工場のネットワークにつながった生産設備が、ある日突然止まる——。ランサムウェアや不正アクセスによる工場停止のニュースを見て、「うちの工場は大丈夫だろうか」と不安を感じつつも、何から手をつければいいのかわからない情シス担当者の方は多いのではないでしょうか。

本記事では、工場・OT（制御技術）環境のセキュリティ対策をどう始めればよいのかを、SIer目線で解説します。オフィスのITセキュリティとは何が違うのか、なぜ今対策が急務なのか、そして情シスが最初に着手すべき7項目まで、順を追って整理しました。

「専門部署も予算もない中で、まず何をすべきか」を知りたい方に向けて、現実的な第一歩を示します。

想定読者

本記事は、次のような方を想定しています。

• 工場・製造現場のセキュリティを任されたが、何から始めればよいかわからない情シス担当者
• オフィスのIT対策は進めてきたが、工場側（OT）は手つかずになっている方
• 経済産業省の工場向けセキュリティガイドラインへの対応を求められている方
• 取引先や親会社からセキュリティ体制の説明を求められ、対応を迫られている製造業の担当者

---

工場・OTセキュリティとは何か｜ITセキュリティとの違い

OTとは Operational Technology（制御技術・運用技術）の略で、工場の生産設備や制御システムを動かす技術の総称です。具体的には、PLC（プログラマブルロジックコントローラー）、SCADA、DCS、HMI、産業用ロボット、センサーといった、モノを動かす機器のネットワークを指します。これに対し、オフィスで扱うPC・サーバー・業務システムのネットワークがIT（情報技術）です。

工場セキュリティの難しさは、ITとOTでは「守るべき優先順位」がそもそも逆転している点にあります。オフィスのITでは、情報漏えいを防ぐために「機密性（Confidentiality）」が最優先されます。一方、工場のOTでは、ラインを止めないための「可用性（Availability）」が最優先です。次の表に主な違いをまとめました。

この違いを理解しないまま、オフィスと同じ感覚で「とりあえずパッチを当てる」「怪しい通信をブロックする」といった対策を工場に持ち込むと、生産ラインを止めてしまう事故につながりかねません。OTセキュリティは、「設備を止めない」という制約の中でどう守るかを考える、IT対策とは別の設計思想が求められる領域なのです。

---

なぜ今、工場のセキュリティ対策が急務なのか

工場セキュリティが「そのうちやればいい課題」から「待ったなしの課題」へと変わった背景には、大きく3つの流れがあります。

1つ目は、被害の実害化です。製造業を狙ったランサムウェア攻撃で工場が数日から数週間止まり、サプライチェーン全体に影響が及ぶ事例が国内でも相次いでいます。生産設備が止まれば、その間の操業損失や納期遅延、取引先への影響が積み上がり、被害額は規模に応じて大きく膨らみます。情報漏えいだけでなく「操業停止」というかたちで、経営を直撃するリスクになったのです。

2つ目は、工場ネットワークの外部接続化（IT/OTの融合）です。スマートファクトリー化やIoT活用、設備の遠隔保守が進み、かつては外部から隔離（エアギャップ）されていた工場ネットワークが、社内ITや外部ベンダー、クラウドとつながるようになりました。閉じていたはずの制御ネットワークに、攻撃者が到達できる経路が生まれています。

3つ目は、制度・ガイドライン面の後押しです。経済産業省は2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を策定し、2025年にはその解説書として「工場セキュリティの重要性と始め方」を公表しました。工場のセキュリティに取り組むための考え方が、国として整理されてきています。加えて、サプライチェーン全体でのセキュリティ確保を求める動きが強まり、親会社や大手取引先から「あなたの工場は大丈夫か」と説明責任を問われる場面が増えました。経済産業省が制度構築を進めるSCS（サプライチェーン強化に向けたセキュリティ対策評価制度）もその一つで、取引の前提として一定のセキュリティ水準が求められる時代に入りつつあります。

つまり、工場セキュリティはもはや「情シスの技術課題」ではなく、操業継続と取引継続に関わる経営課題になっています。サプライチェーンの観点でどう備えるかは、以下の記事も参考にしてください。

---

工場・OT環境が抱える固有のリスク

なぜ工場はサイバー攻撃に弱いのか。それは、OT環境が持ついくつかの構造的な事情に起因します。オフィスIT では当たり前の対策が、工場では通用しないケースが多いのです。

