保守経路と制御経路

製造ラインAのPLC-1に対し、保守委託先から夜間のファームウェア更新を求める連絡が届いた。保守VPNの接続記録には予定外の接続もある。制御設備では、安全な物理状態を保たずに端末や通信を止めると製造物・作業員へ影響する。通信の事実、更新物の信頼、設備の安全状態を順に確かめる。

読む順序は、用語→実際の構成と処理→記録の照合→異常の成立条件→変更・復旧→短答演習です。以下の組織、アドレス、時刻、識別子、ログは教材用の架空例です。観測できた事実と、追加調査が必要な推論を分けて読みます。

1. 用語をこの事案の判断に結び付ける

用語	意味とこの事案での判断の限界
OT / ICS	OTは物理過程を監視・制御する技術の総称。ICSは産業制御システムを指し、PLC・SCADAを含み得る。機密性だけでなく、安全性、可用性、工程の完全性を評価する。
PLC	Programmable Logic Controller。センサ入力を読み、制御ロジックに従いアクチュエータへ出力する。設定変更、プログラム転送、停止・起動は物理工程に直結する。
SCADA / HMI	SCADAは広域の監視・制御・履歴収集を行う構成。HMIは操作者が状態を見る画面。画面の値とPLC実測値が一致するかを別経路で確かめる。
保守用接続	委託先のVPN、踏み台、エンジニアリング端末からPLCへ至る経路。利用者認証だけでなく、端末、時間、作業票、接続先、操作記録を結び付ける。
ファームウェア署名	更新物のハッシュを製造者の秘密鍵で署名し、設備側が信頼する公開鍵で検証する仕組み。署名が正しくても、対象機種・版・更新権限・ロールバック可否を確認する。
セキュアブート	起動時に次段のコードの真正性と完全性を検証し、信頼できる起点から実行する設計。更新ファイルの署名確認とは時点と対象が違う。機種ごとの実装を確認する。
安全計装 / フェイルセーフ	危険な状態を検出したとき安全側へ移す制御。PLCを隔離すると安全になるとは限らず、現場手順と独立した安全系の状態が判断の前提になる。
復旧点	正常なファームウェア、PLCロジック、パラメータ、レシピ、HMI設定、時刻同期、設備校正の組。単一のファイルだけでは工程を戻せない。

2. 構成と判断する位置

架空の工場では、企業IT網→保守VPN→OT境界の踏み台J-1→エンジニアリング端末E-1→PLC-1の経路を使う。SCADA-SはPLC-1の流量・温度を監視し、独立した安全系SIS-1が危険時に停止する。J-1の保守許可は土曜01:00〜02:00、作業票CHG-41に限る。金曜23:40の委託先アカウント接続と、E-1からPLC-1への書込み試行が検知された。製造ラインは稼働中で、即時停止には作業員の立入りと残圧処理が必要である。

保守経路と制御経路

1. 保守VPN
2. 承認接続
3. 設定転送
4. 監視と制御

IT側の認証とOT側の操作を別々に記録する。

SIS-1を通常の保守経路の下流に置かない。独立性は図だけで証明できず、配線、権限、電源、実際の停止試験を確認する。踏み台を遮断しても既にE-1上で開始された操作が続く可能性がある。

3. 正常時の処理と管理

設備責任者が作業票の対象機種、現行版、更新版、停止範囲、時間帯、委託先担当者、立会者を承認する。緊急作業でも口頭だけにせず記録を残す。
製造者の配布経路から更新物とリリースノートを取得し、署名チェーン、ハッシュ、対象型番、依存するブートローダ版、既知の制約を確認する。
E-1の健全性、保守アカウントのMFA、踏み台の接続先制限、操作録画・ログ取得を確認し、作業時間だけ権限を開く。
現場が安全状態と代替運転を確認してから、PLCロジックとパラメータをバックアップし、検証済み手順で更新する。
起動後は署名・起動状態、PLC出力、SCADA表示、警報、工程品質、SIS連携を現場と確認し、作業権限を閉じる。

署名付き更新が成功しても、新版ロジックが工程条件に適合するとは限らない。ラボ試験と現場受入れは別であり、フェイルセーフ動作や安全系との境界をメーカー資料と現場手順に照らす。

4. 設定・記録のフィールドを読む

項目	読み方と注意点
change_id / work_window	接続を承認した作業票と開始・終了時刻。アカウントが正規でも時間外なら例外として調べる。
source / device / session	委託先アカウント、MFA結果、端末証明書、VPN送信元、踏み台セッションを結ぶ。共有IDなら個人の特定には追加証拠が必要。
target / operation	E-1からPLC-1への読出し、オンライン変更、プログラム書込み、再起動を区別。接続だけで設定変更と断定しない。
model / current / target	型番・ハードウェア改版・現行版と更新版。似た製品名でも対象外ファイルを適用すれば停止し得る。
signature / signer / digest	更新物の署名検証結果と信頼鍵、取得元、ハッシュ。署名有効でも旧版へのダウングレードを許す設計なら別対策が必要。
process / alarm	流量、温度、出力、警報、品質値、SIS状態。通信記録と物理過程の変化を時刻同期して照合する。
backup / restore_test	PLCロジックと設定のバックアップ時刻、保管場所、復元試験結果。バックアップがあるだけで復旧可能とは言えない。

