中堅製造業が工場ネットワークにOT/ITセキュリティを導入するための分離設計と投資判断

「うちの工場がサイバー攻撃で停止したら、どれだけの損失が出るのか」——製造業の経営者からこうした相談が増えています。工場の制御システムがランサムウェアに感染し、生産ラインが数日間停止するという事態は、海外だけでなく国内でも現実に起きています。

問題は、工場側のネットワーク（OT）とオフィス側のネットワーク（IT）が混在したまま運用されているケースが多く、経営者も実態を把握しきれていないことです。スマートファクトリー化や生産データのクラウド連携を進める過程で、知らないうちに工場がインターネットにつながる経路が生まれていることもあります。

この記事では、中堅製造業がOT/ITセキュリティを工場ネットワークに導入するための分離設計の考え方と、経営者が意思決定できる投資判断の優先順位を解説します。技術的な専門知識がなくても、何をどの順番で進めるべきかが分かるよう整理しました。

OTセキュリティとITセキュリティの違い——製造業が直面する二つの世界

OTとはOperational Technology（制御技術）の略で、工場の生産ラインを動かすPLC（プログラマブルロジックコントローラ）、SCADA（監視制御システム）、産業用ロボット制御器、温度・圧力センサーなどの機器と、それらを管理するシステムの総称です。ITはInformation Technology（情報技術）を指し、受発注システム、経営データベース、グループウェア、会計システムなどオフィス業務を支えるシステムです。

OTとITが別々に語られる理由は、両者が守ろうとする価値観が根本的に異なるためです。ITセキュリティでは「機密性（情報を漏らさない）」と「整合性（データを改ざんされない）」が最重視されます。問題が発生したらシステムを止めることが正しい対応です。ところがOTセキュリティでは「可用性（止めない）」が最優先です。工場の生産ラインが予期せず停止すると、製品の廃棄損、取引先への納期遅延、設備の再起動・再調整コストが即座に発生するからです。

かつて工場のOT機器は、インターネットとまったく接続されない閉じた環境で稼働していました。しかし近年、生産データをリアルタイムで経営システムと連携したい、保守業者がリモートでメンテナンスを行いたい、IoTセンサーのデータをクラウドで分析したいといった要求から、OTとITが接続されるようになっています。

この接続がサイバーリスクの出発点です。攻撃者がITシステム（メールのフィッシングやVPNの脆弱性）から侵入し、そこから工場内ネットワークに横移動してOT機器を停止・破壊するというパターンが世界的に確認されています。OTとITが接続されている工場では、一方が侵害されるともう一方への被害が連鎖しやすい構造になっています。

OTとITの特性の違いを整理すると、以下のようになります。

観点	ITシステム（オフィス側）	OTシステム（工場側）
優先価値	機密性・整合性	可用性（止められない）
更新頻度	年数回のパッチ適用が標準	数年～十数年更新しないことも
稼働停止	問題発生時は停止可	停止は即損失・危険を伴う場合も
プロトコル	TCP/IP（標準的なネットワーク）	Modbus・PROFINET等の産業用プロトコル
担当部門	情シス・IT部門	生産技術・保全部門（情シス不在が多い）
ベンダー	汎用IT製品が多い	設備メーカー依存・ブラックボックス化しやすい

この違いを理解していないと、「ITセキュリティ製品を工場に入れればよい」という誤った判断につながります。OT環境では機器の通信プロトコルが特殊であったり、パッチ適用で設備が停止するリスクがあるため、OT専用の設計アプローチが必要です。

中堅製造業がいまOT/ITセキュリティを整備すべき理由

中堅製造業がセキュリティ整備を急ぐべき理由は三点あります。

第一に、サプライチェーン全体でのセキュリティ要求が高まっています。大手自動車メーカーや電機メーカーは、一次・二次・三次サプライヤーに対してセキュリティ基準への対応を求める動きを強めています。取引条件や調達評価の中に「セキュリティ対策の実施状況」が含まれるようになっており、対応できない企業は取引から外されるリスクが生じています。中堅製造業が大手のサプライチェーンに組み込まれている場合、このプレッシャーは実際の経営判断に影響します。

