サイバートラスト製品サービス導入事例

竹中工務店が BA/FA の価値を高める脆弱性診断を実施、サイバー攻撃の脅威からスマート設備の安全対策を強化

事例企業：株式会社竹中工務店

目的： IoT 化が進むオフィスビルシステムの脆弱性調査

導入前の課題

従来のビル管理システムは外部から遮断されたネットワーク網に各種の建屋設備を接続し、管理者の保守性と安全性を確保していたが、IoT 設備がネットワークで結ばれる必要があり、どこにどのようなリスクがあるのかが判らなかった。閉域網で使われていたビル設備が外部・内部ネットワークで結ばれるリスクを事前に検証したい。

導入の目的・解決手段

竹中工務店の所有・管理するビルディングオートメーションシステムで、設備セキュリティに潜むリスクを検証するために、3 つのパターンで IoT 設備セキュリティ脆弱性診断を実施、ペネトレーションテストで危険な箇所を洗い出し。

導入効果

ペネトレーション診断の結果、緊急性の高い脆弱性が多数検出され、アクセス制御や最新パッチの適用に監視実装の強化など、多くのパターンにおいて、これまでよりも強固なリスク対策が必要になると判明。リスク対策を強化する必要性を再認識。さまざまな攻撃を想定した対策に向けBA 向けセキュリティソリューションの開発を推進。

「最良の作品を世に遺し、社会に貢献する」を経営理念とする竹中工務店。品質重視の経営に徹し、顧客満足度の向上と社会の信用を得る経営方針を貫く同社は、IoT 化が加速するビルオートメーションシステムの品質をセキュリティ面からも強化するために、サイバートラスト、ソフトバンク・テクノロジーとの共同による IoT 脆弱性診断を実施しました。
不正アクセスや情報漏洩を想定したペネトレーションテストにより、研ぎ澄まされたデジタル攻撃にたいして無力なビルシステムの姿が明らかになり、IoT に対応したスマート設備の安全対策を強化する取り組みの必要性が明確になりました。

取材：2018 年 11 月

課題：建屋設備（ビル・工場等）の IoT 化によるサイバー攻撃の危険性

「品質経営」を基本として事業活動を推進する竹中工務店は、創業時から建築専業と設計施工一貫を事業の柱としてきました。「請け負った仕事には最後まで責任を持つ」という強い信念で、組織を率いて大きな仕事を成し遂げる統率力で建物を施工し、多種多様な材料を調達して、充実した建屋設備（ビル・工場等）も整備してきました。

情報エンジニアリング本部長後神洋介氏同社の情報エンジニアリング本部長後神洋介氏は、IoT 時代を迎えたビル管理システムにおいて、脅威を増しているサイバー攻撃に対して、責任ある対応が必要だと考えています。そして「竹中工務店が目指している IoT 時代のビル管理システムは、クラウドを活用してビルの状態を見える化し、柔軟性やリアルタイム性のあるパーソナルな制御やデマンドレスポンスの提供です。しかし、ビル管理システムの高度化は、危惧しなければならない面もあります」と話します。

従来のビル管理システムは、外部から遮断されたネットワーク網に各種の建屋設備を接続し、管理者の保守性と安全性を確保していました。しかし IoT 時代に求められるビル管理システムでは、閉域網で使われていた IoT 設備がネットワークで結ばれます。その結果、サイバー攻撃などのリスクが発生します。すでに海外では、ビル管理システムに侵入し、照明制御機器を不正に操作することで、ビルの照明でインベーダーゲームのような映像を映し出すという衝撃的なハッキングが行われおり、その一部始終が Youtube にて公開されています。

そこで後神氏は「IoT 機器の脆弱性を診断するため、2017 年 12 月に、ソフトバンクテクノロジーとサイバートラストの協力を得て、データ処理や認証情報などへの不正アクセス、データやパラメータ改ざん等を診断してもらいました。またデバイスや制御コントローラーなどに潜む脆弱性や潜在的なセキュリティ要因を検出したのです」と取り組みを振り返ります。

