OT・IoTセキュリティはデータではなく生命を守る
サイバー攻撃が現実の扉を開きつつある。工場や発電所といった物理的施設が now 攻撃対象となっている。インターネットに接続された機器（IoT）や設備運用技術（OT）で接続対象が増えるほど、攻撃ポイントも同時に拡大している。
物理的破壊につながった攻撃が相次いだ。2010年にイランで発生したStuxnetは、産業用制御システムを標的とし、遠心分離機の制御に影響を与えたとされている。2021年の米国では事故が2件相次いで発生した。Colonial Pipelineのランサムウェア事故は、ITシステムへの侵入がOT運用停止につながり得ることを示した代表的な事例だ。ランサムウェア感染後、石油パイプラインの運転が停止し、燃料供給に支障が生じた。同じ年、Oldsmarの水処理施設では、攻撃者がリモート接続経由で水酸化ナトリウムの濃度を異常に高めようとしたが、運用担当者が異変を発見し、実際の被害は回避された。この事件は、水処理施設のセキュリティが国民の健康に直結していることを改めて示した。
IoT分野でも被害事例が相次いだ。2016年のMiraiボットネットは、初期パスワードや脆弱なリモート接続を使用するIoT機器を大規模に感染させ、DDoS攻撃に悪用した。2015年のJeep Cherokeeハッキング実演は、車両がネットワークに接続されたサイバー・フィジカルシステムであることを実証した。医療分野では、2017年に英国NHSがWannaCryランサムウェアの被害を受け、病院システムが停止して診療や手術、救急対応が遅延し、患者の生命に影響を及ぼしかねない事態となった。
スマート工場では、PLC、HMI、ロボット、センサー、MES、ERP、クラウド分析システムが接続されている。ランサムウェアが生産網に拡散すれば、単なる業務障害ではなく、納期遅延や生産損失、サプライチェーンの混乱につながる。建設現場やスマートビルでは、CCTV、入退室管理、エレベーター、火災感知システムがネットワークで結ばれており、攻撃が発生すれば入居者の安全と企業機密、物理セキュリティが同時に脅かされる。
自動車分野では、コネクテッドカー、自動運転車、電気自動車の充電インフラ、OTAアップデート、V2X通信が主要な論点となっている。自動車は今や機械装置ではなく、走るコンピュータと呼ばれるほど攻撃にさらされる領域が広がっている。
