製造業者が一度の侵害でプラントが停止するのを防ぐ方法

シニアコンテンツストラテジスト兼ニュースライター

10月 9日、 2026

23分読む

7月にはランサムウェア攻撃により、コカ・コーラのフェアライフ乳製品事業は米国での生産を停止せざるを得ませんでした。コカ・コーラ社は、製品の安全性と品質に影響はなかったと述べた。いずれにせよ、生産は中止された。

その後、ランサムウェアグループAnubis が犯行声明を出しました。同組織は1テラバイトのデータを盗んだと述べ、身代金が支払われなければデータを公開すると脅迫した。コカ・コーラが攻撃を公表してから11日後、フェアライフは米国の4つの工場でほとんどの生産を再開しました。

このような攻撃は製造業全体で急増しています。Black Kiteは、202629年1月1日から7月までに世界中で1,183件の製造ランサムウェアインシデントを追跡しました。これは2025年の同時期と比べて約40％多く、2024年通年よりも多い。

製造業者が標的となるのは、操業停止が交渉材料となるからだ。生産ラインが1時間稼働しないごとに、受注、収益、顧客との約束が危険にさらされる。

「業務停止は、製品の製造と提供に収益が依存するビジネスに圧力をかけます」と、Illumioの重要インフラソリューション部門ディレクター、トレバー・ディアリング氏は述べています。

メーカーは侵害が起こる前に計画を立てることで、その圧力を軽減できます。目標は、一つのシステムに不具合が生じたとしても、それが工場全体の操業停止につながるのを防ぐことである。

生産が進むにつれてセキュリティは遅れをとります

ダウンタイムは、交渉力を高めるための手段の一つである。データの盗難もその一つだ。設計、製法、そして製造に関する知識は、貴重な研究対象である。

「知的財産を盗むことは、恐喝や窃盗の新たな機会を生み出す」とディアリング氏は述べた。

同時に、製造業者は自社の事業運営の連携を強化している。遠隔保守とデータ共有により、効率性が向上します。それらはまた、工場への新たな通路を開く。

「製造業はそのセキュリティよりも速く変革している」と彼は述べた。

チーム間にも差は存在する。ITセキュリティチームはサイバー脅威を理解していますが、本番環境の詳細な知識が不足している場合があります。工場のチームは設備については熟知しているものの、新たな接続によって生じるリスクについてはあまり詳しくないかもしれない。

「どちらのチームも単独ではこれを解決できない」と彼は述べた。「彼らは共に、生産がどのシステムに依存しているのか、そしてその間でどのように侵害が広がるのかを理解する必要がある。」

1つのワークステーション、工場全体のリスク

エンジニアリングワークステーションは、その方法を示している。スタッフはそれらを使って機器の設定や保守を行います。そうした接続箇所は、攻撃者が工場内の他の場所に侵入する経路にもなり得る。

「誰かがエンジニアリングワークステーションに座って、個人のメールを開いている可能性もある」とディアリング氏は述べた。「フィッシング攻撃があのワークステーションにランサムウェアを持ち込む可能性がある。」

そこから攻撃者は、接続されているシステムに横方向に移動したり、工場が必要とするサービスを無効化したりする可能性がある。機器だけを保護するだけでは不十分だ。製造業者は、その背後にある接続やサービスを理解し、保護する必要もある。

まずは生産工程の全体像を示す図から始めましょう。

ディアリング氏は、まず生産がどのように行われているかを把握し、次にそれを支えるシステムと接続関係をマッピングすることを推奨している。デバイス一覧は、チームが所有するデバイスを示します。地図は、何が何に依存しているかを示している。

次のステップはプロトコル監査、つまりシステム間の通信方法を検証することです。警告を発するべきである：

本来アクセスすべきでない場所でのリモートデスクトップアクセス
安全性の低いプロトコル
システムがその役割を果たすために必要な範囲を超えたアクセス

「すべてがどのように繋がっているのかという視点が必要だ」と彼は言った。「そうすると、何が脆弱なのか、どこまで影響が及ぶ可能性があるのか、そしてリスクはどこにあるのかを理解する必要がある。」

IT部門と工場チームは、これらの調査結果を一緒に検討する必要がある。オペレーターは、生産に必要な接続を把握している。セキュリティチームは、そのアクセスがどこでリスクを生み出すかを把握できます。

ゼロトラストを運用技術(OT)に適応させるための米国政府共同指針もこれを裏付けています。安全性と信頼性を考慮した可視性、管理されたアクセス、セグメンテーションが求められます。

すべてのつながりに目的を持たせよう

チームが制作上のニーズを理解すれば、試合へのアクセスを制限できる。製造業はここで有利な立場にある。多くのシステムは、一つの狭いタスクを実行し、少数のプロトコルを使用するため、正確なアクセスルールを作成しやすくなります。

「ワークステーションがその役割を果たすために必要な接続環境を提供する必要がある」とディアリング氏は述べた。「それぞれのつながりには明確な目的がなければならない。」

彼はITとOT間、そして工場内でのセグメンテーションを推奨しています。これらの境界線は、攻撃者が拡散するために利用できる経路を遮断する。

同じ原則はベンダーにも当てはまります。特定の機器の保守点検を行うサプライヤーは、それとは無関係なシステムにアクセスすべきではない。そのリモート接続は、製造元が所有する認証システムを経由する必要がある。

簡単に修理できない機器については、機器にアクセスできるものを制限してください。欠陥自体は残っているが、それに対処するシステムは少なくなっている。

これらすべては、まずそのプロセスを理解することにかかっています。新しいルールを施行する前に、チームはトラフィック生産ニーズをブロックしないことを確認する必要があります。

必要な時に備えて、大きな赤いボタンを作っておこう

アクセスルールは侵害の広がりを制限します。ディアリングはまた、生産が接近した際には隔離する計画を推奨しています。彼はこれを「大きな赤いボタン」と呼び、広範なビジネスの侵害から生産を遮断するための準備された方法だと述べています。計画には、何を切断するのか、誰がそれを承認するのか、そしてどのサービスを継続して稼働させなければならないのかを明記する必要がある。

「目標は生産を隔離し、他のシステムがダウンしても生産を継続できるようにすることです」と彼は語りました。「何か問題が起こる前に、その計画を立てておく必要がある。」

誰も実行したことのない計画は、単なる推測に過ぎない。

「テストしてみる必要がある」と彼は言った。「計画がうまくいくことを確認する必要がある。」

一部のプロセスは、共有ログインサービス、リモートサポート、または外部データに依存しています。隔離はそれらを断ち切る可能性があるため、チームは攻撃前にその結果を理解する必要があります。テストによって、どのプロセスを継続できるか、どのプロセスを安全に停止する必要があるか、そして最初に何を復旧すべきかを確認する必要があります。

英国国家サイバーセキュリティセンターの8月の警報も同様の指摘をしています。通信事業者に対し、迅速な隔離計画を立て、信頼できるバックアップからのシステム復旧を訓練するよう促している。

ディアリング氏のアドバイスは、突き詰めると3つの点に集約される。生産に必要なものを把握すること、それへのアクセスを管理すること、そして封じ込め策が効果的であることを証明することだ。フェアライフ社が生産の大部分を再開させるのに11日間を要した。植物が稼働し続けるために必要なことを学ぶべき時期は、植物が停止する前に学ぶべき時だ。