サイバー攻撃による日本のICS/OT中断は9割が経験、平均損害額は2.7億円

　トレンドマイクロ株式会社は7月11日、「産業制御システムのサイバーセキュリティ実態調査」の結果を発表した。

　本調査は、主要な製造業を持つ日本・アメリカ・ドイツ3カ国の製造、電力、石油・ガス産業で、ICS環境のサイバーセキュリティ対策の意思決定関与者900名（各国300名）を対象としたオンライン調査（調査期間は2022年2月～2022年3月）。

　調査結果によると、サイバー攻撃による産業制御システム（ICS/OT）の中断を過去12カ月間に経験した法人組織は、日本で91.3％、アメリカで92.0％、ドイツで93.0％と、高い割合で経験していた。日本の結果では、中断した回数は6～10回が最も多く（43.3％）、1～5回（25.7％）、11～15回（21.3％）と続いた。中断した期間の平均は4日間で、15～29日という回答も1.8％あった。

　サイバー攻撃によりICS/OTシステムの中断を経験した日本の274組織に対し、サプライチェーンへの影響を与えたかという質問については、98.2％が影響を与えたと回答した。内訳で最も多かったのは「共有計画を変更した」で48.9％、以下、「供給を一次的に削減し、さらに供給計画を変更した」（25.9％）、「共有を一次的に削減した」（23.4％）と続いた。

　制御システムの中断による金銭的な損害（インシデント対応費用、ランサムウェア対応費用、再発防止対策の構築費用、ビジネスを運営するための追加費用、停止期間中の売上損失、その他の損害賠償などの損失を含む）は、平均して約2億6906万円。業界別では、電力が約3億6730万円と最も多く、、石油/ガスが約2億9502万円、製造が約1億5661万円となっていた。

　過去12カ月間にICS/OTシステムが受けたサイバー攻撃の種類では、「クラウドサービスの脆弱性を利用したサイバー攻撃」（53.3％）、「ソフトウェアサプライチェーン攻撃」（53.0％）、「DDoS攻撃」（51.7％）が半数を超えていた。トレンドマイクロでは、ICS環境をインターネットに接続する際には、IT部門とOT部門が連携して、あらかじめサイバー攻撃への対策を講じるとともに、実際にサイバー攻撃が発生した際に想定されるリスクへの対策や、被害を最小限に抑えるための緩和策を検討していくことが必要としている。