検証：サイバートラストによる IoT 設備環境の脆弱性診断、ペネトレーションテストを実施

2017 年 12 月にサイバートラストは、竹中工務店の所有・管理するビルディングオートメーションシステムで、設備セキュリティに潜むリスクを検証するために、3 つのパターンで IoT 設備セキュリティ脆弱性診断を実施しました。

まずパターン 1 では、「執務室」を想定したビル内の一般的なオフィスフロアから、建屋設備をコントロールしている中央制御室への侵入を試みました。執務室の構内ネットワーク網から、中央制御室を保護している FireWall（NAT ルーター）を攻撃して、管理サーバーにアクセスできるか検証しました。
次のパータン 2 では、中央制御室内のネットワークに診断用の PC を接続して、管理サーバーに接続されている各種の制御コントローラーをハッキングできるか試行しました。
そしてパターン 3 では、建屋設備を直接制御しているコントローラーに、イーサネットやシリアル回線を使って接続し、侵入できるか診断しました。

これまで、閉域網で管理されていた建屋設備を制御する各種のコントローラーは、外部からリモートで不正にアクセスされる危険性はありませんでした。しかし、ビルの管理状態を見える化するためには、IoT 化された制御コントローラーや管理サーバーなどの情報が、ネットワークを経由して外部とやり取りされるようになります。その結果、中央制御室の各種制御コントローラーは、許可されていない持込PC のように悪意あるハッカーから遠隔でサイバー攻撃されるリスクが増大するのです。

今回のIoT 設備セキュリティ脆弱性診断では、将来的なリスクを予測するために、診断技術者によるマニュアル作業と専用ツールを使い、30 項目以上の診断項目に基づいて、設備ネットワークや各種の機器・端末に対して、ペネトレーション診断を実施しました。主な調査項目は、各種サブシステムや制御コントローラーへの不正アクセス、データやパラメータ改ざんなどの入出力に関するものから、ログイン認証に、権限などの認可、そして制御コントローラーの乗っ取りや外部ポートからの侵入などに及びました。

結果：IoT 設備に潜む危険性が洗い出される

ペネトレーション診断の結果、緊急性の高い脆弱性が多数検出されました。まずパターン1 で実施された「執務室」における社内情報（OA）系ネットワークから閉域網での運用を前提とした制御（BA）ネットワークへの侵入では、FireWall による保護を確認できました。しかし、時間を掛けて攻撃を実施することで、侵入される可能性があることも判明しました。高度なハッキング技術を用いたら、侵入される危険性もあるのです。次のパターン2 にあたる中央制御室という閉域網での運用を前提とした制御（BA）ネットワーク上のサーバー/ 機器に対しての侵入と攻撃では、対象システムが被害を受ける可能性があることが判明しました。そしてパターン3 の設備を制御するコントローラー機器自体の評価では、攻撃を受けることを前提に設計されていない機器を踏み台にすると、ビル制御機器に被害を及ぼす可能性が判明しました。

結果的に、アクセス制御や最新パッチの適用に監視実装の強化など、多くのパターンにおいて、これまでよりも強固なリスク対策が必要になるとわかったのです。

成果：スマートファシリティ化に向けた付加価値を向上させる

IoT 設備セキュリティ脆弱性診断の結果を受けて竹中工務店の後神氏は「結果をもとに、共同でビル管理システムのセキュリティ対策を強化し、ビル管理システムをはじめとした EMS 市場向けのソリューションの共同開発を進めていきたいと考えています」とリスク対策を強化する必要性を再認識しました。
サイバートラストが実施した「IoT 脆弱性診断サービス」は、IoT 機器や設備に対して最新のサイバー攻撃を熟知した専門のセキュリティエンジニアが、攻撃者の視点で情報システムの脆弱性を徹底的に調査します。IoT 機器を組み合わせた情報システムの潜在的な問題点を洗い出します。
後神氏は「情報セキュリティのコンサルタントによるリスクアセストメントを行い、物理的対策や人的対策を検討していきます」と今後に向けた計画を語ります。