閉域網が静かに開いていく「なし崩し」の末路

閉域網の本当の問題点とは

「閉域網（へいいきもう）だから安全、という考えはもう古い」――最近、こうした言い方を目にすることが増えた。閉域網とは、インターネットから切り離した、特定のユーザー専用のネットワークのことである。工場の生産設備、医療機関の院内システム、社会インフラの制御システム、決済の仕組みなど、止められない・漏らせないシステムの多くが、この方式で守られてきた。

先に筆者の立場を明確にしておきたい。閉域網は、本来まっとうなセキュリティ対策である。外部とつながっていなければ、外部からの攻撃は届かない。理屈として正しく、実績もある。問題視されるべきは、閉域網という考え方そのものではない。「閉じている」という前提がいつのまにか崩れていることに気づかないまま、「閉域網だから安全」という結論だけが独り歩きすることである。

閉域網が成立する条件は、想像以上に厳しい。インターネット回線がないこと。無線でつながる機器がないこと。USBメモリーなどの外部媒体が持ち込まれないこと。遠隔からの接続がないこと。これらすべてが満たされて、はじめて「閉じている」と言える。逆に言えば、どれか一つでも破れれば、その瞬間から閉域網ではなくなる。

閉域は「なし崩し」で静かに開く

現場で起きるのは、劇的な閉域網破りではない。業務上の必要性から始まる、小さな例外の積み重ねである。

機器の保守業者が遠隔で対応できるように、VPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →を引く。データの受け渡しのために、USBメモリーの使用を認める。点検のたびに、業者が持ち込んだノートパソコンを接続する。急ぎの作業のために、社員がスマートフォンのテザリングでパソコンをインターネットにつなぐ。ネットワーク対応の複合機やセンサー類を導入する。

どれも、悪意から始まったものではない。むしろ業務を止めないための、真っ当な判断である。だからこそ稟議が通り、例外が認められ、やがて例外であることすら忘れられていく。「なし崩し」である。

重要なのは、これらのうち1つでも発生した時点で、そのネットワークはもう「閉じていない」ということである。しかし現場でも経営会議でも、呼び名だけは「閉域網」のまま残る。「閉域」という言葉には魔力がある。閉じているという響きが、「完全に守られている」という錯覚を生む。実態は開き始めているのに、言葉が安心を供給し続けるのである。

「導入した」という安心が盲点になる

閉域網の現場では、しばしば2つの対策が併用される。1つはホワイトリストである。あらかじめ許可した業務ソフトだけを動かし、それ以外は一切動かさない仕組みで、閉域網と相性がよいとされる。もう1つは、セキュリティ更新の停止である。「外部とつながっていないのだから、新しい攻撃は入ってこない。更新はむしろ業務システムを止めるリスクだ」という理屈で、ソフトの更新が止められる。

「なし崩し」「ホワイトリスト」「更新の停止」――いずれも一つひとつはそれなりに筋の通った判断に見える。しかし3つが重なったとき、盲点は最悪の形で完成する。

まず、なし崩しによって、外部との接点はすでに存在している。閉域の前提が崩れているのだから、攻撃が入ってくる経路はある。次に、ホワイトリストは「許可したソフトかどうか」しか見ないため、許可されたソフト自体に潜む弱点は、そのまま素通りさせることになる。そして更新を止めているため、その弱点はいつまでも塞がれない。攻撃する側から見れば、新しい道具を持ち込む必要すらない。すでにそこで動くことを許されているソフトの弱点を突けばよいのである。

こうして事案が起きたとき、経営者の口から出るのは決まって同じ言葉である。「対策はしていたのに」。閉域網も、ホワイトリストも、たしかに導入した。しかし3つの安心は、いずれも「前提が維持されていること」の上に成り立つ安心だ。前提を維持すること、すなわち運用こそが、対策の本体だったのである。

確かめるべきは「閉じたか」ではなく「閉じきる運用を行っているか」

ここまでの話を一言でまとめれば、こうなる。閉域とは原則ではなく、運用である。

玄関にしっかり鍵をかけた家でも、合鍵を方々に配り、勝手口を開け放していれば、施錠の意味はない。「鍵をかけた」という過去の事実ではなく、「鍵をかけ続けている」ことを保つ日々の営みが、安全の実体である。閉域網もまったく同じで、導入した日に安全が確定するのではなく、閉じきる運用があって初めて、対策として機能し続ける。

経営者に提案したい行動は3つある。

第1に、「例外の台帳」を作ることである。自社の閉域網に、遠隔保守の接続、USBメモリー、持ち込みパソコン、テザリング、ネットワーク対応機器といった例外がいくつあるのか。一覧にして、経営が把握する。台帳に載っていない例外こそが、最大のリスクである。

第2に、例外に条件を付けることだ。例外を認めるなら、期限を切る。接続の記録を残す。定期的に点検する。無条件で認められた例外は、もはや例外ではなく、常設の穴である。

第3に、維持できないなら、設計を変える決断をすることである。例外が積み重なり、もはや閉域と呼べない実態であるなら、「閉域網」の看板を下ろし、「開いていることを前提に、監視で守る」などの設計へ切り替える。これは敗北ではない。実態に合わない看板を掲げ続けるより、はるかに誠実な経営判断である。

そしてさらにもう一つ、付け加えておきたいことがある。例外を認めて「なし崩し」を起こした現場を責めても、意味はない。例外の多くは、業務を止めないための判断から生まれている。責めるべきは人ではなく、業務の要請とネットワークの設計との間のずれを放置してきた構造のほうである。

「うちは閉域網だから大丈夫です」――現場からそう報告を受けたとき、経営者が返すべき問いは1つである。「その閉域の、例外はいくつある？」

即答できるなら、その閉域網は運用されている。答えに詰まるなら、閉じているのはネットワークではなく、実態への目のほうかもしれない。まずは次の会議で、この問いを口にしてみてほしい。