【入門編】物理セキュリティとサイバーセキュリティの統合管理 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド

こんにちは！ITインフラやセキュリティの世界へようこそ。これから一緒に、泥棒の侵入を防ぐ「物理世界」と、ハッカーの侵入を防ぐ「デジタル世界」の面白い関係について見ていきましょう。

新人のIT担当者さんや、これからセキュリティを学び始める開発者さんにとって、「ネットワークを守る」というと、真っ先にファイアウォールやパスワードの管理を思い浮かべるのではないでしょうか？

でも、工場のプラントやビルの空調を管理する「SCADA（制御システム）」の世界では、それだけでは片手落ちなんです。今回は、「物理的な鍵」と「デジタルの鍵」をガッチリとスクラム組ませる最強の防御術について、身近な例えを交えながら優しく紐解いていきますね。一歩ずつ、一緒に学んでいきましょう！

—

1. 家の鍵に例える「物理セキュリティ」と「サイバーセキュリティ」の現在地

突然ですが、みなさんのご自宅を思い浮かべてみてください。
頑丈な玄関の鍵を閉めておけば、空き巣は入れませんよね。では、もし泥棒が窓ガラスを割って家の中に侵入し、リビングのテレビ台の上に「ご自由にお使いください。家の金庫の暗証番号はこれです」と書いたメモ帳が置いてあったらどうでしょう？……ゾッとしますよね。

実は、これと同じことが産業用の制御システム（工場や発電所など）の現場でも起こり得るんです。

従来のセキュリティは、以下のように分断されがちでした。

物理セキュリティ： ガードマンやICカード式の入退室管理システムで「人間」の侵入を防ぐ。
サイバーセキュリティ： ファイアウォールやパスワードで「ウイルスやハッカー」の侵入を防ぐ。

しかし、実際の攻撃者はめちゃくちゃ狡猾（こうかつ）です。例えば、プラントの保守員になりすましてサーバー室に物理的に忍び込み、空いているネットワークポートに自分のノートPCを直接ズサッと挿し込んでしまったらどうなるでしょうか？入退室管理（物理）をすり抜けた時点で、どんなに強固なファイアウォール（デジタル）も無力化されてしまうのです。

だからこそ、「ドアが開いた瞬間（物理）」と「LANケーブルが繋がった瞬間（ネットワーク）」を連動させる統合管理がどうしても必要になってくるわけですね。

—

2. 攻撃者はどうやってシステムを崩壊させるのか？

現場での「うっかり」や「物理的な油断」が、どうやってサイバー攻撃に繋がるのか、少し具体的なシナリオを見てみましょう。

ある工場のサーバールームには、重要なお宝データ（SCADAの制御コマンド）が眠っています。この部屋に入るには、従業員証（RFIDカード）をタッチする必要があります。
ある日、悪意ある侵入者が従業員から盗み出した、あるいは拾ったICカードを使ってこのサーバールームに侵入しました。

侵入者は、サーバーラックの裏側に回り込み、稼働中のPLC（プログラマブル論理コントローラー：機械を動かす頭脳）に繋がっているLANケーブルを引っこ抜き、自分の持ち込んだ不正な無線中継器を接続しました。
これで、侵入者はオフィスのカフェテリアや工場の外からでも、安全な社内ネットワークを踏み台にして、いつでも工場のモーターを暴走させたり、データを改ざんしたりできるようになってしまいました。

これが、物理とサイバーが分断されている現場の恐ろしい盲点なんです。

—

3. 解決策：入退室管理とネットワークアクセス制御（NAC）の連動

「じゃあ、どうやって防げばいいの？」という話ですよね。
ここで登場するのが、NAC（Network Access Control：ネットワークアクセス制御）と入退室管理システムの連携です。

イメージとしては、「家の玄関の鍵を開けると同時に、リビングのコンセントの電気も通電する（逆に鍵を閉めていればコンセントは使えない）」という仕組みを作るようなものです。

