工場・病院の専用機器、XP端末……事例で見る、状況別・オフライン端末の守り方：検証！ウイルス対策の「盲点」2

第1回の「復旧のスピード化」に続き、第2回のテーマは「オフライン端末※1の保護」だ。工場や病院の専用機器をはじめ、業務の現場に存在するオフライン端末は従来、インターネットに接続していないことからセキュリティリスクは少ないと考えられてきた。しかし近年はウイルスの侵入経路が多様化。パターンファイルが更新できないため、一般のウイルス対策ソフトが効果を発揮しにくいオフライン端末は、企業システムの弱点となっている。今回はその効果的な守り方について、いくつかの事例で検証してみたい。 （※1 スタンドアロン端末、クローズドネットワーク環境下の端末など、インターネットに接続していない端末のこと）

[PR，ITmedia]

インターネット接続の有無にかかわらずリスクが拡大

　業務を担うPCには、「インターネットに接続されている端末」と、「インターネットに接続されていないスタンドアロン／クローズド環境の端末（以下、オフライン端末）」の2種類が存在する。工場や病院などで使われる特定用途向け機器の制御端末などは、後者の代表例だ。こうした端末はインターネット接続済みの端末に比べて情報セキュリティ上のリスクは少ないと考えられ、これまでセキュリティ対策が後回しにされるケースが多かった。

　ところが近年は、USBメモリなどの外部記憶メディアを介してウイルスが拡大する事例が増加。インターネット接続の有無によらず、あらゆるPCがウイルスに感染し得る状況になっている。事実、トレンドマイクロが行った調査でも、「インターネット接続可能な端末でウイルス感染経験がある」と答えた企業は全体の15.9％だったのに対し、「オフライン端末でウイルス感染経験がある」と回答した企業は16.4％と、むしろ上回っている結果が得られた（図1）。

■図1：ウイルス感染経験の有無（インターネットに接続している／していない端末）

「インターネット接続可能PC」と「オフライン端末」で比較したところ、ウイルス感染経験の割合はほぼ同じか、むしろオフライン端末のほうが若干高い結果となった

　また、2014年4月のWindows XPのサポート終了を契機に、XP搭載の業務用PCをスタンドアロン／クローズドネットワーク環境での使用に限定して使い続ける企業も出てきている。これにより現在は、工場や病院といった特定の現場のみならず、広く一般企業でオフライン端末のセキュリティ対策が急務になっているといえるだろう。

用途ごとに多様な制約を持つオフライン端末

　とはいえ、その対策は、なかなか一筋縄ではいかない。例えば、先に紹介した工場や病院などで使われる機器の制御端末の場合、性能低下などを回避するため、新たなソフトウェアのインストールを原則禁止にしているケースが多い。または、物理的には可能でも、インストールするとメーカーのサポート外となる場合があるため、市販のウイルス対策ソフトによる保護が行えないこともままあるのである。

　また、ソフトウェアのインストールが可能な通常の業務用PCの場合も問題はある。一般的なウイルス対策ソフトの場合、インターネット未接続の環境ではパターンファイルを更新できず、本来の機能を発揮できないのだ。

　こうしたオフライン端末の保護にかかわる問題を解くカギとなるのが、トレンドマイクロのUSBメモリ型ウイルス検索・駆除ツール「Trend Micro Portable Security 2」（以下、TMPS2）である。以下では、TMPS2がオフライン端末の保護にどう役立つのか、いくつかの事例で考えてみたい（図2）。

■図2：Trend Micro Portable Security 2導入による主なメリット

※以下は、一般的に起こりうるケースから各ストーリーを作成した。特定企業の事例ではない。

＜Case Study 1：製造業＞

■図3：工場におけるTMPS2活用メリット

生産ラインの制御端末のウイルスチェック、および製品の出荷前ウイルスチェックにTMPS2を活用

【従来の課題は？】

　工場などに設置する各種専用機器の制御用端末を開発・製造するA社。A社もまた、オートメーション化された生産ラインを、多数の制御端末で管理している。これらの端末は、特にインターネットに接続する必要がないことから、クローズドネットワーク環境で運用することで、外部からのウイルス侵入を防ぎ、安定操業を担保してきた。