第二に、攻撃のターゲットが中堅・中小の製造業に移っています。大手企業は専門のセキュリティ部門を設置し、多層防御を整備しています。攻撃者は防御が相対的に手薄な中堅・中小の工場を狙い、そこを足がかりに大手のサプライチェーンへ侵入するという戦略をとります。「うちのような規模の会社は狙われない」という認識は、現在の攻撃動向を踏まえると根拠を失っています。

第三に、スマートファクトリー化が進んだ結果、気づかないうちに工場がインターネットにつながっている状態になっているケースがあります。保守業者がリモートメンテナンス用のルーターを設置した、クラウド型の生産管理ソフトを契約した、IoTセンサーを試験導入した——こうした個別の判断が積み重なり、経営者が把握していない外部接続経路が生まれていることがあります。現状把握なしにスマートファクトリー化を推進することは、脆弱な窓口を広げることと同義になりかねません。

一般的には、工場のOT機器は設置後10年以上そのまま使い続けるケースが多く、その間にファームウェアは更新されず、製造終了後のサポート切れ状態で稼働していることがあります。こうした機器はそれ自体がセキュリティホールになりやすく、分離設計でカバーするしかない状況が生まれます。

ネットワーク分離設計の実践ステップ

1. 現状把握——ネットワーク構成の可視化

まず、自社の工場と社内オフィスのネットワークがどのように接続されているかを把握します。現場の情報システム担当者・保全担当者・外部保守業者にヒアリングし、機器の一覧とネットワーク構成図を作成します。

この段階で見つかりやすいよくある問題は次のとおりです。

・外部接続経路の把握漏れ：保守業者が設置したリモートアクセス用ルーターが、社内ネットワークを経由してインターネットに出ていた
・OT機器の直接接続：PLCや産業用PCが、管理上の理由で社内LANに直接つながっていた
・Wi-Fi経由の混在：工場内のWi-Fiが社内オフィスのLANと同一セグメントで、機器の区別なく同じネットワークに接続していた
・管理パスワードの初期値：スイッチやルーターのパスワードが出荷時のデフォルト値のまま

想定例として、従業員80名規模の金属加工会社のケースを考えると、「製造ラインのPLC3台が保守会社のVPN経由でインターネットに接続しており、そのVPNのアカウントが退職した保守担当者のものだった」という状況が発見されることがあります。このような外部接続経路は、仕組みが分かっていれば数時間の棚卸し作業で発見できますが、誰も意識していなければ何年も放置されます。

2. ゾーン分けの設計——三層構造が基本

ネットワーク分離の標準的な設計は、工場（OT）ゾーン、社内オフィス（IT）ゾーン、その間をつなぐ中間ゾーン（DMZ：非武装地帯）の三層構造です。

・OTゾーン：PLCやSCADAなど工場の制御機器が所属。外部との直接通信を原則禁止する
・DMZ（中間ゾーン）：OTゾーンとITゾーンの間に設ける緩衝地帯。データ中継サーバーや踏み台サーバー（ジャンプサーバー）を置く。外部からの保守アクセスはここを経由させることで、OTゾーンへの直接到達を防ぐ
・ITゾーン：社内のPCや基幹システム、インターネット接続を管理する通常のオフィスネットワーク

各ゾーン間の通信はファイアウォールで制限します。基本的な考え方は「ホワイトリスト方式」——全通信を遮断した状態から、業務上必要な通信だけを明示的に許可するルールを追加していきます。「必要なものだけ開ける」という設計は、後から穴ができにくく、監査にも対応しやすい構造です。

3. 通信ルールの定義と文書化

ゾーン分けが完了したら、各ゾーン間の通信ルールを文書として記録します。「OTゾーンからDMZへのデータ送信は一方向のみ許可（ITゾーンからOTゾーンへの戻り通信は遮断）」「外部からの保守接続は許可するIPアドレスを限定し、接続ログを記録する」「緊急時の経路とその承認手順を明記する」といった内容です。

