LASSIC Media らしくメディア
OT・制御システムセキュリティ入門｜工場ICS防御と外注
LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託
この記事のポイント
- OT・制御システムのセキュリティ対策は、可用性を最優先しレガシー機器のパッチ適用が難しいという制約の中で組み立てる必要があり、IT系セキュリティの一般論をそのまま当てはめられません。
- 経済産業省は工場システム向けのセキュリティ対策ガイドラインを、IPAは制御システムのセキュリティリスク分析ガイドを公表しており、資産の可視化とリスク分析が対策の出発点として位置付けられています。
- 内製で対応するか外部の専門パートナーに委託するかは、OTに関する専門知識・現場設備との調整力・監視保守の継続性という3つの軸で判断する必要があります。
目次
OT・制御システムセキュリティとは？「作る」ではなく「守る」がテーマです
本稿で扱うOT（Operational Technology：制御技術）セキュリティとは、工場のPLC（Programmable Logic Controller）やSCADA（監視制御システム）、DCS（分散制御システム）といった、既に稼働している制御システムをサイバー攻撃から防御するための取り組みを指します。IoTシステムやMES（製造実行システム）を新たに構築する話とは異なり、本稿のテーマは「既存のOT環境をどう守るか」という一点にあります。
ゼロトラストやPAM（特権アクセス管理）、ASM（アタックサーフェスマネジメント）といった対策は、主に情報系システム（IT）を対象に語られることが多い分野です。一方で、工場の生産設備や重要インフラの制御機器を対象とするOTセキュリティは、対象となる機器の特性も攻撃を受けた場合の影響範囲も、IT領域とは大きく異なります。まずはこの前提を押さえたうえで、対策の考え方を整理していきます。
なぜ今、工場・重要インフラで対策が急務なのか
従来の制御システムは、外部ネットワークや情報系システムと接続されないことを前提に設計されてきました。しかし近年は、汎用のOSや通信プロトコルの採用、ネットワーク・外部メディアの活用が進み、制御システムを取り巻く環境そのものが変化しています*2。経済産業省は、工場のIoT化・自動化に伴ってネットワーク接続の必要性が高まる一方で、新たなセキュリティ上のリスク源も増加していると指摘しており、工場システムのセキュリティ対策を企画・実行するための考え方とステップを示すガイドラインを公表しています*1。
重要インフラの分野でも同様の動きがあります。内閣官房国家サイバー統括室（NCO。2025年7月に内閣サイバーセキュリティセンター＝NISCを改組して発足）は、情報通信・電力・ガス・水道・化学・石油など15分野を対象とする「重要インフラのサイバーセキュリティに係る行動計画」に基づき施策を進めており、ITの管理部門とOTの管理部門との連携推進を明記しています*4。工場や重要インフラを持つ事業者にとって、OT領域のセキュリティは先送りできる課題ではなくなりつつあります。
ITセキュリティとの違い：可用性優先・レガシー機器・パッチ適用の難しさ
IT領域のセキュリティ対策では、機密性（Confidentiality）を最優先に据える場面が多く見られます。これに対しOT領域では、生産ラインやプラントを止めないという可用性（Availability）が最優先されます。センサーの誤停止やコントローラーの再起動が、そのまま生産ラインの停止や設備の物理的な損傷につながりかねないためです。
制御システムは長期間にわたって使い続けられる設備が多く、稼働年数が10年・20年に及ぶ機器も珍しくありません。OSやファームウェアの更新パッチを安易に適用すると、既存の制御ロジックとの整合性が崩れて誤動作を招くおそれがあるため、IT領域のように定期的なパッチ適用を前提とした運用が難しいという制約もあります。IPAは、こうした環境変化とセキュリティ脅威の増大を踏まえ、制御システムを保有する事業者がセキュリティリスク分析に取り組めるよう、専用のガイドを公表しています*2。
対策の出発点となる資産の可視化
