令和7年度 秋期 情報処理安全確保支援士試験 午後 問題 問4 製造業のセキュリティ管理体制構築

図1 L社の組織図
階層構造の組織図が描かれている。

• 社長
  • 総務部
    • 総務課
    • 情報システム課
  • 営業部
  • 製造部
    • 設計課
    • 製造課
    • 品質保証課
  • CISO

図2 L社の状況

• J社とは取引基本契約を結んでいる。その契約には，次の内容が含まれている。
  • J社が秘密情報として提供した情報についての秘密保持の義務
  • 秘密保持の状況についてのJ社の監査を受ける義務
  • L社の責による秘密情報の漏えい時のJ社への損害賠償責任
  • 納期遅延，品質不良などの発生時のJ社への損害賠償責任
• 部品製造に必要な設計情報ファイルなどの設計資料は，受注時にJ社から秘密情報として提供されている。
• L社が使用している工作機械は，コンピュータによる数値制御の機械である。
• 全ての工作機械が停止してしまった場合でも，停止時間が2時間以内であれば出荷への大きな影響は避けられる。

図3 L社のネットワーク図
上部には「電子メールSaaS」と「WebプロキシSaaS」があり、「インターネット」に接続されている。
インターネットはサーバ室の「FW」に接続され、FWは「L3SW」に接続される。
サーバ室には「ファイルサーバ」「LDAPサーバ」があり、L3SWに接続されている。
L3SWからは、設計課、品質保証課、総務部、営業部、製造課の各ネットワークへ接続されている。
設計課には「CAD PC」「一般PC」がある。
品質保証課には「一般PC」「製造監視用PC」がある。
総務部と営業部にはそれぞれ「一般PC」がある。
製造課には「NC PC」「一般PC」「SCADA」「工作機械」「SCADA操作用PC」「工作機械操作用PC」が接続されている。
図中の各接続経路上には黒丸(●)と矢印が配置され、それぞれに(あ)〜(す)の記号が振られている。
注記
FW: ファイアウォール
L3SW: レイヤー3スイッチ
SCADA: 監視制御システム
注記 レイヤー2スイッチは，省略している。

表1 L社で使用しているSaaS及び機器の説明（抜粋）

注記 全PCとも同じOSを使用する。
注1) 工作機械の動作を指令するプログラム

表2 電子メールSaaSのマルウェア対策機能

図4 試作時の製造の流れ

1. 営業部員が，J社から試作の注文書と設計情報ファイルを電子メールで受け取る。設計情報ファイルは，部品の三面図(注1)である。
2. 営業部員は，設計情報ファイルをファイルサーバ内の設計情報ファイルの保存領域に保存する。保存した後，正常に読み込めるか確認する。その後，受注処理が完了したら，製造部に試作の指示を出す。
3. 設計課員が，CAD PCで，設計情報ファイルを参照し，設計図ファイルを作成する。設計図ファイルは，ファイルサーバ内の設計図ファイルの保存領域に保存する。
4. 製造課員が，NC PCで，設計図ファイルを参照して試作用NCプログラムを作成し，次の手順で試作品を製造する。
   (1) 製造課員は，NC PCにUSBメモリを接続して，そのUSBメモリに試作用NCプログラムをコピーする。
   (2) 製造課員は，SCADA操作用PCに，(1)のUSBメモリを接続して，試作用NCプログラムをSCADA内の試作用NCプログラム領域に保存する。
   (3) 製造課員は，試作品を製造するように，SCADAを操作する。操作は，SCADA操作用PCで行う。
   (4) SCADAは，SCADA内の試作用NCプログラムを工作機械に投入した後，工作機械に工作開始を指示する。
   (5) 工作機械は，SCADAからの指示に従い，工作を行う。
5. 製造課員が，工作機械から完成した試作品を取り出す。その後，設計課員，製造課員及び品質保証課員それぞれが，試作品がJ社の設計情報ファイル及びL社の品質基準に適合しているか確認する。不具合があれば，製造課員が試作用NCプログラムを修正して，再度試作を行う。最終的に適合していると確認できた試作用NCプログラムを量産用NCプログラムとする。
6. 製造課員が，量産用NCプログラムを，項番4の(1)，(2)と同様の手順でSCADA内の量産用NCプログラム領域に保存する。
   注1) 対象物を三方向から見た形状を記した図面であり，正面図，平面図，側面図から成る。

