製造業のサイバー攻撃とサプライチェーン補償

製造業は警察庁が公表しているサイバー空間をめぐる脅威の情勢統計でもランサムウェア被害件数が業種別で最多となっており、1日の生産停止が数千万円規模の売上損失に直結する構造的なリスクを抱えています。IT と OT（制御システム）の接続部分、古い OS の継続稼働、サプライチェーン全体での加入要請など、製造業ならではの注意点を専門家の現場感覚をもとに整理し、自社のサイバー保険検討の出発点として活用できる内容にまとめました。

製造業がサイバー攻撃で狙われやすい構造的な理由

製造業は、ランサムウェア攻撃の標的としてニュースで取り上げられる頻度が他業種より高い業界です。報道されている主要事案を見ると、自動車部品、飲料、出版・配信などジャンルを問わず、操業停止に追い込まれるケースが繰り返し発生しています。

専門家の現場感覚としても、「製造業はサイバー攻撃被害がトップクラスに多い」と語られています。ここで重要なのは、なぜ製造業が他業種よりも狙われやすいのか、その構造的な背景を理解することです。

整理すると、製造業の狙われやすさには次の3つの要因があります。

• 生産ライン停止が即座に売上停止につながる
• 古い OS や更新されていない制御機器が稼働し続けている
• 24時間稼働ゆえにシステム更新の機会を取りにくい

身代金型攻撃（ランサムウェア）は、被害者が早期に支払いに応じやすい業種を狙う傾向があります。製造業は、止まれば下流の取引先まで影響が広がる業界構造のため、攻撃者から見て要求が通りやすいと判断されやすい立場にあります。

国内の主要事案から見える業界トレンド

近年報道された製造業のサイバー攻撃事案では、業界全体に対するインパクトの大きさが共通点として見えてきます。生産停止が長期化すれば、取引先や流通の現場、最終消費者の手元にも影響が及びます。

国内では、自動車部品サプライヤーや大手メーカーへのランサムウェア攻撃で、取引先である完成車メーカーの国内全工場が一時停止に追い込まれた事例や、出版・配信プラットフォームへの攻撃で人気サービスが長期停止した事例、大手飲料メーカーへの攻撃で出荷システムが影響を受けて店頭から商品が一時的に消える事象が報じられてきました。業種・規模を問わずに被害が広がっており、製造業のサイバーリスクは業界横断的な課題となっています。

これらの事案に共通しているのは、攻撃対象となった企業の被害だけにとどまらず、サプライチェーンを通じて広範囲な経済的・社会的影響に発展している点です。完成車メーカーが部品調達を止めれば、その先の販売店、整備工場、最終消費者まで影響が広がります。出版・配信プラットフォームの停止は、コンテンツ提供事業者への支払い遅延や、ユーザーへのサービス停止補償の問題にも発展しました。製造業のサイバー対策は、自社の生産継続を守るだけでなく、業界全体のレジリエンス（復元力）に直結する社会的責任の領域に入りつつあります。

生産ライン停止で発生する損害は何重にも積み上がる

サイバー攻撃で生産ラインが停止した場合、企業が負担する損害は単純な「売上減少」だけではありません。直接損害、復旧コスト、対応人件費、信用低下による中長期損失といった複数のレイヤーで積み上がります。

損害の種類	内容
直接的な売上損失	生産停止期間中の売上ゼロ、納期遅延によるペナルティ
復旧コスト	OSアップデート、システム再構築、フォレンジック調査費用
人件費	手作業での集計・出荷対応、社内IT部門の超過勤務
中長期の信用低下	取引先離脱、事故前の売上水準に戻らない

特に納期遅延による取引先からのペナルティは、自社の責任で生産が止まったとされる場合、契約条件によって相応の負担が発生する可能性があります。これは賠償責任ではなく契約違約として扱われることもあり、サイバー保険でカバーできるかどうかは契約内容によります。

復旧期間は数日から1ヶ月以上の幅がある

復旧までにかかる期間は、攻撃の手口・規模・事前のバックアップ体制によって大きく変わります。早ければ数日で復旧できるケースもあれば、1ヶ月以上稼働できないケースも報告されています。

