工場のOTセキュリティとランサムウェア ― ラインが止まる前に、品質記録をどう守るか

「うちは工場だから、狙われるようなデータは持っていない」——かつてはそう考えられていました。しかし実際に起きているのは、データを盗まれることより、ラインが止まることです。2022年には、ある自動車部品メーカーがランサムウェアの被害を受け、その影響で完成車メーカーの国内全工場が稼働を停止しました。自社が直接狙われなくても、取引先を経由して自社が止まる——それが現在の姿です。

01ITとOTは前提が違う

工場のセキュリティを考えるとき、最初に押さえるべきはOT（Operational Technology：生産設備側の技術）とIT（情報システム）では優先順位が逆だということです。

「パッチを当てればいい」「古いOSは入れ替えればいい」——IT側の常識をそのまま持ち込むと、現場と衝突します。設備は簡単には止められず、更新には検証が要り、そもそもメーカーが対応していないこともあるからです。この非対称を理解しないまま対策を進めると、現場に受け入れられません。

02なぜ工場が狙われるのか

攻撃側から見ると、工場には「止まると困る度合いが極端に高い」という特徴があります。生産が止まれば1日あたりの損失が大きく、しかも納期は待ってくれません。だからこそ、身代金を要求する相手として選ばれます。

主な侵入経路

最後の「取引先経由」は、自社でいくら対策しても防げないという点で厄介です。冒頭の事例がまさにこれで、完成車メーカー自身が攻撃されたわけではありませんでした。

03拠りどころになる指針

いずれも共通して言っているのは、「資産を把握する」「ネットワークを分ける」「入口を絞る」「検知できるようにする」「復旧できるようにする」という基本です。目新しい話ではありませんが、工場ではこの基本のうち最初の「資産の把握」——どこにどんな機器があり、何とつながっているか——ができていないことが少なくありません。

04見落とされやすい論点 ― 記録が使えないと出荷できない

ここからが、この記事で最もお伝えしたい部分です。ランサムウェアの被害というと「ラインが止まる」ことに関心が集まりますが、品質保証の観点ではもう一つ深刻な事態が起きます。

設備が動いても、記録が参照できなければ出荷の判断ができない、という状況です。

3行目と4行目が、意外と語られません。復旧して設備が動くようになっても、「この材料は期限内か」「どのロットを使ったか」が分からなければ、製造を再開できないのです。とくに期限管理が必要な材料を扱っている現場では、これが直接的な制約になります。

目の前の材料を、使うか捨てるか

この状況で現場が直面するのは、単純ですが答えの出しにくい判断です。倉庫にある材料を、使ってよいのか。

受入日も、開封日も、使用期限も、記録は暗号化されたサーバーの中です。現物のラベルには製造ロットしか書かれていないことも珍しくありません。ここで選べる道は2つしかなく、どちらにも代償があります。

注意したいのは、2行目がその場では成立してしまうことです。おそらく期限内だし、見た目にも問題ない——だから使う。ところが品質保証の観点では、これは「根拠を示せない製造」です。後になって「なぜこの材料を使ってよいと判断したのか」を問われたとき、答えられません。

サイバー攻撃の被害が、数か月後の監査で品質問題として顔を出す——という遅れて効いてくる形の損害が、ここにあります。

復旧後にまとめて書いた記録は、記録として弱い

もう一つ、復旧局面で起きやすいのが記録の後追い作成です。止まっている間の作業を、復旧後に思い出しながら入力する。悪意はなく、むしろ真面目に穴を埋めようとした結果です。

ただ、これは記録の性質としては弱いものになります。作業したその時に作られていないため、同時性を欠きます。監査で「この期間の記録はいつ作成されましたか」と聞かれれば、正直に答えるしかありません。やむを得ない事情があったこと自体は説明できますが、記録の格が変わることは避けられません（「ALCOA+とは」）。

だからこそ、復旧計画には「止まっている間、何をどう記録するか」まで含めておく価値があります。紙に書くなら、その様式と、記入時刻を残す方法と、復旧後にどうデータへ戻すかまで。事後に埋めるのではなく、その場で残す代替手段を用意しておくという考え方です。