図5 量産時の製造の流れ

1. 営業部員が，生産個数，納期を含めた量産の注文書を，電子メールで受け取る。受注処理が完了したら，製造課に製造指示を出す。
2. 製造課員は，製造指示を受けた部品を製造するように，SCADAを操作する。操作は，SCADA操作用PCで行う。
3. SCADAは，当該部品の量産用NCプログラムを工作機械に投入した後，工作機械に工作開始を指示する。
4. 工作機械は，SCADAからの指示に従い，工作を行う。
5. 工作が全て完了したら，工作機械は操作員呼出しを行うとともに，SCADAに工作の完了を通知する。
6. 製造課員が，工作機械から完成した部品を取り出す。その後，品質保証課による検査を受け，梱包などを行い，出荷する。

表3 設計情報ファイルの保存領域での権限の設定状況

図6 サイバーセキュリティ経営の重要10項目

• 指示1: サイバーセキュリティリスクの認識，組織全体での対応方針の策定
• 指示2: サイバーセキュリティリスク管理体制の構築
• 指示3: サイバーセキュリティ対策のための資源(予算，人材等)確保
• 指示4: サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
• 指示5: サイバーセキュリティリスクに効果的に対応する仕組みの構築
• 指示6: PDCAサイクルによるサイバーセキュリティ対策の継続的改善
• 指示7: インシデント発生時の緊急対応体制の整備
• 指示8: インシデントによる被害に備えた事業継続・復旧体制の整備
• 指示9: ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策
• 指示10: サイバーセキュリティに関する情報の収集，共有及び開示の促進

図7 経営ガイドラインにおける指示4の説明

• 事業に用いるデジタル環境，サービス及び情報を特定させ，それらに対するサイバー攻撃(過失や内部不正を含む)の脅威や影響度から，自組織や自ら提供する製品・サービスにおけるサイバーセキュリティリスクを識別させる。
• サイバー保険の活用や守るべき情報やデジタル基盤の保護に関する専門ベンダへの委託を含めたリスク対応計画を策定させ，対応後の残留リスクを識別させる。

図8 リスクの識別と対応計画の策定の手順（概要）

1. L社が管理する情報資産のうち，守るべきものを特定する。
2. 守るべき情報資産について，保存場所や取扱状況を把握する。
3. 守るべき情報資産に影響を与えるリスクを洗い出し，レベル分けを行う。
4. 洗い出したリスクについて，対応する方法を決定し，対応計画を策定する。リスクに対応する方法は，低減，c，d，eの四つに分類される。

図9 経営ガイドラインにおける指示5の説明

• サイバーセキュリティリスクに対応するための保護対策として，防御・検知・分析の各機能を実現する仕組みを構築させる。
• 構築した仕組みについて，事業環境やリスクの変化に対応するための見直しを実施させる。

表4 攻撃シナリオと対策

図10 経営ガイドラインにおける指示8の説明（抜粋）

• インシデントにより業務停止等に至った場合，企業経営への影響を考慮していつまでに復旧すべきかを特定し，復旧に向けた手順書策定や，復旧対応体制の整備をさせる。
• 制御系も含めたBCPとの連携等，組織全体として有効かつ整合のとれた復旧目標計画を定めさせる。

表5 被害のシナリオ，必要な仕組み及び必要な手順の例

表6 外部からのサイバー攻撃を発端とした被害のシナリオ、必要な仕組み及び必要な手順