以下は架空の記録。時刻は同じタイムゾーンに正規化した。踏み台の許可記録、E-1の操作、PLC-1の監査、SCADAの工程値を相互に照合する。

text

23:40 VPN user=vendor-a mfa=success ticket=CHG-41
23:41 J-1 session=S77 device=vendor-laptop target=E-1
23:46 E-1 session=S77 target=PLC-1 op=write request=R9
23:46 PLC-1 request=R9 result=denied reason=write-window
23:47 SCADA-S flow=81 temp=56 alarm=none
01:00 CHG-41 approved_window=start status=pending

23:40の認証成功は本人や端末の安全性を証明しない。23:46のPLC書込みは拒否されたので、この要求による変更は確認できない。ただし別の制御経路や再試行の有無を調べる。SCADAの単一時点で警報なしという事実だけでは、工程に影響がなかったことも断定できない。

5. 異常が成立する条件と証拠

状態・攻撃	成立条件、証拠、対策の位置
保守IDの悪用	正規MFAが通ってもフィッシング、端末侵害、共有IDで他人が作業する場合がある。作業票、担当者、端末健全性、録画を合わせる。
踏み台の迂回	E-1への別VPN、常設モデム、現場Wi-Fiが残るとJ-1の制限を迂回する。資産・配線・FW規則と現場巡回で確認する。
偽装更新物	配布サイトの侵害や持込みUSBを想定する。署名と信頼鍵を設備側で検証し、取得先の正しさと作業票を別に確認する。
署名は有効だが旧版	古い脆弱版へ戻す攻撃は署名確認だけでは防げない。メーカーが提供する版管理・アンチロールバック機能と互換性を確認する。
制御値の改ざん	SCADA表示だけを信用するとPLC実値や現場計器との差を見落とす。独立した測定と工程トレンドを照合する。
不用意な隔離	PLC通信を遮断するとHMIの監視喪失や連動停止を招く。安全系と現場責任者の手順を確認してから隔離範囲を選ぶ。

NISTのOTガイドはOT固有の性能、信頼性、安全要求を踏まえて管理策を選ぶ。セキュアブートや署名機能は機種により対応範囲が違い、『搭載』という仕様表だけで起動中の設定や信頼鍵の管理状態は分からない。

6. 調査で結論を強くする順序

判定段階	必要な証拠と結論の上限
認証したのは誰か	VPNアカウント、MFA、端末、踏み台セッション、作業票と委託先の確認を結ぶ。アカウント名だけでは本人確定に不足。
何が変更されたか	E-1要求とPLC側の受理・拒否、ロジックのチェックサム、設定差分を確認。E-1の送信ログだけで適用済みとは書かない。
物理影響はあるか	SCADA時系列、独立計器、警報、品質、SIS状態を照合。表示値が平常でも改ざん可能性を残す。
更新してよいか	機種、署名、互換性、保守窓、安全停止、ロールバック、復元試験をそろえ、設備責任者が承認する。
再開できるか	安全状態、ロジック・版、通信、工程品質、現場受入れ、監視継続を確認。遠隔の起動成功だけでは不足。

PLCは入力を周期的に読み出し、ロジックを実行して出力を更新する。悪意ある書込みが受理されると、画面の表示だけでなく弁やモータの動作に影響し得る。一方、PLCログに『write denied』ならその要求による変更は否定できるが、別要求、直接接続、既存の潜伏設定変更までは否定できない。

セキュアブートは起動時の検証、更新物の署名確認は配布と適用時の検証である。両者を同義にしない。信頼の起点となる鍵が交換可能か、破損時にどう復旧するか、工場出荷時の鍵へ戻す手順があるかも設備仕様で確認する。

保守経路は『VPNで暗号化している』だけでは十分でない。VPN終端からPLCまでの到達制御、E-1へのソフトウェア持込み、USB、クリップボード、ファイル転送、委託先が作業後に権限を持ち続けないかを調べる。必要なPLCだけを必要な時間に開く。

PLC更新前のバックアップには制御ロジックだけでなく、I/O割当、ネットワーク設定、校正値、レシピ、依存するHMI/SCADA画面の版を含める。復元イメージが同型機で起動しても、現場の配線やセンサ特性が異なれば同じ工程には戻らない。

現場で感染を疑っても、IT端末のように自動隔離・再イメージを即実施しない。まず安全系の設計、工程の現在状態、停止時の残圧・加熱・化学反応、代替監視を設備責任者と確認する。隔離後に保安上の監視経路が必要なら限定的に残す。

ファームウェアが署名済みでも、その版の脆弱性や工程上の不具合は残り得る。信頼できる供給元からの真正な更新物であることと、当該設備に適用して安全に運転できることは別の判定である。更新後の試運転と品質検査を受入れ条件に含める。