復旧期間を左右する主な要素は次の通りです。

• バックアップの保存先が物理的に隔離されているか
• インシデント対応マニュアルが整備されているか
• 外部の復旧支援サービスへ早期にアクセスできるか
• 攻撃の侵入経路が早期に特定できるか

これらは平時の備えで決まる要素であり、攻撃を受けてからでは間に合いません。サイバー保険の事故対応サービスを利用すれば、外部の復旧専門会社の紹介を受けられるため、自社で探す時間を短縮できる効果も期待できます。さらに、同種事案の対応経験を持つ専門会社につながることで、復旧期間そのものを短縮できる可能性も高まります。

IT と OT が繋がっているところが製造業の弱点

製造業のサイバーリスクで特に見落とされやすいのが、IT と OT の接続部分です。事務所で使うパソコン（IT 環境）と工場の制御システム（OT 環境）が同じネットワーク上に繋がっていると、メールから感染したマルウェアが工場のネットワークに横展開する可能性があります。

IT と OT を完全に分離する「ネットワーク・セグメンテーション」は、製造業のサイバーセキュリティの基本中の基本です。ただし完全分離は運用効率を下げるため、現実には部分的に接続されているケースが大半です。重要なのは、接続点を最小化し、その接続点に多要素認証や監視ログを集中させることです。

ベンダー任せの責任分界点を曖昧にしない

製造業では、機械メーカーやITベンダーに運用を任せている領域が多くあります。ここで起きやすいのが、責任分界点が曖昧なまま放置される問題です。

機械メーカーは機械の動作に対して責任を負っていても、サイバーセキュリティまで責任を負っているとは限りません。ITベンダーも同様に、システムの構築には責任を負っても、運用後のセキュリティ対策まで含まれているかは契約次第です。

契約書の確認と、定期的な責任分界点の見直しが、現場で実装しやすい対策です。

製造業のサイバー保険料は利益保証部分が高くなりやすい

サイバー保険の保険料は、業種・売上高・支払限度額・特約の有無で決まります。製造業の場合、補償できる事故の範囲は他業種と大きく変わらないものの、利益保証部分の保険料率が高くなる傾向があります。

製造業がサイバー保険を検討する際は、利益保証部分の補償額と保険料のバランスをよく検討する必要があります。安易に支払限度額を下げると、いざ生産ラインが停止した時に賄えない金額になりかねません。

検討項目	製造業特有の注意点
支払限度額	1日あたりの売上規模を踏まえた設定が必要
利益保証オプション	標準で含まれるか、特約か契約で確認
復旧支援サービス	製造業向けの専門復旧会社を紹介できるか
24時間対応	休日・夜間でも初動対応の専門スタッフが動けるか

完全防御は不可能、被害想定の保険設計が現実的

工場のセキュリティ対策をどれだけ強化しても、サイバー攻撃を完全に防ぐことは困難です。製造業の事業特性を考えると、攻撃を受けた時の被害を最小限に抑える設計を優先する方が現実的です。

具体的には、次の3点を組み合わせて被害想定の設計を行います。

• 攻撃を受けた時の机上演習（テーブルトップ・エクササイズ）
• 復旧優先順位を整理した初動マニュアル
• サイバー保険による復旧費用と利益保証の補償

サイバー保険のインシデント対応 では、初動対応の流れを詳しく解説しています。

サプライチェーン全体での加入要請が広がっている

製造業のサイバーリスクで近年クローズアップされているのが、サプライチェーン全体での被害連鎖です。中流に位置する一社が止まると、業界全体に「リップル・エフェクト（波及効果）」が広がるため、攻撃者にとっては身代金要求の単価を吊り上げる動機にもなります。

つまり、サイバー保険はサプライチェーン全体を1契約で守ることはできません。各社がそれぞれサイバー保険に加入する必要があり、業界によってはこの構造を踏まえて、大手メーカーが取引先サプライヤーに対して具体的なセキュリティ水準やサイバー保険加入に近いレベルの備えを期待する動きが広がっています。

