1. なぜ製造業のIRは「特殊」なのか——ライン停止という重い判断
ランサムウェアのインシデント対応（IR: Incident Response）には、検知・封じ込め・根絶・復旧という共通の型があります。しかし製造業では、この型に「生産ラインを止めるかどうか」という他業種にはない重い判断が加わります。オフィスのPCが感染したのとは訳が違い、稼働中の生産設備を止めれば、それ自体が数百万〜数億円規模の損失に直結するからです。
製造業のIRを難しくしている要因は、大きく3つあります。
- 止めることのコストが極端に大きい：ジャストインタイム生産では在庫の緩衝が薄く、1社の停止が取引先の生産ライン全体に波及します。国内では、部品サプライヤー1社の被害が完成車メーカーの国内全工場停止につながった事例が実際に発生しています。
- IT系とOT系が地続きになっている：生産効率化のためにIT（オフィス・基幹系）とOT（生産設備・制御系）のネットワークが接続され、攻撃が一方から他方へ広がりやすくなっています。
- OT機器は「止められない・パッチできない」前提で動いている：制御用PCに古いOSが現役で残り、可用性が最優先されるため、通常のIRの常套手段（隔離のための電源断、パッチ適用）がそのまま使えません。
この記事の立ち位置
本記事は、実際に起きたインシデントを防御・対応の観点から整理した実務ランブックです。攻撃手法の再現手順ではなく、「感染が起きてしまった後、製造現場の責任者と情報システム部門が何を・どの順で判断・実行すべきか」に焦点を当てます。攻撃者視点の手順は扱いません。
2. 最初の1時間——検知から初動判断まで
ランサムウェア対応は最初の1時間が勝負です。この段階での目的は「犯人を突き止めること」ではなく、被害の拡大を止め、正しい意思決定者に情報を集約することです。以下を並行して進めます。
やるべきこと
- 被害範囲の初期把握：暗号化・脅迫メッセージが出ている端末/サーバーを特定し、どのネットワークセグメント（オフィス系/基幹系/生産系）に属するかを記録する。
- ネットワーク的な隔離：感染が確認された端末をネットワークから切り離す（LANケーブル抜線・Wi-Fi無効化・スイッチポート遮断）。横展開を止めるのが目的。
- IRチームの招集：情報システム、生産管理、経営、広報、法務の意思決定者に一斉連絡。あらかじめ決めた連絡網を使う。
- 証跡の保全：ログ・メモリ・暗号化ファイルの状態を保存する。後の原因調査・当局報告・保険請求に必要。
やってはいけないこと
- 安易な再起動・初期化：揮発性の証跡（メモリ上の痕跡）が失われ、復号の手がかりや原因究明の材料を消してしまう。
- 身代金への即断：初動での支払い判断は禁物。支払っても復号される保証はなく、警察庁・IPA・各国当局は一貫して支払いを推奨していない。
- 独断での公表・沈黙：広報・法務を通さない情報発信も、逆に必要な報告を怠ることも、後で問題になる。
「印刷された脅迫状」で気づくことがある
国内の実例では、ネットワークプリンターから脅迫文が一斉に印刷されたことで感染に気づいたケースがあります。異常検知の仕組みが弱い現場では、発見が遅れがちです。「いつもと違う」に現場が気づいた時点で、ためらわず情報システム部門へエスカレーションする文化と連絡経路を、平時に用意しておくことが初動を左右します。
3. 生産ラインを止めるべきか——IT/OT分離判断のフレーム
製造業IRの核心がこの判断です。原則は「安全とさらなる被害拡大の防止が、生産継続に優先する」ですが、機械的に全停止すればよいというものでもありません。判断を次の3つの問いに分解します。
問い①：感染はOT（生産系）に到達しているか
感染がIT系（オフィス・基幹系）にとどまっているのか、OT系（生産設備の制御ネットワーク）に達しているのかで対応は根本的に変わります。IT/OT間が適切に分離（セグメンテーション）されていれば、IT系を隔離しつつ生産は継続できる可能性があります。逆に、両者が地続きなら、生産系への波及を防ぐために接続点（DMZ・境界ファイアウォール）を遮断する判断が必要になります。