7. 変更・障害・例外運用

運用場面	崩れやすい条件と確認
停止困難な工程	安全停止可能な時刻、段階的な設備切替、代替監視、現場立会いを決める。期限だけで無理な一斉停止を指示しない。
メーカーの遠隔支援	接続先と操作権限を一時的に付与し、セッション記録と作業票を残す。メーカーの正規IDでも無制限接続は認めない。
旧機器で署名非対応	ハッシュと信頼できる配布経路、オフライン媒体管理、立会い、適用後の版確認を代替策として記録し、更新計画を立てる。
通信断	監視だけ失われたか制御も止まったかを区別し、現場計器で安全状態を確認。通信を戻す前に不正設定の残存を調べる。
復元失敗	検証済みバックアップが読めるか、メーカー支援、予備PLC、手動運転手順を確認。復旧時間は媒体の存在だけで決まらない。

例外を許す場合は、対象設備、期間、残る危険、監視、緊急停止判断者を明記する。現場で危険な状態になったときはサイバー対策の手順よりも安全手順を優先し、その後にログと変更を保全する。

8. 封じ込めと復旧条件

OTの調査と安全な再開

1. 安全確認：対応現場とSISを確認／確認する証跡工程値と計器
2. 操作照合：対応保守経路を追跡／確認する証跡票と機器ログ
3. 限定隔離：対応不要な経路を閉じる／確認する証跡疎通と監視
4. 復旧と受入：対応版と品質を検証／確認する証跡試運転記録

制御と安全を維持して証拠と変更を確認する。

安全確認を最初に置く。J-1の保守権限を止めてもPLCの制御は継続する設計か、現場と確認する。停止・復旧操作はIT担当だけで決めず、設備責任者が工程の安全性を判断する。

現場責任者とPLC-1、SCADA-S、SIS-1の現在値と安全状態を確認し、危険があれば承認済みの安全停止手順を実行する。
J-1、VPN、E-1、PLC-1のログ・設定・ファームウェア版・ロジックのハッシュを保全し、時刻差を補正する。
予定外セッションを終了し、委託先資格情報とE-1を調査する。制御上必要な通信を残して保守経路だけを制限する。
既知の正常な版とバックアップを検証し、メーカー手順で必要な更新・復元を行う。信頼鍵やブート状態に疑いがあればメーカーの検証手段を使う。
現場の試運転、品質確認、SCADAと実測の一致、SISの状態、監視の継続を確認し、設備責任者が再開を記録する。

復旧済みとする根拠は『VPN接続を切った』ではなく、無許可の変更がないこと、制御プログラムと設定が正しいこと、工程が安全に動くことの三つである。侵害範囲が確定できなければ暫定監視と再調査を残す。

9. 科目B（午後）の解答手順

科目Bでは『直ちにネットワークから遮断』が常に正解とは限らない。図の制御依存と安全系を読み、誰が、どの操作を、どの機器で行ったかをログから示し、停止できない理由と限定隔離・再開条件を文章で答える。

PLC、SCADA、HMI、安全系の役割を分ける。
保守VPNからPLCまでの各境界と作業票を照合する。
更新物の署名、対象版、セキュアブート、工程試験を区別する。
通信遮断前に物理安全と監視の維持を確認する。

10. 短答演習

演習1：VPN認証成功

条件：23:40にvendor-aでMFA成功。

質問：正規保守作業と確定できるか。

解答：できない。時間外であり、作業票、本人、端末、操作を照合する。

誤答の理由：認証成功を作業承認と同一視している。

演習2：書込み拒否

条件：PLC-1がR9をdeniedと記録。

質問：設定変更なしと断定できるか。

解答：R9による適用は確認できない。別経路・別要求とロジック差分を調べる。

誤答の理由：一件の拒否で全期間の変更を否定している。

演習3：署名済み更新

条件：更新ファイルの製造者署名は有効。

質問：直ちに投入してよいか。

解答：機種、版、作業票、工程影響、復元手順を検証してから投入する。

誤答の理由：真正性と設備適合性を混同している。

演習4：セキュアブート

条件：起動時検証に成功した。

質問：現行ロジックも正しいか。

解答：別途ロジック・設定・工程値を検証する。

誤答の理由：起動コードの検証範囲を制御設定へ広げている。

演習5：即時隔離

条件：PLC-1に疑わしい接続。

質問：ケーブルを即抜いてよいか。

解答：安全系と工程依存を現場で確認し、必要最小限の保守経路から遮断する。

誤答の理由：通信断による監視喪失と物理影響を無視している。

演習6：再開条件

条件：VPNを切り、PLCを再起動した。

質問：復旧完了か。

解答：版・ロジック・設定・実測・品質・SIS状態を確認し、設備責任者が承認する。

誤答の理由：再起動と安全な工程運転を同じにしている。

11. 一次資料

NIST SP 800-82 Rev.3：OTセキュリティ

NIST SP 800-193：ファームウェア保護・検知・復旧

NIST IR 8259A：IoT機器の中核能力

PLC・SCADA・保守接続とファームウェア更新・復旧