本サイト上のコンテンツは、参照目的だけのために、英語の原本から翻訳されたものです。また、本サイト上のコンテンツの一部は機械翻訳されたものです。日本語版と英語版の間に何らかの齟齬がある場合には、英語版が優先されます。当社は改善のためのあらゆる努力を行いますが、翻訳の正確性及び信頼性は保証せず、当社に故意または重大な過失がある場合を除き、不正確性又は遺漏により生じる損失又は損害に責任を負わないものとします。
コカ・コーラのシカゴ拠点の乳製品子会社であるFairlifeは、製造業務に関連するシステムがサイバー攻撃を受けたことで、米国内の生産を一時停止しました。Fairlifeは、高ろ過ミルクやプロテインシェイクをはじめとする乳製品飲料を製造しています。
コカ・コーラは7月16日、このインシデントを公表し、第三者による不正アクセスがFairlifeのシステムに発生し、生産関連システムにも影響が及んだことを明らかにしました。同社は直ちにインシデント対応計画と事業継続計画（BCP）を発動し、外部のサイバーセキュリティ専門家を招へいするとともに、法執行機関へ通報しました。なお、カナダでの生産は継続され、製品の品質や安全性への影響は確認されていません。
その後、ランサムウェアグループ「Anubis」が犯行声明を発表し、FairlifeのNutanixシステムを暗号化し、1TBのデータを窃取したと主張しました。コカ・コーラはデータが持ち出されたことを認めており、米国内の生産の大部分はすでに再開しています。ただし、Anubisの関与や盗まれたデータ量、攻撃者がどのように侵入したのかについては、現時点で確認できていないとしています。
セキュリティ担当者は、生産停止の原因がランサムウェアによってPLC（Programmable Logic Controller）などの運用技術（OT）システムそのものが暗号化されたためだと決めつけるべきではありません。重要なITサービスが停止したり、製造システムや関連データの安全性を確認できなくなったりするだけでも、生産ラインは停止する可能性があります。
OT環境において最優先されるのは、常に従業員と顧客の安全です。そして現在では、それと同じくらいOTシステムが生成するデータの保護も重要な課題となっています。
生産を支える依存関係を可視化するー
製造ラインに潜むリスクを明らかにする方法
製造環境は、工場の生産設備だけで成り立っているわけではありません。実際には、それらは氷山の一角にすぎない場合が多くあります。認証サービス、ネットワーク時刻同期、ファイルストレージ、仮想化基盤、ERP（統合基幹業務システム）、生産スケジュール管理、品質管理システムなど、さまざまなITサービスが製造オペレーションを支える重要な依存関係となっています。
サイバー災害復旧企業Fenix24のアソシエイトディレクターであるJeff Liford氏は次のように述べています。
「数百件に及ぶランサムウェア復旧対応の中で、実際に産業システムそのものが暗号化されていたケースは、ごくわずかです。」
同氏によると、生産停止の主な原因は、重要なIT基盤が停止したことや、被害拡大を防ぐための封じ込め対策としてシステムを停止せざるを得なくなったことにあります。
そのため、セキュリティ担当者はIT環境とOT環境の両方におけるアプリケーションとインフラの依存関係を把握する必要があります。しかし、静的なネットワーク図には、管理用接続、一時的なファイアウォールルール、最近追加されたサービスなどが反映されていないことも少なくありません。
パケットキャプチャ、ネットワークフロー分析、アプリケーションテレメトリーなどを活用することで、生産ラインが稼働中にどのシステムと通信しているのかを明らかにできます。チームは、認証要求、ファイル共有、データベース接続、リモート管理セッション、拠点間サービスなど、運用に必要な通信を特定する必要があります。
また、依存関係マップでは「集中リスク（Concentration Risk）」も可視化しなければなりません。単一のActive Directory環境やハイパーバイザークラスタ、ERPプラットフォーム、品質管理システム、バックアップリポジトリが複数の工場を支えている場合、1つの侵害が複数拠点に波及する可能性があります。
Liford氏は次のように警鐘を鳴らしています。
「共有サービスは効率化のための判断に見えますが、実際には“被害範囲（Blast Radius）をどこまで広げるか”という意思決定でもあるのです。」
IT/OTセグメンテーションを検証可能なものにするー
アイデンティティ管理とネットワーク分離に注力する