問い②：止めないことで安全上のリスクがあるか
制御システムが侵害された状態で設備を動かし続けると、品質異常や安全上の事故につながる恐れがあります。人身・環境・設備破損のリスクがある場合は、経済的損失よりも安全を優先し、計画的に停止します。
問い③：止める場合、安全に止められるか
化学プラントや連続生産設備は、いきなり電源を落とすと危険な場合があります。「サイバー上の隔離」と「物理的な安全停止」は別物です。ネットワークを切り離しても設備は安全手順に沿って停止させる必要があり、この手順は設備メーカーと事前に確認しておくべきものです。
| 感染の到達範囲 | 生産ラインの扱い | 主な初動 |
|---|---|---|
| IT系のみ（OTと分離済み） | 原則、生産は継続可能 | IT系を隔離し、IT/OT境界を監視強化 |
| IT系のみ（OTと未分離） | 波及防止のため停止を検討 | IT/OT接続点を遮断し、OT側の感染有無を確認 |
| OT系に到達 | 安全手順に沿って計画停止 | 制御ネットワークを隔離し、設備メーカーと復旧協議 |
「感染がどこまで届いているか」を即座に把握できますか？
UPAS ZTAは工場内のIT/OT資産と通信を可視化し、感染の到達範囲の特定と、IT/OT境界での封じ込めを支援します。止めるべき範囲を最小化する判断材料を提供します。
4. 封じ込めと根絶——IT系とOT系で手順が違う
被害範囲を把握したら、これ以上広げない「封じ込め」と、攻撃者の足場を除去する「根絶」に進みます。ここで重要なのは、IT系とOT系で使える手段が異なるという点です。
IT系（オフィス・基幹系）の封じ込め・根絶
- 感染セグメントのネットワーク隔離、侵害アカウントの無効化・パスワード全面リセット。
- 攻撃者が使う遠隔操作の経路（不正なリモートアクセス、作成された不正アカウント、永続化の仕掛け）を特定して除去。
- 初期侵入経路（VPN機器の脆弱性、フィッシング、窃取された認証情報など）の特定と封鎖。ここを塞がないと再侵入される。
- クリーンであることが確認できるまで、復元した環境を本番ネットワークに戻さない。
OT系（生産・制御系）の封じ込め・根絶
- 制御ネットワークをIT系から論理的に切り離し、外部との通信を遮断する。
- レガシーOSや専用機器は「パッチで直す」ができないことが多いため、ネットワーク分離と通信制御で守るのが基本方針になる。
- 設備の再稼働は、設備メーカー・エンジニアリング会社の立会い・承認のもとで行う。勝手なOS再インストールが保証・安全認証を無効にすることがある。
- 制御用端末のバックアップ（設定・プログラム）から、検証済みの状態へ戻す。
「初期侵入経路を塞ぐ」まではインシデントは終わらない
暗号化されたデータを復旧しても、攻撃者が入ってきた穴（脆弱なVPN、盗まれた認証情報など）が残っていれば再び侵入されます。実際、復旧を急いで侵入経路を塞がないまま再稼働し、再感染する事例は少なくありません。「業務が戻ること」と「インシデントが終わること」は別だと理解しておく必要があります。
5. 復旧の優先順位——「どこから戻すか」の設計
復旧は「全部を一度に戻す」のではなく、事業への影響と安全性から優先順位をつけて段階的に行います。この優先順位は、混乱した現場で即席に決めるのではなく、平時に定めておくべきものです。
復旧優先順位を決める観点
- 安全性：安全に関わるシステムを最優先で健全化する。
- 事業インパクト：止まると最も損失が大きい生産ライン・受発注システムを上位に。
- 依存関係：他システムの前提となる基盤（認証基盤・ネットワーク・ディレクトリ）を先に戻す。
- クリーンさの確証：感染していないと確認できたものから戻す。急いで汚染環境を戻すと振り出しに戻る。
