自工会の工場領域版が外部からの接続に求めはじめたこと

達成条件を一つずつ追うと細かいが、外部からの接続に関わる項目は、つきつめると誰がいつどの設備にどんな権限でつなぎ、その記録が残っているかという四つに集まる。

誰が。リモートアクセスのIDを共有せず利用者ごとに持ち、発行と変更と削除を申請承認のうえで行い、年に一度は棚卸して不要なIDを消す。設備メーカーや保守ベンダーが使う外部のリモートメンテナンスも、会社が把握していない経路にせず、利用する外部システムの一つとして一覧にのせ、誰が承認したかを残す。

何に、どの範囲で。つないだ先から工場ネットワーク全体に手が届く状態にせず、触れてよい設備を必要最小限に絞る。社外から工場ネットワークへ入る機器は一台残らずルールの対象にし、台帳で管理して定期的に見直す。

どう守るか。社外から社内へ向かう通信は暗号化する。ガイドラインは暗号化した通信路をつくるVPNを実践例として挙げているが、特定の方式を必須とはしておらず、求めているのは通信が保護されていることそのものである。

記録。誰がいつどの設備につないだかを残す。リモートアクセスの記録は日時と接続元のアドレスと利用者のIDを含み、6か月保管する。記録の取得が難しい場合は、ネットワーク機器や基本機能の記録で代えることも認められている。

この四つがそろうと、外部からの接続が、申請から承認、接続、記録までひとつながりで説明できる状態になる。

ここまでで並べた外部接続の達成条件のうち、リモートアクセスに関わる項目への対応を、Secomeaのリモートアクセス基盤が支援する。導入すればガイドラインに準拠できるという話ではなく、現場が達成条件を満たしていく作業を製品の側から下支えする位置づけになる。

誰がの達成条件には、利用者ごとに個別のIDを割り当て、アクセス権の発行と変更と削除を申請承認の流れにのせ、必要最小限の範囲に絞り、棚卸を回せる仕組みで応える。設備メーカーや保守ベンダーのリモートメンテナンスは、ばらばらの直接接続にせず一元的に管理し、誰がどの設備につないでよいかを承認のうえで制御し、その一覧と承認の記録を会社の手元に残す。

つなげる範囲は、工場側の受信ポートを外に開けずに内側から外へつなぐ方式をとり、つなぐ先を特定の設備に限定する。社外から工場ネットワークへ無制限に到達する経路を作らない。通信は暗号化したトンネルを通す。

そして、誰がいつどの設備につなぎ、何を操作したかという接続と認証の記録を取得して保管する。この利用者単位の接続記録と操作記録と承認の記録が独立した一つのまとまりになることで、取引先の監査や年に一度の自己点検で外部接続について説明できる状態が手元に残る。第2段階で達成条件を翻訳したときの説明できることが、ここで実際の記録として返ってくる。

外部接続の達成条件のなかでも、この説明できる記録が残るという点が、自己評価の提出や取引先からの確認に向き合う立場にもっとも効いてくる。