　だが、そうした運用にはセキュリティの「盲点」があった。同社は、稼働ログの収集など、制御端末と他のPC間のデータ移動にUSBメモリを使用。そのUSBメモリを介して、他のPCからクローズドネットワーク内にウイルスを持ち込んでしまうリスクが存在していたのである。ウイルス感染によって生産ラインが停止すれば、膨大なコストの損失と、納期遅延による会社の信用失墜は免れられない。そこでA社は、制御端末のセキュリティを担保する方法を模索した。

　そのとき問題となったのが、先に紹介したクローズドネットワークの制約だ。パターンファイルが更新できないため、ウイルス対策ソフトの効果は期待できない。また工場の現場には情報セキュリティに関する知識を持った社員が少なく、USBメモリの運用ルールを徹底することは、なかなか難しいという事情もあった。

【TMPS2で実現！】

　様々な方法を検討した結果、A社はTMPS2を採用した。管理用PCでパターンファイルを更新し、端末のUSBポートに差し込んでウイルス検索・駆除が行えるこの製品を、制御端末の定期ウイルスチェック用ツールとして各工場に配布。これにより、クローズドネットワーク上の端末でも、最新のパターンファイルでウイルス検索・駆除が行える環境を実現した※2。USBポートに差し込むだけでよく、LEDランプで作業の進捗が分かる「かんたん運用」を特長としたTMPS2は、ITに詳しくない社員が簡単に扱える点もメリットだった。

　またA社は、TMPS2を自社製制御端末の出荷前ウイルスチェックにも活用。製品への万一のウイルス混入を予防している。TMPS2は、生産ラインの安定稼働と、製品の品質管理という2つの側面から、A社の事業を支えている。

＜Case Study 2：病院＞

■図4：病院におけるTMPS2活用メリット

TMPS2を各診療科に配布し、医療機器のウイルスチェックに活用。ログや設定情報は情報システム部で一元的に管理できる

【従来の課題は？】

　地域の中核病院として多様な医療サービスを提供するB病院。院内では電子カルテシステム、医療用画像管理システム（PACS）や各種医療機器などが接続された「診療系」と、医療事務などの業務を扱う「情報系」の2つのネットワークを医療サービスの提供基盤として構築している。

　B病院では、このうち、診療系ネットワークの機器のセキュリティ管理面に課題を抱えていた。具体的には、CTスキャンやMRI、その他の検査・分析装置といった診療系ネットワーク上の医療機器は、専門分野を担当する各科・部門ごとに導入・管理。病院全体の情報セキュリティを管轄する情報システム部門からは、各医療機器がどういった管理状況にあるのか分からず、最適なセキュリティ対策が実施できなかったのである。

【TMPS2で実現！】

　そこでB病院は、医療機器の安全を確保し、病院全体のセキュリティレベルを均質化するためのソリューションの選定を開始。最終的にTMPS2を採用・導入した。

　最大の評価ポイントとなったのは、TMPS2の特長、「かんたん運用」である。対象端末のUSBポートに差し込むだけで、端末内のウイルス検索・駆除が可能。本体のLEDランプで作業の進捗がわかるため、情報セキュリティに対するリテラシーや意識もまちまちな現場の医師・職員も直感的に扱える点がメリットとなった。

　また、医療機器特有の事情も、TMPS2が選ばれる理由となった。時に患者の命を預かる医療機器は、厳密な性能要件を担保する必要がある。そのため各機器のベンダーは、医療機器に新たなソフトウェアをインストールする行為を「改造」と見なし、保証の対象外とするケースが多いのだ。医療機器は病院内のクローズドネットワーク環境で運用されるため、インターネット経由でのウイルス感染は考えにくい。しかし、ここまで紹介したとおり、インターネット以外のウイルス感染経路が増加している現在では、さらなる安全・安心を実現する方法が求められていた。

　その点、TMPS2なら機器に新たにウイルス対策ソフトをインストールすることなく※3、医療機器のウイルス検索と駆除が可能。機器ベンダーの要請は満たしつつ、よりセキュアな機器の運用が実現できる。

　加えて、TMPS2には管理者側である情報システム部門にとってのメリットもあった。それが「集中管理」機能だ。これは、複数のTMPS2の検索ログなどを管理用PC経由で集約し、閲覧・確認することができる機能。これにより、TMPS2の運用自体は現場に任せつつ、医療機器のセキュリティ対策状況を一括して管理者が把握することが可能だ。

