メーカーがAIとクラウドシステムに移行するにつれ、サイバーリスクが増大

8月、サイバー攻撃により自動車製造大手ジャガー・ランドローバーは1カ月間、生産停止を余儀なくされた。同社は、生産中断による損失、輸入車に対する米国の関税、旧モデルの段階的廃止による損失6億5,000万ドルに加え、サイバーセキュリティ関連費用として約2億6,000万ドルを計上したと報告している。 

通常は1日あたり約1,000台を生産する英国の高度に自動化された生産ラインが予期せず停止したことで、より広範な世界的サプライチェーンも混乱した。 労働組合と当局者は 突然の受注喪失により、数千人の労働者が解雇され、小規模サプライヤーが倒産する可能性があると見積もった。 

メーカーが工程のデジタル化を進めるにつれ、こうした事案は増えている。専門家は、より多くの企業が効率性、収益性、人手への依存低減を目的に人工知能やクラウドシステムを急速に導入する中で、サイバーセキュリティ対策が後回しになっているのではないかと懸念を強めている。

2025年デロイト・スマート・マニュファクチャリング調査によると、米国の大手製造企業の経営幹部600人を対象とした調査で、57%がクラウドシステムを利用していると回答した。推定29%は、施設またはネットワークレベルでAIと機械学習を使用していると答えた。 

Market Research Futureのレポートによれば、2024年には北米がクラウドベースの製造インフラ市場で最大となり、世界シェアのほぼ50%を占めた。

この急速な成長は生産面では有望に見える一方で、専門家は、技術導入のスピードが、これらのシステムを安全に稼働させるために必要なサイバーセキュリティ対策をはるかに上回っていると警告する。 

AIとクラウドシステムはメーカーを脆弱にしているのか？

IBM X-Force脅威インテリジェンス・レポート2025は、製造業が4年連続でサイバー犯罪者から最も攻撃を受けている業界だと述べている。 

「現在の製造業における最大のサイバーセキュリティリスクは、そもそも接続性を前提に設計されていなかった環境に、膨大な接続性が持ち込まれていることです」と、メーカーと協働するRedpoint Cyberでサイバーセキュリティ戦略・運用担当バイスプレジデントを務めるニック・ノーレンは述べた。 「本当の課題は、製造現場が急速に近代化している一方で、基盤となるシステムやプロセスが当初からサイバーセキュリティを念頭に作られていないというミスマッチです。そこに攻撃者が狙う隙が生まれます。」

暗号化担当VPのトッド・ムーア（Thales）は、製造業はこれまでサイバー攻撃の「盲点」に入りやすかったが、それは主にシステムがオンラインではなかったためだと述べた。つい最近まで、デジタル化は検討対象にすらなかったため、システムはサイバーセキュリティ対策なしに性能重視で設計されていた、と彼は付け加えた。

しかし現在、企業がAIやクラウドシステムのような先進技術を、デジタル運用に対応していない旧来のインフラと統合するにつれ、これが問題になっているとムーアは述べた。

「セキュリティは、セキュア・バイ・デザインの原則に基づいて組み込まれるのではなく、後付けされることが多い。その結果、メーカーはランサムウェアやマルウェアから、フィッシング、さらにはサービス妨害（DoS）攻撃に至るまで、あらゆる脅威に対して脆弱になります」と彼は述べた。

複数の専門家によれば、AIとクラウドシステムの導入は攻撃対象領域（アタックサーフェス）を大幅に拡大し、これらのリスクを増幅させた。 ノーレンは、メーカーのアタックサーフェスは多くの人が想像する以上に広いと述べた。

「現代の製造業は、サードパーティのインテグレーター、接続された機械、ベンダー提供のソフトウェア、事業部門間のデータ交換に大きく依存しています」と彼は述べた。これらの接点の一つひとつが、侵害の機会を新たに生み出す。 

「攻撃者が環境のごく小さな一角にでも侵入できれば、製造システムの相互接続性により、より機微な領域へ素早く移動できてしまいます」とノーレンは述べた。「攻撃者はデジタル環境の中で最も侵入しやすい部分を狙います。そして、AIや自動化のためにより多くの製造データがクラウドへ移行するほど、それらのシステムはより大きく、より魅力的な標的になります。」

