サプライチェーンから外されないためのサイバーセキュリティ対策：製造マネジメント インタビュー

「プロセス」と「エコシステム」の両面での対策を［クリックして拡大］ 出所：トレンドマイクロ

どのプロセスでもセキュリティ対策が必要に

トレンドマイクロの石原陽平氏 出所：トレンドマイクロ

　ここで言うプロセスとは、設計、開発／製造、流通、運用／保守、廃棄など一連の製品ライフサイクルを構成する工程や部門のことを指す。例えば、設計部門では機能要求やソフトウェア、設計文書の改ざんなどに、開発／製造部門では開発環境のマルウェア感染、FPGAやASICへの不正ロジック組み込みなどにそれぞれ対策を講じる必要がある。特に設計部門では地政学的リスクを鑑みた部材、部品、ソフトウェアの選定を行わなければならない。プロセスの一部でもサイバー攻撃を受けると、その影響はチェーン全体に波及する。仮に製造部門が被害を受ければ、自社工場の操業を一時停止せざるを得ない状況にすらなり得る。

　石原氏は「従来、国内企業では情報システム部門などに在籍する専門人材がこれらのセキュリティ対策を講じていたが、今後は社内のどの部門でも、必要なセキュリティ知識を備えた、いわゆるプラス・セキュリティ人材が必要とされるだろう」と指摘した。

プロセス全体でのセキュリティ対策が求められる［クリックして拡大］ 出所：トレンドマイクロ

対策の事実を積極的に発信する企業が増加

　こうしたプロセス全体でのセキュリティ対策に加えて、部材調達先や製品輸出先などの他企業を含めた経済圏（エコシステム）でのセキュリティ対策も必要となる。万が一、部材調達先がサイバー攻撃を受けてしまい安定的な部材供給ができなくなれば、生産計画に大きな支障が生じかねない。このためエコシステム全体を安全に保つための取り組みが必要になる。

　また石原氏は最近の傾向として「自社がサイバーセキュリティ対策を行っていることを、広報活動などを通じて積極的に発進する企業が増えている」と指摘する。これは、特に大企業がセキュリティ対策を強化するため、十分な対策を講じている企業とのみ取引を行う姿勢を強めているためだ。セキュリティ対策が不十分だと見なされてしまえば、既存のサプライチェーンから外される経営リスクが上昇しかねない。これを未然に防ぐための対策である。

「サプライチェーンから外されないため」のセキュリティ対策［クリックして拡大］ 出所：トレンドマイクロ

　しかし、大企業と比較して、中小製造業においてはサイバーセキュリティへの大規模な投資は難しい。このため、制約の中でいかに効果的に対策を進めるかが課題になる。まずは最低限の対策から着手するべきだが、工場内にはセキュリティソフトを導入しづらい機器も多く、この他にも工場稼働を停止しづらい、OSのサポート期限切れなど工場環境特有の条件が影響して、セキュリティ対策を講じにくいという問題もある。石原氏は「外部のITベンダーに相談するのも手だが、専任のセキュリティ担当者が在籍していない企業も少なくないため、まずはIT部門主導で対策を進めるべきだ」と指摘した。

　また石原氏は、国内製造業におけるサプライチェーンリスクマネジメントへの意識について「セキュリティ対策の重要性について認識は広まっているが、どの程度具体的な対策をしているかは各社でばらつきがある。現状では町工場のような規模の企業でも、取引先からセキュリティ対策を行うよう求められるようになっており、こうした動きは今後加速すると考えられる」と述べた。

⇒その他の「製造マネジメント インタビュー」の記事はこちら