製造業のランサムウェア被害後のセキュリティ投資配分
S社（製造業、売上高3,000億円、海外工場8拠点）は、ランサムウェア被害により海外工場1拠点が2日間停止し、復旧費用と機会損失で約8億円の損失を計上した。原因は、工場のOTネットワークに接続された保守用PCが、境界の曖昧なVPN経由で侵入されたことにある。経営層は「全社ゼロトラストを即時導入せよ」と指示したが、予算は5億円、期間は2年である。現状、IT資産台帳はExcelで管理され、OT資産の棚卸しは未実施、インシデント対応演習は一度も行われていない。工場は24時間稼働で、停止を伴う対策には生産部門の合意が必要である。情報システム部門は本社ITを所管し、工場の制御系は生産技術部門が所管しており、セキュリティの責任分界が曖昧である。また、海外拠点間のネットワークは拠点ごとに構成が異なり、統一された監視は行われていない。経営層は対策の効果を「導入製品数」で測ろうとしている。インシデントの再発防止策として、EDR導入とネットワーク分離が候補に挙がっている。
1. 5億円の予算をどのように配分すべきか。リスクベースの考え方を用いて説明せよ。
Read the worked answer
リスクを「発生確率×影響」で評価し、被害額8億円の再発を防ぐ効果が大きい順に配分する。まずOT資産の棚卸しとIT/OTネットワークの分離に1.5億円を置く。侵入経路を断つ効果が最も直接的である。次にバックアップの分離保管と復旧演習に0.5億円、監視とEDRに1.5億円、責任分界の明確化と人材・運用に1億円、予備に0.5億円を配分する。ゼロトラストの一括導入は、停止を伴う変更と製品依存を招き、2年では効果測定が難しい。配分後は、復旧時間と資産可視化率で効果を測り、次年度の追加投資を判断する。リスクベースとは、製品を買うことではなく、被害の大きい経路から順に塞ぐことである。
2. ゼロトラストをOTに適用する際の誤解を指摘し、現実的な適用範囲を示せ。
Read the worked answer
誤解は三つある。第一に、すべての通信を常時検証すれば安全になるという考えである。OTはリアルタイム制約があり、常時検証は停止リスクを高める。第二に、クラウド型IDプロバイダをOT機器に直接適用できるという考えで、レガシー機器は対応しない。第三に、エージェントを全端末に入れれば境界が不要になるという考えである。現実的な適用範囲は、IT/OT境界の細分化と制御、OT内のゾーン分割とホワイトリスト通信、保守経路の多要素認証、可搬媒体の管理である。ゼロトラストは境界をなくすのではなく、境界を細かく分けて検証する考え方としてOTに適用する。停止を伴う対策は生産部門と合意したうえで、パイロット拠点から展開する。
3. 経営層に報告するKPIを2つ設計せよ。
Read the worked answer
第一に「重大インシデントの平均復旧時間（MTTR）」である。被害額に直結するのは停止の長さであり、製品数ではなく復旧能力を示す。第二に「OT資産の可視化率（台帳と実機の一致率）」である。棚卸しができていない状態では、対策の網羅性を説明できない。あわせて、復旧演習の実施回数と、分離後の境界経由通信の拒否件数を補助指標とする。経営層には、これらを四半期ごとに報告し、投資の効果と残存リスクをセットで示す。製品導入数は活動量にすぎず、リスク低減を示す指標にならないことを明確に伝える。