05記録の観点で備えておきたいこと

②は特に重要です。ランサムウェアはバックアップも狙います。工場内の同じネットワークにあるバックアップサーバは、本体と一緒に暗号化されると考えたほうが安全です。保管場所や接続方法を分けておく必要があります。

ISO 9001・ALCOA+との接続

この話は、実は品質規格が以前から求めていることと重なります。ISO 9001の箇条7.5（文書化した情報）は、記録の保護と利用可能性を求めています。ALCOA+でいえば、Enduring（永続性）とAvailable（利用可能性）です。

つまり、「必要なときに取り出せる」という要求は、セキュリティの都合ではなく品質保証の要求として最初から存在していたわけです（「ALCOA+とは」「監査対応と改ざん検証」）。

この対応関係が示しているのは、サイバー攻撃への備えと、記録の信頼性への備えは、実はかなりの部分が同じ作業だということです。「取り出せること」「失われないこと」を確保する取り組みは、セキュリティ予算として説明することも、品質保証の要求として説明することもできます。社内で予算を取る際には、後者のほうが通りやすい場面もあるはずです。

06よくある誤解

• 「うちは狙われるほど大きくない」：規模ではなく、入りやすさと止まると困る度合いで狙われます。むしろ守りの薄い中小が入口にされます
• 「工場はネットにつながっていないから安全」：完全に切り離せている工場は稀です。保守回線、USB、持ち込み端末が経路になります
• 「バックアップを取っているから大丈夫」：同じネットワーク上にあれば一緒に暗号化されます。戻せることを試していない場合も多くあります
• 「復旧すれば元通り」：設備が動いても、材料の状態や過去の記録が分からなければ製造を再開できません
• 「セキュリティはIT部門の仕事」：OTは生産技術・保全の領域です。IT部門だけでは設備の事情が分かりません

07まとめ

• 製造業を狙った攻撃で実際に工場が止まった事例があり、取引先経由の影響も現実に起きている
• OTは可用性が最優先で、更新しにくく寿命が長いという構造があり、ITの常識がそのまま通じない
• 侵入経路は保守回線・持ち込み端末・事務系ネットワーク・取引先など、身近なところにある
• 経産省の工場セキュリティガイドラインやIEC 62443が拠りどころになる
• 見落とされやすいのは「記録が参照できないと出荷判断も製造再開もできない」という点。記録の保護と取り出せることは品質規格が元々求めている
• 目の前の材料を使うか捨てるかの判断を迫られる。推定で使えば、根拠を示せない製造として後日の監査で問題になる
• 復旧後にまとめて書いた記録は同時性を欠く。止まっている間の代替の記録手段まで決めておく価値がある
• ALCOA+のAvailable・Enduringは、そのままサイバー攻撃への備えと重なる。品質保証の要求として社内説明ができる

08この分野を扱うなら ― QUALIKEEP でできること

最初にはっきりさせておきます。QUALIKEEP はセキュリティ製品ではありません。工場のOT機器を守る機能はなく、ネットワークの分離や監視、ランサムウェア対策を提供するものでもありません。この分野の対策は、専門のベンダーと情報システム・生産技術部門の領域です。

そのうえで、記録の観点から一点だけ触れておきます。QUALIKEEP はクラウド上で動くサービスで、原材料の受入・開封・期限・ロットの記録はサーバー側に保持されます。工場内のサーバやPCとは別の場所にあるため、工場内の機器が使えなくなった場合でも、ネットワークとスマートフォンがあれば記録の参照は続けられます。復旧後に「どの材料が期限内か」「どのロットを使ったか」を確認する材料にはなります。

ただし、これを過大に受け取らないでください。以下は率直な限界です。

つまり、「記録の置き場所が工場内だけに閉じていない」ことが、結果として復旧時に助けになりうる——という程度の話です。セキュリティ対策としてではなく、日常の記録手段を見直した結果として、置き場所が分散するとお考えください。