具体的には、以下のような連携プレーを行います。

1. 作業員A君が、工場の制御エリアに入るためにICカードを改札機（入退室リーダー）にタッチする。
2. 入退室管理システムが「お、A君が制御エリアに入ったな」というイベント（ログ）を検知する。
3. その情報がリアルタイムでNACサーバーに飛ぶ。
4. NACサーバーは、A君が持っている専用端末（または特定のMACアドレスを持つ作業用タブレット）に対してのみ、「このエリアのスイッチングハブのポートを1時間だけ通信許可（OPEN）にする」という指令をネットワーク機器（スイッチ）に送る。
5. もしA君がエリアから退出するか、あるいは不正な侵入者が勝手に部屋に入り込んで別の怪しいPCを繋いだとしても、入退室の認証を受けていない機器であれば、スイッチのポートは完全遮断（BLOCK）されたままなので、ネットワークに一歩も踏み込めません！

最高にスマートで安全な仕組みだと思いませんか？

—

4. 【実践】システム連携のイメージをつかむサンプルコード

「なんだか難しそう……」と思ったそこのあなた！実際の現場で、入退室システムからのシグナルを受けてネットワーク機器のポートを制御する仕組みは、意外とシンプルに作られています。

ここでは、入退室管理システムから送られてきたWebhook（イベント通知）を受け取り、仮想的なネットワークスイッチ（API）を叩いてポートを制御する、簡単なNode.js（JavaScript）のサーバーサイドのコード例を見てみましょう。

/**
 * 物理セキュリティとネットワーク制御を連動させるモックサーバー
 * 入退室イベントを受け取り、条件に応じてネットワークポートの開閉を行います。
 */

const express = require('express');
const app = express();

// JSONリクエストを正しく読み込むための設定
app.use(express.json());

// ネットワークスイッチを制御するダミー関数
function controlNetworkSwitch(macAddress, action) {
    console.log(`[ネットワーク制御] スイッチに指示を送信中...`);
    if (action === 'ALLOW') {
        console.log(`-> 端末 (${macAddress}) のネットワーク接続を許可しました。`);
        // 実際にはここでCiscoやYamahaなどのスイッチAPIを叩く処理が入ります
    } else {
        console.log(`-> 端末 (${macAddress}) のネットワーク接続を遮断しました！`);
    }
}

// 入退室管理システムからのWebhookを受け取るエンドポイント
app.post('/api/physical-access-event', (req, res) => {
    const { employeeId, location, eventType, deviceMacAddress } = req.body;

    console.log(`\n[物理セキュリティ検知] ユーザー: ${employeeId}, 場所: ${location}, アクション: ${eventType}`);

    // 入室（ENTRY）かつ、指定された重要制御エリアの場合のみネットワークを許可
    if (eventType === 'ENTRY' && location === 'SCADA_Server_Room') {
        console.log('-> 本人確認およびエリア認証OK。ネットワークの扉を開きます。');
        
        // ネットワーク制御機能呼び出し
        controlNetworkSwitch(deviceMacAddress, 'ALLOW');
        
        res.status(200).json({ status: 'success', message: 'ネットワークアクセスを許可しました。' });

    } else {
        // 退出時、または許可されていない場所での接続試行は即座にシャットダウン
        console.log('-> 退出または不正なエリア検知。ネットワークを厳重にブロックします。');
        
        // ネットワーク制御機能呼び出し
        controlNetworkSwitch(deviceMacAddress, 'BLOCK');
        
        res.status(200).json({ status: 'success', message: 'ネットワークアクセスを遮断しました。' });
    }
});

// サーバーの起動
const PORT = 3000;
app.listen(PORT, () => {
    console.log(`統合セキュリティ管理サーバーがポート ${PORT} で稼働中...`);
});

このように、物理的な「ドアの開閉（イベント）」をトリガーにして、プログラムが自動的にデジタルの「扉（ポート）」をコントロールする。これが現場のセキュリティ担当者が日々構築しているインフラの裏側なんです。

—

5. まとめ：泥棒を入れない、入っても暴れさせないために

今回は、物理セキュリティとサイバーセキュリティの統合管理について、身近な例えを交えてお話ししました。

物理とデジタルの両方から攻め込まれるリスクを常に意識する。
入退室管理とネットワーク（NAC）を連動させることで、不正なデバイスの接続を根本から断つ。
現場の自動化やAPI連携を活用して、人間が「うっかり忘れるスキ」をシステムでカバーする。

セキュリティの道は一日にして成らずですが、一つひとつの仕組みを紐解いていくと、パズルが繋がるような面白さがありますよね。
これからも一緒に、一歩ずつ確実にお仕事に役立つセキュリティの知識を深めていきましょう！それではまた次回の記事でお会いしましょう！