　B病院では、これらの特長を持つTMPS2を全科・部門に配布し、定期的なウイルスチェックをルール化。診察や検査で用いられる様々な医療機器のウイルス対策状況を一元管理するとともに、ウイルスチェックの習慣化によって、現場のセキュリティ意識を高めることに成功している。

＜Case Study 3： どうしても残ってしまうWindows XP端末を継続使用する企業＞

■図5：Windows XP端末継続使用時のTMPS2活用メリット

サポート終了後、インターネットにつながないクローズドネットワーク環境で継続使用するWindows XP端末のウイルスチェックに使用

【従来の課題は？】

　受発注、見積・請求、帳票といった基幹業務を支えるアプリケーションをWindows XPベースで独自開発し、長年利用してきたC社。2014年4月のWindows XPサポート終了に伴い、業務端末の新OS移行が急務となっていたが、そこで問題となったのが、Windows XP上でしか動かないアプリケーションの存在だ。

　コストや開発工数の関係から、全アプリケーションをすぐに新OSに対応させることは難しい。そこでC社は、業務の内容を精査し、クローズドネットワーク環境で実施できる一部の業務については、XP端末を継続使用することにした。つまり、インターネットにつながないことで、ウイルス感染リスクを低減。アプリケーションを新OSに対応させるまでの間、業務を円滑に進めるための策だ。

　とはいえ2014年4月以降、新たに登場する脆弱性や攻撃手法に対して、XP端末は防御する術を持たなくなるため、「丸腰」で放置しておくのは得策ではない。そこでC社は、XP端末の安全を確保するためのソリューションとして、TMPS2の導入を決定した。

【TMPS2で実現！】

　導入により、クローズドネットワーク環境のXP端末に対しても、最新のパターンファイル※2によるウイルス検知・駆除が行える環境を実現。TMPS2は、XP端末への利用に関して2017年1月までサポートを継続することを表明しており※4、その点が大きな安心感につながっている。

　またC社は、TMPS2をXP端末以外にも適用。例えば、営業担当者が海外出張に携行したノートPCに対し、社内ネットワーク再接続前のウイルスチェックを実施している。新興国地域のITインフラは、ウイルス対策が行き届いていないケースも多い。そうした場合にも、自社にウイルスを持ち込ませない対策が確立できている。

---

　紹介した3事例から分かるのは、インターネットに接続していないからといって、オフライン端末のセキュリティ対策をおろそかにすれば、組織全体がリスクを抱え込むということだ。TMPS2は、抜け漏れのない対策の実施を目指す企業や組織にとって、1つの解となるだろう。

※2　管理用端末にてパターンファイルをアップデートした時点での最新のパターンファイルにてウイルスチェックを行う。
※3　ウイルスチェック時に、一時的に検索対象端末にドライバおよびローカルHDDにファイルを作成するが、検索終了後、検索対象端末に当該ドライバおよびファイルは残らない。
※　TMPS2は、管理用端末のウイルスチェックは行わない。

※4　Windows XPでの使用について
・マイクロソフト社によるWindows XPのサポート終了後は、脆弱性を修正するパッチが配信されなくなるなどセキュリティに関するリスクが高まります。セキュリティ製品がOSのサポートを継続している場合でも、可能な限り早くサポートされているOS環境に移行することを強く推奨します。
・OS起因の不具合に関しては、トレンドマイクロでは解決できない場合がありますことをご了承ください。
・サポートは基本的に各バージョンのサービスパックやパッチが適用されていることが前提となります。
・本対応は「スタンダードサポート契約」または「トレンドマイクロプレミアムサポートサービス契約」が有効期間中のお客さまに限り提供されます。

お問い合わせ

トレンドマイクロ株式会社

東京本社　〒151-0053 東京都渋谷区代々木2-1-1 新宿マインズタワー

TEL：[phone]（法人お問い合わせ窓口） FAX：[phone]

URL：http://www.trendmicro.co.jp/jp/sp/tmps/

※TREND MICRO、Trend Micro Portable Security、Portable Security、およびTrend Micro Safe Lockは、トレンドマイクロ株式会社の登録商標です。

※本記事に掲載されている各社の社名、製品名およびサービス名は、各社の商標または登録商標です。

※本記事は、トレンドマイクロより提供された記事を許諾を得て再構成したものです。