古いOSがそのまま動いている：生産設備の制御用PCが、すでにサポートの切れた古いWindowsで動いていることは珍しくありません。設備が10年以上使われる一方、制御ソフトが特定OSに依存しているため、OSだけを更新できないのです。既知の脆弱性が放置されたまま、ネットワークにつながっている状態が生まれます。

パッチを当てにくい：ラインを止められないため、パッチ適用や再起動のタイミングが限られます。またメーカー保証の関係で、勝手にパッチを当てると保守対象外になる機器もあり、対応が後回しになりがちです。

何がつながっているか把握できていない：長年の増設で、工場ネットワークにどの機器が何台つながっているのか、正確な台帳がない現場が多数あります。守るべき対象が見えていなければ、守りようがありません。

IT部門とOT（生産技術）部門の分断：工場設備は生産技術部門や設備ベンダーの管轄で、情シスが中身を把握していないことがよくあります。「誰がセキュリティに責任を持つのか」が曖昧なまま放置されるのが、最大のリスクとも言えます。

USBメモリと外部保守端末：外部から隔離されていても、設備更新や保守で持ち込まれるUSBメモリや保守用ノートPCが、マルウェアの侵入経路になります。ネットワーク経由だけが脅威ではありません。

こうしたリスクは、ランサムウェアの侵入を許す典型的な穴でもあります。感染時の初動を含めた具体的な備えは、次の記事で詳しく解説しています。

---

情シスが最初に着手すべき7項目

「工場を止めない」という制約がある以上、いきなり大規模なセキュリティ製品を導入するのは得策ではありません。まずは低リスク・低コストで着手できる、次の7項目から始めることをおすすめします。

資産の棚卸し（何がつながっているかを可視化する）

最初にやるべきは、工場ネットワークにつながっている機器の一覧化です。制御PC、PLC、HMI、ネットワーク機器などを洗い出し、OS・用途・管理者・外部接続の有無を台帳にします。守る対象を把握することが、すべての起点になります。

ネットワークの分離（IT網とOT網、工場内の区画分け）

オフィスのIT網と工場のOT網を分離し、さらに工場内もライン単位・重要度単位で区画（セグメント）に分けます。万一マルウェアが侵入しても、被害を一区画に封じ込められるようにするのが狙いです。境界にはファイアウォールを設けます。

外部接続経路の洗い出しと管理

リモート保守用のVPN、クラウド連携、設備ベンダーの接続など、外部とつながる経路をすべて洗い出し、「誰が・いつ・何のために」使うのかを管理します。常時接続が不要な経路は、使うときだけ開ける運用に切り替えます。

USB・持ち込み端末のルール化

持ち込みUSBや保守端末を、事前ウイルスチェックなしに接続させないルールを定めます。専用のチェック端末を用意する、使用可能なUSBを限定するなど、運用でカバーできる対策です。

アクセス権限とパスワードの見直し

制御機器の初期パスワードのまま運用していないか、共有アカウントを使い回していないかを点検します。人が変わっても放置されがちな部分で、最低限「初期パスワードの変更」「不要アカウントの削除」から着手します。

バックアップと復旧手順の整備

制御プログラムや設定情報を定期的にバックアップし、ネットワークから切り離した場所（オフライン）にも保管します。あわせて「感染したら誰にどう連絡し、どう復旧するか」の手順書を用意しておくと、いざというときの停止時間を最小化できます。

監視ログの取得と担当・責任の明確化

不審な通信や機器の異常を検知できるよう、可能な範囲でログを取得します。そして最も重要なのが、「工場セキュリティの責任者は誰か」を決めることです。IT部門と生産技術部門の役割分担を明文化し、対応窓口を一本化します。

以上の7項目は、いずれも大きな設備投資を伴わずに着手できます。完璧を目指すより、まず「見える化」と「区画化」と「役割の明確化」から始めるのが現実的な第一歩です。

工場・OT環境のセキュリティで、どこから手をつけるべきかお困りでしたら、c3index にお気軽にご相談ください。

---

ガイドライン対応の考え方と、自社対応・外注の切り分け

経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」は、「何を守るべきか」「どういう手順で対策を進めるべきか」の考え方を体系立てて示したものです。ただし、ガイドラインは細かい製品や設定を指定するものではありません。自社の工場の実態に合わせて、リスクの高いところから優先順位をつけて対応するのが基本姿勢になります。