OTセキュリティの対策は、まず自社の制御システムにどのような資産が存在するかを洗い出すところから始まります。IPAの「制御システムのセキュリティリスク分析ガイド」は、保護すべきシステムを構成する各資産を対象に、重要度・脅威の発生可能性・脆弱性の3つの評価指標でリスクを評価する「資産ベースのリスク分析」と、事業被害やその発生要因となる攻撃ルートを評価する「事業被害ベースのリスク分析」という2つの手法を解説しています*2。
工場の現場では、導入時期の異なるPLCやセンサー、ネットワーク機器が混在し、管理台帳が実態を反映していないケースも珍しくありません。資産の棚卸しを後回しにしたまま監視や境界分離だけを進めても、把握できていない機器が攻撃の侵入口として残ってしまいます。
IT/OT境界のネットワーク分離という考え方
資産を可視化した後の対策として重要になるのが、IT系ネットワークとOT系ネットワークの境界を明確にし、必要な通信だけを許可する設計です。情報系のインターネット接続を経由した攻撃が、そのまま制御システムまで到達してしまう構成では、被害が生産設備にまで及びかねません。
経済産業省のガイドラインは、工場システムのセキュリティ対策として技術面・運用管理面の両方の観点を示しており、ネットワーク構成の見直しはその技術面対策の中核に位置付けられています*1。境界の設計にあたっては、どの通信を許可しどの通信を遮断するかという業務要件の整理が欠かせず、現場の生産技術部門とIT部門が共同で検討を進める体制が求められます。
監視・検知の体制をどう構築するか
境界を分離しただけでは、内部に侵入した攻撃や、正規の認証情報を悪用した不審な通信を見逃すおそれがあります。そのため、OTネットワーク内の通信を継続的に監視し、異常を検知する仕組みが必要になります。IPAは産業用制御システム向けの侵入検知製品に関する導入手引書を公表しており、製品選定や実装にあたっての技術的な検討材料を提供しています*3。
OT向けの監視は、IT向けの監視製品をそのまま流用できるとは限りません。制御システム特有の通信プロトコルや、可用性を損なわない監視方法への配慮が求められるため、導入前には自社のネットワーク構成と照らし合わせた検討が必要になります。
インシデント対応体制の整備
監視によって異常を検知できても、その後の対応体制が整っていなければ被害の拡大を防げません。内閣官房国家サイバー統括室は、重要インフラ事業者との間でシステムの不具合やサイバーセキュリティに関する情報を共有する「情報連絡」「情報提供」の仕組みを整備しているほか、重要インフラ15分野を対象とした全分野一斉演習を実施しています*4。
工場や重要インフラの事業者においても、インシデント発生時にIT部門・OT部門・現場の生産技術部門がどのような役割分担で対応するかをあらかじめ定めておくことが望まれます。演習・訓練を通じて対応手順の実効性を検証する取り組みは、行動計画の中でも重視されているポイントです*4。
IEC 62443など国際的な枠組みの活用
制御システムのセキュリティに関する国際規格としては、IEC 62443がよく知られています。IPAは2008年からIEC 62443の活用推進や、それをベースとした評価認証制度の立ち上げに取り組んできた経緯があり、国内の制御システムのセキュリティリスク分析ガイドについても、この国際規格との関係を整理した資料を別途公表しています*2。自社の対策がどの水準にあるかを客観的に把握したい場合、こうした国際的な枠組みを参照する意義は大きいでしょう。ただし規格の詳細な要求事項は個別性が高いため、適用にあたっては公式情報や専門家への確認をおすすめします。
内製と外注、判断軸の整理
OT・制御システムセキュリティの対策を自社の情報システム部門だけで完結させるか、専門パートナーに委託するかは、費用だけでなく必要な知識や体制の観点から検討する必要があります。以下の表に主な違いを整理しました。
| 比較項目 | 内製で対応する場合 | 外注委託する場合 |
|---|---|---|
| OTに関する専門知識 | PLC・SCADA等の制御機器やOT特有の通信プロトコルに関する知識を自社で蓄積する必要があります | OT領域の知見を持つパートナーが、資産の洗い出しから境界設計までを支援します |
| 現場設備との調整 | 生産ラインを止められない制約の中で、現場の生産技術部門と対策内容をすり合わせる負担が生じます | 現場調整のノウハウを持つパートナーが、稼働への影響を抑えながら導入を進めます |
