イントロダクション
2022年3月1日 トヨタ自動車の主要サプライヤーの小島プレス工業が、マルウエア（悪意のあるプログラム）の感染被害を公表しました。
その影響で、14か所の工場の28ラインが止まり、約13,000台の生産を見送る大損害を出しています。
これはトヨタ生産方式の肝であるジャスト・イン・タイムの根幹であるサプライチェーンを狙った犯行と思われ、その影響力の大きさが再確認できたのと同時に、リスクの大きさが浮き彫りになった格好になりました。
そもそも、このリスクについては以前から指摘されていたようです。
実は2020年にホンダもランサムウエアの被害を受け、国内外の9工場の生産を一時停止させる被害を受けています。
日本のメーカーは、全般に「セキュリティー対策が甘い企業が多い」とハッカーに認識されており、ターゲットになっているとの指摘もあります。
【参考記事】
トヨタ取引先のサイバー被害で露呈した「供給網リスク」、狙われる保守用VPN装置
ハッカーに狙われたトヨタ車の部品、急所は他に「約200社」か
課題と解決策について考察してみる
リスク管理
ハッカーの手口としては、システムの脆弱性を狙って攻撃するとのこと。
新たな脆弱性が発見されると、それが対策される前に狙われるわけですね。
100%完璧なセキュリティはないので、リスクをまず認識することが必要になります。
そして、早期に復旧・再開できるように準備をしておく必要があります。
いわゆるBCP（Business Continuity Plan）ですね。
PMBOKによると、リスクマネジメントのプロセスには
- リスク・マネジメント計画
- リスク特定
- 定性的リスク分析
- 定量的リスク分析
- リスク対応計画
- リスク・コントロール
があります。
今回のケースは「プロジェクト」ではないかも知れませんが、システムを構築する段階で想定しておくべきリスクという意味では同じことが言えるのではないかと考えています。
また、運用・保守フェーズにおいてもリスクマネジメントを機能させる必要があり、将来的なリスクをどれだけ想定できるかが重要になってきます。
今回は、
「停止したサーバーの一部を再稼働させ、代替手段によってトヨタの工場は3月2日に稼働を再開した」
「小島プレス側のシステムは同日午前11時点で全面復旧には至っていない。」
ということですので、恐らくこのようなリスクに対して手を打ってあったのだと推測できます。
100%安全なセキュリティシステムはないので、いかに被害を最小限に抑え、いかに早期復旧できるか
そういう仕組み作りが技術者の腕の見せどころですね。
コメント