攻撃を知り、守りが「自分ごと」になった。
第1回：なぜ私は24年勤めた会社を辞めたのか - 4時間で決まった転職
【連載記事】 この記事は全9回の連載です。📚 連載まとめ・目次はこちら
はじめに
2010年頃に話題となった Stuxnet を契機に、制御システムセキュリティの重要性が注目されてから十数年が経ちました。
本連載を読んでいる方なら、「USBの扱いに注意」「ITとOTは違う」といった話を、何度も耳にしてきたはずです。
ただ、現場で本当に困るのは、そこから先です。
「結局、どの対策が効くのか」「何をどこまでやるべきか」「攻撃は現実にどう起きるのか」。
この"腑に落ちない感じ"が残ったまま、仕事だけが進んでいくことがあります。
本連載は、制御システムの基本やマネジメント論を体系的に解説するものではありません。
代わりに、田中という架空の技術者の経験談として、現場の感覚と判断のプロセスを描きます。
田中は、重要インフラ（電力分野）の制御システム開発に二十年以上携わり、主に「止めないための設計」と「現場で起きるトラブル」に向き合ってきました。
その後、サイバーディフェンス研究所に場所を移し、攻撃者の視点やペネトレーションテストの知見を学びます。
防御の現場にいた者が、攻撃の世界に触れたとき、何が見え、何が変わるのか。
田中の物語を通して、読まれた方が「自分の判断」を行う上での参考になれば幸いです。
序章
2019年、田中は「もう、ここでやれることはないな」と思った。
振り返ると入社から24年、重要インフラのシステム設計現場の最前線で活動してきた。いろいろあったが、現場の一技術者でいることにこだわり続けてきたからこそ得られたものは大きかったと思う。
会社を辞めるにあたり、入社の頃から振り返ってみよう。
1993年、大学の研究室にて
1993年、田中は大学の研究室のSUNワークステーションの前に座っていた。
その後産業界では広く使われるSolarisというUNIX系のOSが動く計算機である。PCを見るとMicrosoftのOSは無骨なMS-DOSでありWindowsも発売されていなかったころである。
ワークステーション上では初のブラウザであるMosaicが動きインターネットとつながるという夢のような世界がそこにはあった。
研究室は重要インフラが専門であったが、ワークステーションをいじって残り大学生活を過ごした。
1996年、就職
1996年、就職するにあたり、漠然と自分でシステムをつくりたい、ワークステーションをさわり続けたいという思いがあり、たまたま重要インフラが専門の研究室にいたことから、重要インフラの制御システムの開発を行っているTHM社に入社することになった。
2019年、退職を決意
それから24年が経ち、2019年になっていた。
セキュリティ機能をはじめとするインフラ周りの開発もひと段落した。
ここで、ふと立ち止まった時、これから先に、この会社で何ができ何がしたいかを考えてみた。
ここまでを振り返って、大小さまざまなシステムの開発に関わることができた。北は北海道から南は沖縄まで、日本中のシステムの現場を見ることができた。いずれもここにいなければ経験できなかったことである。
田中には、入社した時から持ちつづけていた思いがあった。それは、組織の一人ではなく、一技術者として、いや職人といったほうがピタリとする、独り立ちすることであった。
長年忙しさに忙殺されてきた中、忙しい中にもやりたいことをそれなりにできたこともあり、24年間会社に居続けたが、今48才、人生の半分の24年をこの会社で過ごし、新たな世界に踏み出す最後のチャンスという思いが強くなり退職することを心に決めた。
もやもやとした不安
退職して自分の力を試すとはいえ、自分の腕を必要としてくれる人がいなければ生活はできない。
何をしようかと考えたとき、セミリタイアなどという考えも浮かんだが、せっかく学んできたサイバーセキュリティについて、もう少し本格的に取り組んでみるのも悪くないという思いが浮かんだ。
これまで、システム全体のセキュリティ設計を担当してきて、日本の制御システム業界に対して疑問と不安が、もやもやと膨らんできていた。
それは、**攻撃側の能力が日々強力になっている中、制御システムを企画し設計している人々のうち、「実際の攻撃がどのように行われ、どのセキュリティ対策が、どのように有効に働くのか？」理解できている人が日本にはどれだけいるのだろうか？**という不安である。
日本にも、情報系のITシステムに明るいセキュリティの専門家は多いだろうし、制御システムのセキュリティについて長年研究している研究者もいる。
ただし実際の制御システムを企画・設計し運用した経験のあるセキュリティ専門家は少ないに違いない。