| 監視・保守の継続性 | 24時間体制の監視や異常検知後の一次対応を、自社の要員だけで維持する必要があります | 監視・保守を含めた継続的な体制を委託先に任せられます |
導入を進める際のステップ
OT・制御システムセキュリティの導入は、いきなり監視製品やネットワーク機器を導入するところから始めるのではなく、まず自社の現状を把握する段階を経ることが重要です。第一に資産の棚卸しとリスク分析を行い、第二にIT/OT境界のネットワーク構成を見直し、第三に監視・検知の仕組みを導入し、第四にインシデント対応体制を整備するという順序で進めると、対策の抜け漏れを抑えやすくなります。
この一連の工程を自社だけで完結させるのが難しい場合は、どの工程から外部委託するかを個別に切り分ける進め方も選択肢になります。資産の棚卸しやリスク分析だけを専門パートナーに依頼し、その後の運用は内製で担うという段階的な進め方も可能でしょう。
まとめ：OT・制御システムセキュリティを進める3つの軸
本稿では、工場や重要インフラの制御システムを守るOTセキュリティについて、経済産業省・IPA・内閣官房国家サイバー統括室の公式資料に基づいて整理しました。要点は次の3つに集約されるでしょう。第一に、OT領域は可用性を最優先しレガシー機器のパッチ適用が難しいという制約があり、IT系セキュリティの一般論をそのまま適用できません*2。第二に、対策は資産の可視化から始まり、IT/OT境界の分離・監視検知・インシデント対応という順序で積み上げていく必要があります*1*3。第三に、OTに関する専門知識・現場調整力・監視保守の継続性という3つの観点から、内製と外注のどちらで進めるかを判断することが重要です。
よくある質問
OTセキュリティとIT系のゼロトラストやPAM対策は何が違いますか。
OTセキュリティは、工場の生産設備や重要インフラの制御機器（PLC・SCADA・DCS等）を対象に、可用性を最優先しながら守る取り組みです。ゼロトラストやPAM（特権アクセス管理）は主に情報系システムを対象とした考え方であり、対象機器の特性や制約が異なります。
制御システムのパッチ適用が難しいのはなぜですか。
制御システムは長期間稼働する機器が多く、パッチ適用によって既存の制御ロジックとの整合性が崩れ、誤動作を招くおそれがあるためです*2。適用の可否は、機器・ベンダーごとの公式情報で個別に確認する必要があります。
IEC 62443とはどのような規格ですか。
制御システムのセキュリティに関する国際規格です。IPAは2008年からこの規格の活用推進に取り組んでおり、国内の制御システムのセキュリティリスク分析ガイドとの関係を整理した資料も公表しています*2。詳細な要求事項は公式情報での確認をおすすめします。
資産の可視化はどのように進めればよいですか。
IPAの「制御システムのセキュリティリスク分析ガイド」では、資産ベースのリスク分析と事業被害ベースのリスク分析という2つの手法が解説されています*2。まずは自社のPLC・SCADA等の機器を洗い出すところから着手するのが基本です。
内製と外注はどちらで進めるべきですか。
OTに関する専門知識、現場設備との調整力、監視・保守の継続性という3つの観点で判断する必要があります。自社に十分な体制がない場合は、資産の棚卸しなど特定の工程から外部委託を検討する進め方も有効です。
著者：テレリモ総研編集部 鈴木 亮佑
ご不明な点はお問い合わせフォームからもご連絡いただけます。
- *1 出典：経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html）
- *2 出典：IPA（独立行政法人情報処理推進機構）「制御システムのセキュリティリスク分析ガイド 第2版」（https://www.ipa.go.jp/security/controlsystem/riskanalysis.html）
- *3 出典：IPA「制御システムのセキュリティ」（https://www.ipa.go.jp/security/controlsystem/index.html）
- *4 出典：内閣官房国家サイバー統括室（NCO）「重要インフラ対策関連」（https://www.cyber.go.jp/policy/group/infra/policy.html）