Fairlifeは、攻撃者がどのようにして最初の侵入に成功したのかについては明らかにしていません。しかし、製造業を狙ったサイバー攻撃では、認証情報の窃取や不十分な保護しか施されていないリモートアクセスサービスが、一般的な侵入口となっています。
Keeper SecurityのCISOであるShane Barney氏は次のように指摘しています。
「こうしたインシデントの大半において、侵入口となるのはアイデンティティ（認証情報）です。ランサムウェア攻撃者は力ずくで侵入するのではなく、正規のものに見える認証情報を使って堂々と入ってくるのです。」
企業IT環境とOT環境では、管理者権限の認証情報や無制限の信頼関係を共有すべきではありません。OT環境への特権アクセスには、専用アカウントの使用、フィッシング耐性のある多要素認証（MFA）、そしてDMZ（非武装地帯）に配置された堅牢なジャンプサーバーの活用が求められます。また、アクセスセッションの記録、利用時間の制限、最小権限の原則に基づくアクセス制御も不可欠です。
ネットワーク境界では、「デフォルト拒否（deny by default）」を基本方針とし、業務上必要な通信のみを許可するべきです。特に、SMB、RDP、WMIといった横方向移動（ラテラルムーブメント）に利用されるプロトコルは、IT環境とOT環境の境界で厳格に監視する必要があります。
また、ネットワークアーキテクチャだけでなく、実際の設定内容を確認することも重要です。ベンダー対応、保守作業、トラブルシューティングのために一時的に作成されたファイアウォールルールが、何年も放置されたまま有効になっているケースは珍しくありません。
Fenix24のJeff Liford氏は次のように述べています。
「多くの組織では、セグメンテーションはネットワーク図の上には存在しています。しかし、実際のルールベースには存在していないのです。」
そのため、セキュリティ担当者はファイアウォール設定を詳細に確認し、境界を越えるトラフィックを分析し、実際の制御が設計どおりに機能しているかを検証する必要があります。例えば、一定期間工場を企業IT環境から切り離して運用してみることで、生産システムが本当に独立して稼働できるのか、それともOT環境外のサービスに依存しているのかを把握できます。
さらに、産業システムの中には、設計当時のセキュリティ前提がすでに時代遅れになっているにもかかわらず、現在も運用され続けているものが少なくありません。そのため、チームにはレガシー資産のリスク評価、代替的なセキュリティ対策（補完的統制）の適用、そして即座に更新や交換ができない機器の継続的な監視を行うスキルが求められます。
Black Duckのソフトウェアサプライチェーンリスク戦略責任者であるTim Mackey氏は次のように警鐘を鳴らしています。
「従来のベストプラクティスでは、現在の脅威への対策として不十分かもしれません。さらに悪いことに、今後数年で登場する脅威には全く対応できない可能性があります。」
ランサムウェアが共有インフラに到達する前に侵害の兆候を検知する
効果的な検知プログラムは、ランサムウェア攻撃者が初期侵入後にたどる経路を監視する必要があります。具体的には、不審な認証試行、権限昇格、リモート管理ツールの利用、セキュリティ設定の変更、さらにはハイパーバイザーやバックアップ基盤へのアクセス試行などが監視対象となります。
ハイパーバイザーが暗号化されると、多数のワークロードが同時に停止する可能性があります。同様に、集中管理されたバックアッププラットフォームも大きなリスクを抱えています。単一の管理基盤が侵害されれば、複数拠点にまたがる復旧作業そのものが困難になる可能性があるためです。
そのため、セキュリティチームはアイデンティティ、エンドポイント、ネットワーク、仮想化基盤に関するテレメトリを相関分析しなければなりません。個別に見れば正当な操作に見える挙動でも、複数の情報を組み合わせることで攻撃の兆候が明らかになる場合があります。
また、サードパーティによるアクセス権限についても継続的な見直しが欠かせません。設備ベンダーには必要最小限の権限のみを付与し、社内管理者と同様に管理されたアクセス経路を利用させるべきです。
Cowbellのレジリエンシーサービス担当シニアバイスプレジデントであるMatthieu Chan Tsin氏は、次のように述べています。
「セキュリティは、部門横断的かつ全社的な取り組みとして実践されなければなりません。また、企業は外部ベンダーを採用する際にも、社内担当者に求めるのと同じ厳格なガードレールを適用する必要があります。」