踏み台にされた場合の賠償は自社のサイバー保険で対応可能

サプライチェーン関連で気になるのが、自社が「踏み台」にされて取引先に被害が及んだ場合の補償です。自社のセキュリティが甘く、攻撃者がそこを経由して大手取引先のシステムに侵入した結果、取引先から賠償請求を受けるケースが該当します。

ただし契約内容や事故の経緯によって判断が分かれるため、想定される事故シナリオを保険会社・代理店と事前に共有しておくのが安心です。

スマートファクトリー化と IoT 化で増えるリスク

工場のスマートファクトリー化、IoT 化が進むほど、攻撃面（アタックサーフェス）が増えていきます。センサー、産業用ルーター、PLC（Programmable Logic Controller）などのネットワーク接続機器は、それぞれが攻撃の侵入口になり得ます。

特に注意すべきリスクは次の通りです。

• IoT 機器の初期パスワード放置
• 産業用ルーターのファームウェア未更新
• センサーから集めるデータの平文転送
• 統合管理ダッシュボードのアクセス権設定不備

これらは「便利さ」と引き換えに発生する追加リスクであり、IoT 化を進める際には同時にセキュリティ予算を確保することが大切です。

IoT 化の便益	同時に発生するリスク
稼働状況の可視化	センサー乗っ取りによるデータ改ざん
遠隔メンテナンス	リモートアクセス経路の侵入リスク
在庫・出荷の自動化	統合システム停止時の全工程影響
予兆保全	集約データの漏洩・改ざんリスク

BCP とサイバー攻撃、業務停止時の利益補償 も合わせて読むと、製造業の事業継続計画とサイバー保険の関係を整理しやすくなります。

製造業のサイバー保険を検討するときの3つの視点

製造業の経営者や情報システム担当者が、自社のサイバー保険を検討する際に押さえておきたい視点を3つに整理します。

視点1: 事業停止1日の損害規模を試算する

まず、自社の生産ラインが1日停止した場合の損害規模を試算しておきます。年間売上を稼働日数で割り、1日あたりの平均売上を出すのが起点です。これに納期遅延ペナルティ、復旧コスト、人件費の超過分を加味すると、想定される1日損害が見えてきます。

この数字を踏まえて、サイバー保険の支払限度額が現実的に間に合うかを判断します。

視点2: 利益保証オプションの設計を確認する

利益保証はオプション扱いの保険商品が多く、明示的に追加しないと補償の対象外です。製造業の場合、利益保証なしのサイバー保険では、生産ライン停止による売上減少をカバーできないため、ほぼ必須のオプションと考えられます。

利益保証の対象期間（最大何日まで補償か）、自主停止が含まれるか、復旧後の売上低下分が含まれるかなど、約款で細かく確認しましょう。

視点3: 取引先からの加入要請を踏まえた契約

大手取引先からサイバー保険加入を要請されている場合、加入の事実だけでなく、補償範囲が要請内容を満たしているかも確認します。取引先が求める要件と、自社が契約している保険の補償内容が一致していないと、いざという時に契約条件違反となりかねません。

サプライチェーンとセキュリティ評価では、取引先からのセキュリティ要求にどう応えるかを解説しています。

製造業のサイバー攻撃に共通する5つの侵入経路

これまでに報じられてきた製造業のサイバー事案と、保険の現場で実際に対応されてきたケースを整理すると、攻撃者が好んで使う侵入経路には一定のパターンがあります。自社のリスクを評価する出発点として、典型的な5つの経路を押さえておきましょう。

経路1: 取引先メールへのなりすまし

製造業の経理・調達担当に届く取引先メールは、振込指示や見積依頼を含むことが多く、攻撃者にとっては送金や情報詐取のフックとして使いやすい入り口です。請求書を装った添付ファイルでマルウェアを送り込むパターンが代表的で、感染したパソコンから工場ネットワークへ横展開されると、生産ラインまで影響が及ぶことになります。

メール経由の侵入対策は、添付ファイルの自動隔離、ドメイン認証（SPF・DKIM・DMARC）の設定、社員教育の3点を組み合わせて構築するのが基本です。社員教育は1回で終わらせず、年1〜2回の訓練メールで実践感覚を維持しましょう。