同ガイドラインが示す進め方は、大づかみに整理すると次のような流れになります。

1. 経営として工場セキュリティに取り組む方針を定める（責任者を置く）
2. 工場の資産・ネットワーク・外部接続を可視化し、リスクを洗い出す
3. リスクの大きさに応じて対策の優先順位を決め、計画を立てる
4. 対策を実行し、運用ルールとして定着させる
5. 定期的に見直し、体制を継続的に改善する

前章の7項目は、この流れの「2〜4」に対応する実務の入り口です。つまり、ガイドライン対応と現場の初動は別物ではなく、地続きです。まず資産を可視化し、リスクを洗い出す作業を進めれば、それがそのままガイドライン対応の土台になります。

一方で、どこまでを自社で対応し、どこから外部の力を借りるべきかの見極めも重要です。判断の目安を次の表にまとめました。

ポイントは、「現場を知る自社にしかできないこと」と「専門知識・第三者視点が必要なこと」を切り分けることです。資産の棚卸しや運用ルールは現場を最も理解している自社が主体で進め、脆弱性の技術的な洗い出しや、攻撃者視点での検証は、専門会社の診断を活用するのが効率的です。どのタイプの診断が自社に合うかは、下記の記事も参考になります。

自社だけで抱え込むと、可視化の途中で止まってしまったり、対策の優先順位を誤ったりしがちです。「まず何から」を一緒に整理する段階から外部の目を入れると、遠回りを避けられます。

---

よくある質問

Q. 専門部署も予算もありません。それでも工場セキュリティは始められますか？

A. 始められます。本記事の7項目のうち、資産の棚卸し・外部接続の洗い出し・USBのルール化・パスワード見直し・責任者の明確化は、大きな投資なしに着手できます。まずは「見える化」と「役割の明確化」から始め、投資が必要な部分は優先順位をつけて段階的に進めるのが現実的です。

Q. IT部門と生産技術部門、どちらが工場セキュリティを担当すべきですか？

A. どちらか一方に丸投げするのではなく、役割分担を明文化することが重要です。ネットワークや全体方針はIT部門（情シス）、設備そのものの事情は生産技術部門が担い、両者をつなぐ責任者を1人決めるのが理想です。「誰も見ていない領域」をなくすことが第一歩になります。

Q. 工場のパッチ適用はどう考えればよいですか？

A. オフィスITのように「すぐ最新に」は現実的でない場合が多いため、ネットワーク分離とアクセス制御で「脆弱性があっても攻撃者が到達できない状態」を作ることを優先します。パッチはライン停止の計画に合わせて検証のうえ適用し、当てられない機器は区画分離で守る、という考え方が基本です。

Q. どこまでやれば「対策できている」と言えますか？

A. 完璧なゴールはありませんが、資産が可視化され、IT/OTが分離され、外部接続が管理され、責任者が明確で、バックアップと復旧手順がある——この状態になれば、主要なリスクにはひととおり備えられていると言えます。あとは定期的な見直しで水準を維持・向上させていきます。

---

まとめ

本記事のポイントをまとめます。

• 工場のOTセキュリティは、機密性より「可用性（止めないこと）」を優先する、ITとは別の設計思想が求められる
• 被害の実害化・ネットワークの外部接続化・制度面の後押しにより、工場セキュリティは操業と取引に関わる経営課題になった
• 古いOS・パッチの難しさ・資産の未把握・部門の分断など、工場には固有のリスクがある
• 情シスはまず、資産棚卸し・ネットワーク分離・外部接続管理・USBルール・権限見直し・バックアップ・監視と責任の明確化の7項目から着手する
• ガイドライン対応と現場の初動は地続き。自社でできることと、外部の診断・支援が向くことを切り分けて進めるのが効率的

工場・OTのセキュリティは、「何から手をつけるか」を見極めるところが最も難しいステップです。可視化と優先順位づけの段階でつまずかないよう、迷ったら早めに専門家へ相談することをおすすめします。

---

c3index に相談する

c3index は、製造業の基幹システム・保守・クラウド移行を専門とするシステム会社です。工場・OT環境のセキュリティ対策について、「何から始めるか」の可視化・優先順位づけから、ネットワーク設計・脆弱性診断・体制づくりまで、現場の実態に合わせてご支援します。まずはお気軽にお問い合わせください。