IBMのX-Force脅威インテリジェンス部門グローバル責任者であるケビン・アルバーノによれば、ここで最大のリスクは、メーカーがAIやクラウドシステムにアップロードする機微なデータに不正アクセスされる可能性だという。

「これを緩和するために、メーカーはAIデータセットを高価値資産として扱う必要があります」と彼は述べた。「つまり、クラウド、オンプレミス、ハイブリッド環境全体で機微データを分類して保護し、保存時および転送時のすべての個人識別情報を暗号化し、強固な鍵管理を実装するということです。」

攻撃を防ぐためのサイバーセキュリティ対策

多くのメーカーは、ベンダーが裏側で使用しているコンポーネントを十分に理解しておらず、それがセキュリティ上の死角を生むため、AIの利用状況を厳密に監視するのは管理が難しいと、Black Kiteの最高研究・インテリジェンス責任者フェルハト・ディクビイクは述べた。 

同社の2025年製造業レポートはIBMの調査結果を裏付け、製造業が4年連続で最大のサイバー攻撃の標的であることを示した。 

「メーカーは、どのベンダーが生産データにアクセスできるのか、AIがどこで使われているのか、そしてシステムが［OT（運用技術）］へどのように接続し得るのかを可視化する必要があります」とディクビイクは述べた。生産やサプライチェーンに関わる人々が、セキュリティチームが何がアップロードされているのか、ベンダーがどのモデルに依存しているのかを把握しないまま、非公式にAIやクラウドツールを使うと、事態は複雑になるという。

「設計や工程に関する情報をAIツールに何らかの形でアップロードするなら、そのデータがどこへ行くのか、誰が見られるのか、そしてどのように利用され得るのかについて確信を持つ必要があります」とノーレンは述べた。「ベンダーがそのデータをどう扱っているか把握していますか？ どこに保存されているか知っていますか？ どれくらい保持されますか？ ベンダー自身のモデルを訓練するために使われていますか？ 何をアップロードしてよく、何をローカルに留めるべきかについて、明確なガイドラインを持たない企業はまだ多いのです。」

だからこそ暗号化が不可欠だとムーアは述べた。

「製造組織は、まずデータを徹底的に分類し、リスクを評価して、ハイブリッドまたはクラウド環境内のどこに脆弱性があるのかを特定することから始められます」と彼は述べた。

データ分類として知られるこのプロセスには、情報を機微度に基づいてラベリングし、チームがどれに最高レベルの保護が必要かを把握できるようにすることが含まれる。

別の懸念は、クラウドシステムがハッキングされることだ。クラウドは「機微な設計ファイル、レシピ、生産パラメータ、サプライヤー情報を集中管理するため、1つの侵害されたクラウドアカウントが複数の工場に波及し得る」とディクビイクは述べた。だからこそ、「企業はIT、クラウド、運用システムの間で適切なセグメンテーションを行い、デジタルツールでの侵害が生産へ連鎖しないようにする必要がある」と彼は述べた。

セキュリティシステムの構築と維持に必要な多額の初期費用が、多くのメーカーにこうした対策の実装をためらわせている。しかしノーレンによれば、「支出が増えればセキュリティが増す、というわけではありません」。 

ノーレンは、攻撃が起きた場合の想定される金銭的損失をメーカーが算出するのを支援しており、それによって、予防のため、あるいは攻撃後の対応のために、どれくらいの費用が必要になり得るかについて、情報に基づいた意思決定ができるようになる。

このプロセスの一環としてメーカーは、技術進歩に合わせて進化し続けなければならないサイバーセキュリティプログラムへの投資コストと、デジタル化の進展によって増幅される攻撃リスクとを天秤にかける必要がある。 

「サイバーセキュリティのためにイノベーションを遅らせることには決して賛成しません」とディクビイクは述べた。「しかし、将来のデジタル工場が、その複雑さに見合ったセキュリティモデルの上に構築されるようにすることは、常に可能だと信じています。」