IPA（情報処理推進機構）はこのほど、「スマート工場のセキュリティリスク分析調査」の調査報告書第2版を公開しました。本調査は、IoT機器やAIといった先端技術を活用して生産性・品質の向上を図る「スマート工場化」を検討、または実施している企業が、スマート工場化に伴って発生するセキュリティリスクを正しく把握し対策することを目的として行われたものです。今般公表された第2版では、追加調査の結果を踏まえた内容が追記されました。
近年、工場で制御対象とされる装置やセンサからの情報をOT系システム（IEC62443参照アーキテクチャにおけるレベル3以下の制御システム）に直接取り込むという新しい技術が導入され始めていることから、この新たな制御モデルで想定されるセキュリティリスクを実装モデルA1、A2、A3に分けて説明しています。
モデルA1は、スマート化によって追加するシステムが、既存L3以下のシステムから独立しているモデルで、データフローとしては、スマート機器からの情報収集、集約データの解析などが挙げられています。また、モデルA1は既存システムからは独立しているため、悪意ある第三者によって不正侵入や不正ログインがされる可能性があるとしました。こうした脅威に対し、多要素認証技術を採用した不正侵入の防止などが対策として示されています。
モデルA2は、既存L3以下のシステムと連携しているモデルで、データフローとしては、スマート機器やフィールドデバイスからの情報収集、集約データの解析などが挙げられています。また、モデルA2は、データ集約の際に制御サーバを介するため、そこからの不正ログインや不正侵入が脅威の一つとして考えられるとしました。これに対し、モデルA1同様、不正侵入の防止や外部媒体の利用防止などを対策として検討すべきだと記しています。
モデルA3は、既存L3以下のシステムおよび外部システムと連携しているモデルで、データフローとしては、情報の収集、集約データの解析、インターネット経由のリモート保守などが挙げられました。ベンダーのリモート保守端末からの不正侵入がリスクの一つとして考えられるとし、外部ネットワークと制御ネットワークとの間にセグメント（DMZ：DeMilitarized Zone、非武装地帯）を設置することで外部ネットワークからの通信を分離することが対策として示されています。