経路2: VPN・リモートアクセス機器の脆弱性

工場に常駐していない管理者やベンダーが、VPN や産業用リモートアクセスツールで遠隔メンテナンスする運用は、製造業で広く採用されています。VPN 機器の脆弱性が発見されたタイミングでパッチを当てずに放置すると、攻撃者にとっては絶好の侵入経路になります。

ファームウェアの更新計画を四半期単位で立て、緊急脆弱性が公表された際の臨時パッチ適用フローも整備しておきます。長期休暇前のリリースは特に注意が必要です。

経路3: 退職者・外部委託先のアカウント放置

製造業では、外部の保守委託先や派遣エンジニアに権限を付与しているケースが少なくありません。契約終了後にアカウントを停止し忘れると、第三者によるアカウント乗っ取りの温床になります。実際、外部からのサイバー攻撃よりも、退職者や元委託先のアカウント経由の事故のほうが発生確率が高いとも言われています。

退職者アカウントの放置リスクは 退職者アカウント放置のサイバーリスク で詳しく解説しているので、合わせてご確認ください。

経路4: USBメモリ・外部記憶媒体経由の感染

工場の制御端末はインターネット接続が制限されているケースが多く、データの受け渡しに USB メモリや外付け記憶媒体を使う場面が残っています。事務所で感染した USB が、隔離されているはずの工場ネットワークにマルウェアを持ち込む経路として悪用されるリスクがあります。

物理的な対策としては、許可された USB 機器以外の使用を OS レベルで禁止する設定、端末ごとのアクセスログの取得、外部記憶媒体の貸し出し管理が有効です。

経路5: 産業用ソフトウェアのサプライチェーン攻撃

工場で使用する産業用ソフトウェアやファームウェアそのものに、開発段階で悪意のあるコードが混入される「サプライチェーン攻撃」も、近年急増しているリスクです。ベンダーから配布されるアップデートが汚染されているケースもあり、自社のセキュリティ対策だけでは防ぎきれない領域となっています。

この種の攻撃には、ベンダー側のセキュリティ管理体制を契約段階で確認することと、アップデート適用時に検証環境で挙動を確認するプロセスの整備が役立ちます。

取引先からのセキュリティ要求に応えるための準備

製造業のサプライチェーンでは、大手取引先から自社のセキュリティ体制について評価シート（セキュリティアセスメント）の提出を求められる機会が増えています。サイバー保険の加入要請と並行して、こうした事務的なやり取りに対応できる体制を整えることも、取引継続の条件になりつつあります。

代表的な要求項目は次の通りです。

• 多要素認証の導入状況
• バックアップの取得頻度と保存先
• インシデント対応マニュアルの有無
• セキュリティ教育の年間実施回数
• 過去のサイバーインシデント発生履歴

これらは一夜にして整備できるものではないため、取引先からの要求が来てから慌てるのではなく、平時から準備を進めるのが現実的です。サイバー保険に加入していること自体が、取引先評価で加点要素になるケースも増えています。

取引先からのセキュリティ要求 では、要求項目別の準備方法を整理しています。

AI 攻撃の高度化に備える視点も忘れない

近年は AI 技術の発達によって、攻撃者側の手口もより高度になっています。AI を使ってシステムの脆弱性を自動で発見し、攻撃を生成するツールが研究レベルで存在することが報じられており、製造業のように資産規模が大きく、止まれば交渉の主導権を握りやすい業界はターゲットになりやすい傾向があります。

完全に防ぐことが現実的に難しい以上、AI 攻撃に対しても基本姿勢は同じです。

• 侵入を前提とした多層防御の設計
• 検知から復旧までの時間を短縮する事前準備
• 想定外の事故に対するサイバー保険による経済的リスクの移転

AI による攻撃の高度化は、平時のセキュリティ予算と保険補償の見直しを定期的に行う動機にもなります。年に1度は、想定リスクと保険補償の整合性をチェックする習慣を組み込むのが安心です。

よくある質問