一方、制御システムを実際に企画・設計・運用している技術者の中に、セキュリティ専門家や研究者のアドバイスを十分理解した上で、自らのシステムの実状に照らし合わせて、適切に有効なセキュリティ対策を、納得し自信をもって適用できる人も少ないであろう。
ここに大きなギャップがある。
このため、「この対策は、本当に投資対効果の価値に見合うのか？」という疑問を持たれる対策が適用されている場面も多いのではないだろうか。
攻撃や防御についてあまり理解できぬ状態で対策を行っている場面が世の中に溢れているのであれば残念なことではあるが、それでも問題が起こらなければ良いのかもしれない。
ただ、理解していない事に不安を覚え、知りたいと思っている人も、多くいるのではないかと思う。
制御システムの設計を長年行い、その立場からセキュリティに携わってきた者として、このギャップを埋めることに少しでも貢献したい。
適切な対策を考えるには、現実的に可能な攻撃がどのように行われるのか知る必要があるはずだ。
知りたいという思い
何を守りたいか、どのような攻撃があるのか、どうやれば検知できるのか、どうすれば守れるのか、守れない場合はどうするのか。
これらを整理しておかないと、実際の攻撃を受けたときに、事業継続の危機や社会に混乱をあたえることになりかねない。
これまで、防御するという立場で制御システムセキュリティに関わってきたが、インターネットに晒した情報システムと違い、簡単に攻撃には晒されていない重要インフラという特徴もあり実際に被害を受ける攻撃に出会ったことはなかった。
このため、自分が行ってきたセキュリティ対策が、どれだけの効果があったのか？コスト対効果として適切だったのか？ということは常に疑問であった。
本気の攻撃者に対し、どれだけの耐性があるのか？
どの対策が現実的にコスト対効果が高いといえるのか？
知りたいという思いが、調べれば調べるほど大きくなってきていた。 しかし、その答えは見つからない。
そんな時、ふと、過去のペネトレーションテストで出会ったサイバーディフェンス研究所の面々の顔が浮かんだ。
4時間で決まった転職
退職も決まり、どのみちしばらく無職になることもあり、これまでの経験だけで、制御システムセキュリティを語るのも厳しいかなという不安もある中、お世話になった各所へ退職の挨拶を送っていた。
すると、すぐにサイバーディフェンス研究所の方から「制御システムちゃんと仕切りきってください。」というお叱り激励の言葉をいただいた。
返信で「しばらく修行させていただきたいなぁ？」と送り返したところ、「ちょうど、制御システム開発に関わってきた人を探していた。」というありがたい返事が届いた。
そのときのメールやりとりがこちらである。
11:24 田中
制御システムセキュリティの対応が当たり前にできる世の中になることを祈りつつ
退職することとなりました。
12:44 CDI(CyberDefense)
その節はありがとうございました。じゃなくて、
というか、これからの制御システムセキュリティ、
祈るだけじゃなくて、ちゃんと仕切りきってください！！
誰が今後、もう、だ、 (´;ω;`)ﾌﾞﾜｯ
13:20 田中
サイバーディフェンス研究所で、しばらく修行させていただきたいなぁと思ったりします。
攻めるも守るも、もっとちゃんと知りたいんですよね。知識欲はおうせいにあるんです。
15:08 CDI(Cyberdefense)
おぉぉぉ 修行ですか！
ちょうどプロジェクトマネジメント経験もしつつの、制御システムに詳しくて、
技術志向な人を探していました！ほんとの話です。
今思い返せば、たった4時間のやりとりで次の道が決まったのだと思える。
何がきっかけで道が開けるか人生わからないものである。
セミリタイアするのは、まだまだ先でもできることである。
サイバーディフェンスに参加する道を選んだ。
次回予告
次回は、1996年の入社から2010年頃までのTHM時代前半を振り返ります。
TCP/IPの基礎を学び、制御システムの通信プログラム開発に携わった日々。
まだセキュリティという言葉すら聞かなかった時代から、セキュリティが話題になり始める2000年代へ。
独立した閉ざされたシステムだった制御システムの世界を描きます。
【ご注意】 本記事は教育・啓発を目的としています。登場人物・組織は架空のものであり、記載された技術情報の悪用を推奨するものではありません。
守るだけでは腑に落ちなかった - 制御システム技術者のサイバー修行録【連載まとめ】
- 第1回：なぜ私は24年勤めた会社を辞めたのか - 4時間で決まった転職（本記事）
- 第2回：TCP/IPとの出会い - 閉ざされたシステムの時代（1996-2000）（次回予定）
- 第3回以降：順次公開予定