バックアップからの復旧で確認すること
- バックアップ自体が暗号化されていないか：本番と同じネットワークにあったバックアップは、ランサムウェアの暗号化対象に含まれてしまうことがある。オフライン/イミュータブル（変更不可）なバックアップが生命線になる。
- バックアップにマルウェアが潜んでいないか：感染後に取得したバックアップから戻すと、マルウェアごと復元してしまう。復元前にクリーンさを検証する。
- どの時点に戻すか：感染前の健全なポイントを特定する。ここでログとタイムラインの精度が効いてくる。
身代金を払っても「元通り」にはならない
身代金を支払っても、復号ツールが完全に機能する保証はなく、データの一部が破損したままになることもあります。加えて、支払いは攻撃者グループの資金源となり次の攻撃を助長します。警察庁・IPA・海外の法執行機関はいずれも支払いを推奨していません。頼れるのは、平時に用意したオフラインバックアップからの自力復旧体制です。3-2-1-1（3コピー・2媒体・1オフサイト・1オフライン）の考え方が実務上の目安になります。
6. 平時の備え——IRを機能させる7つの前提
ここまで述べた対応は、いずれも平時の準備があって初めて機能します。感染してから考え始めても間に合いません。製造業が備えておくべき7点を整理します。
- IT/OT資産の可視化：工場のネットワークに何が繋がっているかを把握する。台帳がなければ「どこまで感染したか」の判断すらできない。
- ネットワークセグメンテーション：IT系とOT系、さらにOT内部をゾーン分割し、感染の横展開を物理的・論理的に制限する。
- オフライン/イミュータブルバックアップ：ランサムウェアが暗号化できないバックアップを確保し、復旧テストまで行う。
- インシデント対応計画（IRP）と連絡網：誰が・いつ・何を判断し・どこへ報告するかを文書化し、連絡経路を最新に保つ。
- ライン停止判断基準の事前合意：「どういう条件なら生産を止めるか」を経営・生産・情シスで事前に握っておく。有事の即断を可能にする。
- 設備メーカー・専門家の緊急連絡先：OT復旧に不可欠な設備ベンダー、フォレンジック事業者、（加入していれば）サイバー保険の連絡先を整理しておく。
- 机上訓練（テーブルトップ演習）：「サプライヤー経由で感染」等の具体シナリオで、判断と連絡を実際に動かしてみる。手順書は使って初めて弱点が見える。
「感染してから」では間に合いません
Net Peaceは、製造業のIT/OT資産可視化・ネットワーク分離・アクセス管理・インシデント対応体制づくりを支援します。現状のギャップ分析からご相談ください。
7. Net Peaceによる製造業のインシデント対応支援
Net Peaceは、製造業がランサムウェアに「備え」「対応し」「再発を防ぐ」ための基盤を、製品と支援の両面から提供します。
UPAS ZTA——IT/OT資産の可視化と封じ込めの土台
UPAS ZTAは、工場ネットワーク上のIT/OT資産と通信をエージェントレスで可視化します。平時は「何がどこに繋がっているか」の台帳を最新に保ち、有事には感染の到達範囲の特定とIT/OT境界での封じ込めを支えます。認証済みデバイスのみ通信を許可する制御により、横展開そのものを抑止します。
Keyper——初期侵入と再侵入を断つフィッシング耐性認証
ランサムウェアの初期侵入は、脆弱なリモートアクセスと窃取された認証情報が起点になりがちです。KeyperはFIDO2/パスキーによるフィッシング耐性認証で、VPN・特権アクセス・リモートメンテナンス接続を保護し、封じ込め後の「侵入経路を塞ぐ」フェーズでも中核的な役割を果たします。
セキュリティ診断・体制づくり支援
現状のネットワーク分離状況・バックアップ体制・インシデント対応計画のギャップを可視化し、机上訓練の設計まで含めて、製造業のインシデント対応力向上を支援します。感染前の備えこそ、被害の大きさを決める最大の要因です。