ランサムウェア対策というと、マルウェアそのものの検知や封じ込めに注目が集まりがちです。しかし実際には、攻撃者が横方向に移動し、共有インフラへ到達する前の段階で異常を発見できるかどうかが、被害範囲を左右する重要なポイントとなります。組織全体で可視性を高め、IT環境、OT環境、そしてサードパーティアクセスを含めた包括的な監視体制を構築することが求められています。
サーバーやシステムだけでなく「業務プロセス」を復旧させる
インシデントからの復旧は、まずフォレンジック調査と被害評価から始まります。対応チームは、システムが完全に暗号化されているのか、一部のみ損傷しているのか、それとも復旧可能な状態なのかを見極める必要があります。十分な確認を行わずにデータを削除したり、大規模なリストアを開始したりするのは避けるべきです。
また、バックアップデータだけでなく、バックアップカタログや管理アプリケーションそのものが無事であることも確認しなければなりません。
Fenix24のJeff Liford氏は次のように指摘しています。
「イミュータブルバックアップは、販売資料に書かれているほど“変更不可能”ではないケースが少なくありません。」
復旧には、単なるバックアップ操作以上の高度なシステムエンジニアリングスキルが求められます。例えば、ディスク構造の解析、仮想マシンの復元、Active Directoryの再構築、侵害された認証情報や暗号鍵のローテーション、そして相互依存するサービスを正しい順序で再稼働させる作業などです。
さらに、バックアップデータは単一のプラットフォーム上に複数コピーを保持するだけでは十分とは言えません。本当に独立した別システム上に保管することで、復旧時の信頼性を高める必要があります。
製造業の復旧では、ITシステムの復旧だけでは不十分です。サーバーを正常な状態に戻したからといって、安全に生産を再開できるとは限りません。
工場のエンジニアやプロセスオーナーは、以下のような重要項目を検証する必要があります。
- 製造設備の設定値
- 製品レシピや製造パラメータ
- 衛生管理プロセス
- 品質管理システム
- 出荷承認手順
- 安全管理プロセス
Keeper SecurityのCISOであるShane Barney氏は次のように説明しています。
「一般的な企業ネットワークとは異なり、製造環境はバックアップから復元してオンラインに戻せば終わりというものではありません。安全に操業を再開するためには、ITシステムだけでなく製造プロセスそのものの完全性を検証しなければならないのです。」
この事例が示しているのは、ランサムウェア対策の最終目標は「サーバーを復旧すること」ではなく、「安全かつ確実に事業を再開すること」だという点です。特にOT環境では、システム復旧とオペレーション復旧は同義ではありません。真のレジリエンスを実現するためには、IT担当者だけでなく、工場運営、品質保証、生産管理などの部門が連携し、プロセス全体を復旧させる視点が不可欠です。
OTシステム復旧の本当の意味
サイバーインシデントへの対応では、技術的な復旧を最終ゴールと捉えるべきではありません。復旧チームは、システムを元の状態に戻すだけでなく、運用部門、品質保証部門、安全管理部門、事業継続（BCP）チームと連携しながら、業務そのものを再開できる状態を目指す必要があります。
Fenix24のJeff Liford氏は次のように説明しています。
「IT部門はシステムが正常であると判断できます。しかし、そのシステムが担う業務機能を本当に回復できたかを認定できるのは、プロセスオーナーだけです。」
Fairlifeの事例は、ランサムウェアが単なるITシステムへの攻撃にとどまらず、現実の生産活動そのものを停止させる可能性があることを示しています。
IT環境とOT環境の統合が進む中、防御側にはより広い視点が求められています。生産を支える依存関係を把握し、IT/OTセグメンテーションを検証し、アイデンティティ管理を強化し、さらに生産再開前に必要な運用面での検証プロセスを理解しなければなりません。
OTシステムの復旧とは、サーバーを再起動したり、バックアップからデータを戻したりすることではありません。それは「安全に製造を再開し、品質を保証し、顧客に製品を届けられる状態まで回復させること」を意味します。
つまり、真のレジリエンスとはITシステムの復元ではなく、ビジネスプロセス全体の復元なのです。これは製造業に限らず、OT環境を持つすべての組織がランサムウェア対策を考える上で重要な教訓と言えるでしょう。
CompTIA SecOT+は、製造やその他の産業環境全体でこれらの機能を構築・検証することを目的としています。 2026年12月リリース予定のCompTIA SecOT+のドラフト試験範囲を確認し、最新情報を受け取るために今すぐ登録しましょう。