2022年から2023年、本コラムで取り上げ、基幹システムのセキュリティ強化を呼びかけていた時、対策の焦点は主に「外部からの侵入をどう防ぐか」という防御策にありました。具体的には、ウイルス対策ソフトの更新、従業員の意識向上、そして「万が一」に備えたバックアップの取得でした。


生産管理システムがサイバー攻撃に耐えるためには？注意する点とは
https://www.r-pics.com/success/column/_94.html


生産管理システムのセキュリティ対策
https://www.r-pics.com/success/column/post_156.html


しかし、この数年間でサイバー攻撃は質を大きく変えました。現在の脅威環境では、ITシステムと生産現場の制御システム（OT：オペレーションテクノロジー）が密接に連携する製造業が、最も多くのセキュリティ事故に遭っている業種となり、そのインシデントの約4分の1を占めています。
インシデントとは、事故や重大な問題に発展する可能性のある、予期しない出来事や状態で、実際に事故が発生した「アクシデント」とは区別します。

もはや「侵入されないこと」を目指すのは非現実的であり、「侵入されたことをいかに早く見つけ出し、被害を最小限に抑え、素早く事業を復旧させるか」という「強靭化（レジリエンス）」こそが、企業経営の最重要課題となっています。

脅威の進化：システム停止に加えて「二重の脅迫」が常態化

2025年9月末日、近年の攻撃の深刻さを象徴する大手飲料メーカーに対するランサムウェア（身代金要求型ウイルス）攻撃が発生しました。

この事件は、従来の「システム停止」という被害の枠を超えました。攻撃者は、単にシステム上のデータを暗号化して業務を麻痺させるだけでなく、事前に約190万件余りの個人情報を含む機密データを盗み出し、その公開を脅迫しました。これが、現在主流となっている「二重の脅迫」です。

たとえバックアップからシステムを復旧できたとしても、盗まれた情報が公開されれば、顧客からの信頼失墜、規制当局からの罰則、そして企業イメージの毀損という深刻な経営リスクが残ります。

さらに重要な教訓は、「侵入の手口」と「潜伏期間」です。攻撃者は、フィッシングなどの分かりやすい
手口だけでなく、拠点のネットワーク機器のセキュリティの隙から侵入しました。
そして、システム障害が発覚する約10日も前から内部に潜伏し、パスワードの脆弱な管理者アカウントを奪取して、主要サーバーの偵察を繰り返していました。この長い潜伏期間こそが、従来の防御システムが機能しなかった最大の要因です。

インシデントの原因のトップが今も「不正アクセス」であることからも基本的な認証情報の保護が不十分であることを示しています。

特に警戒すべき二つの新しい脅威

2022年当時から継続して対応が必要な脆弱性に加え、製造業が特に警戒すべき脅威があります。

1. サプライチェーン攻撃の深刻化

大企業への直接攻撃が難しくなったため、攻撃者はセキュリティ投資が不十分な中小企業を狙うようになりました。ランサムウェア被害の約半数が中小企業であり、彼らのシステムを「踏み台」にして、中堅の生産管理システムへと侵入する手口が主流化しています。自社の防御を固めるだけでなく、取引先のセキュリティ基準を契約で確認するといった、サプライチェーン全体でのリスク管理が急務です。

2. 古いシステム（レガシーシステム）の放置リスク

生産現場で稼働し続ける古いOSや機器は、現代のサイバー攻撃を想定して設計されておらず、メーカーによるセキュリティ更新（パッチ）も提供されません。これは、攻撃者が容易に利用できる「裏口」を放置しているのと同じです。老朽化したシステムの維持コスト増大だけでなく、セキュリティの脆弱化こそが、大規模障害や罰則につながる最大の経営課題です。

今、取り組むべき「事業を止めないための」三つの対策

これらの脅威に対応するため、私たちは防御戦略を根本的に転換する必要があります。

1. 「誰も信じない」アクセス管理の徹底（ゼロトラストの原則）

社内の人間であっても、システムにアクセスする際は「決して信頼せず、常に確認する」という原則（ゼロトラスト）を徹底します。具体的には、リモートアクセスや重要なPMS（個人情報保護マネジメントシステム）アカウントには、必ずスマートフォンなどを使った「二段階認証」を導入し、パスワードが漏れても侵入できない体制を構築する必要があります。

2. ネットワークの「厳密な区切り」の実行

PMSサーバーや工場内の制御システム（OT）を、メールやインターネットを使う情報システム（IT）から厳しく分離します。これにより、仮にIT側が侵害されても、攻撃者の横展開（内部での拡散）を防ぎ、生産ラインへの被害を局所化できます。

3. 復旧計画の「実践的な訓練」の義務化

先の事例のように、侵入は避けられない前提に立ち、バックアップデータからの復旧訓練を定期的に行うなど検討が必要です。単なるデータ復元に留まらず、受注・出荷といった業務の再開までにかかる時間を実際に計測し、業務停止時間を最小化する能力を組織全体で磨き上げることが、強靭化の最も重要な要素です。

セキュリティ対策は、もはやIT部門だけの仕事ではありません。経営層のコミットメントの下、事業継続のための最重要投資として、部門横断的な体制で取り組むことが、現代の製造業に求められているのです。