【入門編】産業用制御システムにおけるインシデント初動対応手順(IRP) – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド

こんにちは！IoT・OT（制御システム）やブロックチェーンのセキュリティの世界へようこそ。リサーチャーの私です。

普段は工場を動かす巨大な機械（SCADAシステム）や、最先端のWeb3スマートコントラクトの裏側をひっくり返してセキュリティの穴を探す泥臭い仕事をしていますが、今日は「工場のセキュリティ」について、ITの世界に一歩踏み出したばかりの新人さんや開発者の方に向けて、とても大切なお話をしますね。

「工場やプラントのセキュリティって、なんだか難しそう……」
「オフィスのパソコンを守るのとは何が違うの？」

そんな疑問を持っていませんか？大丈夫です。一歩ずつ、身近な例えから紐解いていきましょう！

—

1. 家の鍵と泥棒に例える「ITとOT（制御システム）の決定的な違い」

皆さんが普段使っているスマホやオフィスのパソコン（IT環境）は、もしウイルスに感染したり、システムがフリーズしたりしたらどうなりますか？
もちろん仕事が止まって大慌てですが、パソコンを強制終了（シャットダウン）したり、最悪の場合は初期化したりすれば、大きな物理的被害にはつながりませんよね。これは例えるなら、「オフィスの机の上に置いてある財布（データ）」を守るようなものです。

一方で、今回のテーマであるOT（Operational Technology：制御システム / SCADA）は、発電所、水道局、自動車工場のライン、ビルの空調などを直接動かしている「現実世界とつながったシステム」です。

これを家の防犯に例えてみましょう。

ITのセキュリティ： 家の玄関の鍵をしめる、パスワードを厳重にする。泥棒が入っても、最悪テレビが盗まれるくらい（データ損失）。
OTのセキュリティ： 家の鍵だけでなく、「家全体のガス管の元栓」や「自動ブレーキシステム」を制御しているようなもの。

もし、サイバー攻撃者が工場のSCADAシステムに侵入し、変圧器のバルブを勝手に全開にしたり、ボイラーの温度センサーの数字を書き換えたりしたらどうなるでしょうか？データが盗まれるだけではなく、現実世界で爆発が起きたり、有毒ガスが漏れ出したりする物理的な大惨事につながりますよね。

だからこそ、OTの世界では「システムが止まらないこと」と同じくらい、「いざという時に、どうやって安全に止めるか」が命懸けで重要になるのです。

—

2. 現場でインシデント（異常）が起きたときの「初動対応（IRP）」とは？

もし、あなたが管理している工場のモニターに「見知らぬIPアドレスからPLC（プログラマブル・ロジック・コントローラー：機械を動かす頭脳）へ不正な書き込みがありました！」というアラートが出たとします。

ここでやってはいけない最悪の行動があります。それは……
「パニックになって、とにかく工場のメインブレーカーをガチャンと落とすこと」です。

えっ、「危ないんだから即座に電源を切ればいいじゃない！」と思いましたよね？実はそれがOTの現場では大惨事を引き起こすトリガーになるんです。

例えば、時速100キロで走っているジェットコースターの電源を、ある日突然バチンと切ったらどうなりますか？乗っている人は放り出されて大怪我をしますよね。工場も同じです。高温でドロドロに溶けた鉄を流し込んでいるパイプのバルブや、高速で回転しているモーターの制御を前触れもなくプツンと遮断すると、配管が破裂したり、機械が自壊したりして、さらなる二次災害を生んでしまいます。

そのため、OTにおけるインシデント初動対応手順（IRP：Incident Response Plan）には、「物理プロセスへの影響を最小限に抑えながら、どう安全に切り離すか」という緻密なステップが必要になります。

—

3. 実践！安全なシャットダウンとネットワーク切り離しのステップ

では、現場で実際にどのような手順で対応すべきか、具体的な流れを見ていきましょう。一歩ずつ確認していけば難しくありませんよ。

ステップ1：現状の「スナップショット」を保持する（電源をすぐ切らない！）

攻撃者の足跡（ログ）や、メモリ上にある不正なプログラムを消さないように注意します。ただし、これ以上の不正操作を防ぐために、ネットワークの「論理的な切り離し」を検討します。

ステップ2：物理プロセスを「安全な状態（Fail-Safe）」に移行させる

いきなり電源を切るのではなく、機械をあらかじめ決められた「安全なアイドル状態」に落とし込みます。
以下の疑似コードや設定ファイルの概念のように、システムの制御権を自動から手動（マニュアル）へ切り替えるイメージです。

# 【概念コード】SCADAシステムにおける緊急時の安全停止シーケンス例
def emergency_shutdown_procedure(plc_device_id):
    print(f"警告: デバイス {plc_device_id} でセキュリティインシデントを検知しました。")
    
    # 1. 自動制御モードを即座に停止し、手動介入モードに切り替え
    set_control_mode(plc_device_id, mode="MANUAL")
    
    # 2. プロセスの負荷を段階的に下げる（例：モーターの出力を徐々にゼロにする）
    current_speed = get_motor_speed(plc_device_id)
    while current_speed > 0:
        current_speed -= 10
        set_motor_speed(plc_device_id, current_speed)
        wait_seconds(1) # 物理的な負荷を逃がしながら少しずつ減速
        
    # 3. 最終的な遮断バルブを安全側に閉じる
    close_safety_valves(plc_device_id)
    print("すべての物理プロセスが安全な停止状態に移行しました。")

ステップ3：物理的な「エアギャップ（物理的切断）」の実施

ネットワーク上のファイアウォール設定で遮断するだけでは、巧妙な攻撃者は迂回路を見つけるかもしれません。最終防衛ラインとして、物理的なLANケーブルを引っこ抜く、あるいは重要度の低い上位ネットワーク（IT側）と現場のネットワーク（OT側）をつなぐスイッチの電源を物理的に落とします。

これは、泥棒が家に入ってきたときに、部屋につながる廊下のドアを鍵で閉めるだけでなく、廊下そのものを斧でブチ割って行き来できなくするような思い切った措置です。

—

4. 現場のエンジニアが持っておくべき心構え

制御システムのセキュリティに触れ始めたばかりの頃は、「なんだかルールが多くて、機械を触るのが怖いな」と感じるかもしれません。でも、それでいいんです。その「怖さ」こそが、現実世界（物理世界）の安全を守るための最高のセンサーになります。

ITのエンジニアは「データを守る」ことが正義ですが、OTのエンジニアは「人間の命と安全な生産活動を守る」ことが絶対の正義です。

インシデントが起きたとき、パニックになって独断で動くのではなく、
1. 慌てて電源をプツンと切らない（物理的破壊を防ぐ）
2. プロセスを安全な状態に落としてから切り離す
3. チームで手順書（IRP）に沿って冷静に動く

この3つを頭の片隅に置いておくだけで、あなたも立派なOTセキュリティの守り手です。

これからも一歩ずつ、安全で堅牢なシステムづくりを一緒に学んでいきましょう！次の記事では、PLC自体のファームウェアの脆弱性についてさらに深掘りしていきます。お楽しみに！