氏）。日本ではしばしば、「エアギャップがあり安全だ」といわれるが、実際にはCDやUSBメモリなどによるデータの授受や解析が行われており、「物理的につながっていないことと、論理的につながってないことがごっちゃにされているのではないか」とも指摘する。

　長らく産業機器は「つないでくる人は、皆、良い人」という性善説で作られてきた。それ故か、2010年以降、OTに存在する脆弱性情報は増加の一途をたどっている。

　GEでもPLCやSCADA/HMIといった産業機器を提供しているが、「フィールド出荷後はパッチを当ててもらうことは難しいので、出荷前にできるだけテストや診断を行い、問題を修正してから出荷するようにしている」（チョンチャナ氏）。「GEとしてきちんとセキュリティに取り組み、安心して使えることがビジネスドライブのキーになる」という考え方の下、OTに特化した脆弱性診断やファジングを活用しているという。

　「外に出したときにお客さまに迷惑が掛からないように診断し、対応し、継続してモニタリングし、セキュアなインダストリアルインターネットを実現していきたい」（チョンチャナ氏）。そのためのノウハウも積極的に提供していきたいという。