サイバー攻撃は、業務、財務、そして場合によっては人命に関わるリスクをもたらします。
製造業のデジタル化は、サイバー犯罪の新たな経路を開きました。
これら5つの原則は、製造業者が組織的なサイバーレジリエンスを構築する上で役立ちます。
インダストリー4.0の導入が進み、製造プロセスにデジタル技術が遍在するようになったことで、サイバー犯罪者が悪用できる新たな経路が開かれました。
最近、製造業を標的としたサイバー攻撃が急増しており、運用面および財務面の脅威だけでなく、さらに人命に関わる可能性のある混乱を重要インフラにもたらしています。製造業者にとって、もはや問題はサイバー攻撃が起きるかどうかではなく、いつ起きるかです。
本稿では、製造業者がサイバーレジリエンスの文化を醸成するための5つの重要な原則を取り上げます。
世界経済フォーラムは、高まるサイバーセキュリティの課題にどのように取り組んでいますか？
サイバーセキュリティセンターは、進化を続けるサイバーリスクとそのシステミック（体系的）な影響を理解するため、リーダーが集う信頼性の高いプラットフォームを提供しています。相互接続がますます進むデジタル世界において、理解と信頼の構築に注力しています。
分野横断的な連携と知見の共有を可能にすることで、センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に対処できるよう支援しています。
1. サイバーレジリエンスを事業上の必須事項とする
サプライチェーン内の一つのサイバー侵害は、引き金となって業務の中断、財務的損失、規制違反、そしてますます増加する物理的な被害を引き起こす可能性があります。したがって、最初のステップは考え方や姿勢を転換し、サイバーレジリエンスをサプライチェーン組織全体で受け入れられる事業上の優先事項として位置づけることです。
文化の変革はトップから始まるため、サプライチェーンのリーダーが自ら考え方の転換を率先し、模範となることが極めて重要です。人の安全や製品品質といった既存の文化に、この取り組みをシームレスに統合することも含みます。
これは、教育・研修キャンペーンを推進し、全階層の従業員が日常業務の一部として、サイバーレジリエンスの維持における自らの役割を理解できるようにすることにつながります。また、積極的な脅威の特定から、体系的なインシデントの報告と対応に至るまで、サイバーセキュリティプロトコルの遵守を促すよう報酬制度を見直すことも必要です。最後に、明確な方針、実務的な手順、定期的な点検、継続的な監視を伴うガバナンス体制にサイバーセキュリティを組み込み、逸脱に迅速に対処することが求められます。
2. サイバー能力を絶えず向上させる
サイバーレジリエンスは一度きりの取り組みではなく、継続的な旅路です。脅威の状況は絶えず進化しており、従来は孤立していた、しばしば時代遅れの制御技術（OT）を、より接続された情報技術（IT）と融合させて悪用する新たな手口が登場しています。この融合は、製品およびシステムの脆弱性と相まって、サイバー脅威に対する攻撃対象領域を拡大させています。
サプライチェーンの効率化から製品イノベーション、顧客サービスに至るまで、長期的な便益の実現を可能にするうえでIT/OTエコシステムがいかに重要になったかを考えると、製造業者にとってサイバーレジリエンスの能力と、それに関連するガバナンスを育成し、絶えず強化することが極めて重要です。
まず、製造およびサプライチェーンの業務に近い現場と本社の双方に専任のサイバーセキュリティ人材を配置し、円滑な連携を確保することから始まります。その任務には、資産を積極的に棚卸しすること、旧式化したインフラを更新すること、サイバーセキュリティ方針を実施すること、定期的な評価を行うことが含まれるべきです。また、インシデント対応と危機管理の訓練を行い、インシデントを報告・対応すること、そして重要なこととして、継続的な教育・研修プログラムを通じてセキュリティ文化を育むことも必要です。
従業員は組織の第一線の防御であると同時に、潜在的な弱点でもあることを忘れてはなりません。そのため、必要なスキル、知識、ツールに支えられた明確な責任と権限を与え、組織を守れるようにすることが重要です。
3. 設計段階からサイバーレジリエンスを推進する
サイバーセキュリティは、プロジェクトの完了後に後付けで付加されるような、後回しにされるべきものではありません。むしろ、すべてのプロセスとシステムに「設計段階から」組み込まれ、設計原則が組織の根幹に織り込まれるべきです。これは、新しい製品、プロセス、システム、技術の開発において、サイバーセキュリティを基本的な要件として扱うことを意味します。
産業上のDNAにサイバーレジリエンスを組み込むことは、執行の仕組みにも左右されます。例えば、シュナイダーエレクトリックは経営層からの指示を徹底しています。「スマートファクトリー」や「スマート配送センター」といった新規プロジェクトや社内認定ラベルは、期待されるサイバーセキュリティ性能目標を満たす工場や配送センターにのみ付与されます。さらに2022年以降、新設されるすべての生産ラインは、業界で認められた標準に準拠しなければなりません。
これらの措置に加えて、サイバーレジリエンスは意思決定プロセスに組み込まれ、企業のガバナンスの不可欠な一部となるべきです。この先取り的なアプローチにより、事後的な対策ではなく、当初からセキュリティを基本的な検討事項として位置づけることができます。
4. 拡張されたエコシステムとのパートナーシップを築く
デジタル化が加速するにつれて、リスクプロファイルも進化しており、組織は内部（例：産業化）と外部（例：ロボティクス、人工知能）の両方の豊富な専門知識を活用する必要があります。
社内では、まずIT部門とパートナーシップを築き、その専門知識を活用して複雑なデジタル環境を乗り越え、実用的かつ安全なIT/OTの融合を推進することから始まります。また、IT/OTおよびサイバーセキュリティの専門家が最新の脅威と緩和策を常に把握できるよう支援するネットワークを育成することで、サイバー人材のプールを構築・準備することも必要です。
社外では、サプライヤー、顧客、業界団体、公共部門の組織と協力し、リスク軽減のベストプラクティス、新たな脆弱性などの脅威情報、製品や体制に関する規制要件などについて取り組むことが含まれます。新鮮な視点は隠れた弱点や最近の傾向を明らかにし、サイバーレジリエンス戦略の見直しに役立つとともに、インシデント発生時に備えて関係を強化することにつながります。
5. 組織にとって簡潔で魅力的なものにする
サイバーセキュリティの技術的な複雑さの中でも、リーダーは簡潔さの原則を採り入れるべきです。メッセージを簡素化することとサイバーレジリエンスに関する戦略を分かりやすくすることは、組織全体がアクセスしやすく、関心を持てるようにするうえで不可欠です。
まず「ストーリーテリング」から始め、専門用語や技術的な詳細を避け、平易な言葉でサイバーレジリエンスの重要性を伝えます。
サイバー攻撃の潜在的な影響を身近な言葉で示し、それが個々人の業務や組織全体の使命にどのように影響するかを強調します。
それを成長と革新の機会として位置づけます。サイバーレジリエンスの取り組みに、わくわくする感覚を吹き込む。
研修をゲーム化し、積極的なサイバーセキュリティ行動を認識・評価し、サイバーレジリエンスへの道のりにおける節目や成果を祝うことで、従業員がサイバーチャンピオンになることを促します。
行動喚起：製造業のサイバーレジリエンスを推進する
サイバーレジリエンスを事業上および集団的な最優先事項とし、サイバー能力を絶えず向上させ、設計段階からサイバーレジリエンスを推進し、拡張されたエコシステムとパートナーを組み、そして簡潔さと魅力を保つことで、製造業者はサイバー脅威の中で重要な資産を守り、事業を維持し、評判を保護する能力を強化できます。
私たちは共に、これら5つの原則を受け入れ、製造業をサイバー脅威の危険から守り、すべての人にとってより安全で確かな未来を築きましょう。