文書化の目的は二つあります。一つは、担当者が変わっても設計の意図が伝わること。もう一つは、取引先や監査対応の際に「対策を実施した証拠」として提示できることです。

4. 監視体制の整備

分離設計が完了した後は、通信ログを記録・監視する仕組みを整えます。ファイアウォールのログを定期的に確認し、不審な通信（許可されていないIPアドレスへの接続試行、大量のデータ送信など）を検知・記録する体制を作ります。

OT専用の軽量な監視ツールも普及してきており、OT機器の通信パターンをベースラインとして学習し、異常を検知するものもあります。導入コストは機能・規模によって幅がありますが、まずはファイアウォールのログ監視から始め、段階的に高度化する方針で進めることが現実的です。

5. 分離方式の比較——どの手法を自社に適用するか

ネットワーク分離の実装には複数の方式があります。自社の規模・予算・技術リソースに合わせて選択することが重要です。

方式	概要	向いている規模	初期費用目安（想定例）	主なメリット	主なデメリット
物理分離	OTとITを物理的に別ネットワークに分け、データ授受は専用USBや一方向ゲートウェイのみ	高リスク設備・大型工場	200万円～	最も確実な分離。侵入経路が最小	コスト・運用が複雑。リアルタイム連携困難
ファイアウォールによる論理分離	産業用ファイアウォールでゾーンを区切り、通信を制御	中堅製造業（主流）	50万～200万円	柔軟性が高い。既存設備を活かせる	設定ミスがあると穴になる
DMZ（踏み台）経由接続	中間ゾーンにジャンプサーバーを設け、外部からOTへの直接接続を遮断	中堅製造業・外部保守が多い企業	30万～100万円	外部保守の管理がしやすい。ログ一元化	踏み台サーバー自体のセキュリティ維持が必要
一方向通信ゲートウェイ（データダイオード）	物理的にデータを一方向にしか流せないハードウェア	重要インフラ・高セキュリティ要件の工場	100万円～	ネットワーク経由の侵入を物理的に遮断	費用が高い。双方向通信が必要な業務には不向き

中堅製造業で最も現実的な選択肢は「ファイアウォールによる論理分離＋DMZ経由での外部保守接続」の組み合わせです。物理分離ほど確実ではありませんが、適切に設計・運用すればリスクを大幅に低減でき、業務上必要な連携も維持できます。

投資判断の進め方——コストと優先順位の決め方

優先度の判断軸：インパクトと実現可能性

予算が限られる中堅製造業では、全ての対策を一度に整備することは現実的ではありません。「攻撃を受けた場合の事業インパクト（大きさ）」と「対策の導入しやすさ（実現可能性）」の二軸でタスクを整理し、優先度を決める考え方が有効です。

・インパクト高×実現可能性高（最優先）：インターネット直接接続しているOT機器へのファイアウォール設置、管理者パスワードのデフォルト値変更、VPNアカウントの棚卸しと不要アカウントの削除。これらは比較的低コストで着手でき、効果が大きい。
・インパクト高×実現可能性低（計画的に進める）：PLCや古い制御システムのリプレース、OTゾーンとITゾーンの完全分離。予算と工期が必要なため、中期計画として位置づける。
・インパクト低×実現可能性高（早期に対応）：オフィスPCのウイルス対策ソフト更新、社員向けフィッシング訓練。短期で対応できる。

コスト感の目安（想定例）

以下に示す数値は想定例であり、実際の費用は自社の機器構成・工場規模・ベンダーによって大きく異なります。あくまでも予算感を掴むための参考としてください。

想定例として、生産従業員50～100名規模の製造業でOT/IT分離を初期導入する場合の費用構成を整理します。

・ネットワーク現状調査・設計（コンサルティング）：50万～150万円。工場のネットワーク図作成、リスクアセスメント、分離設計の提案まで含む。
・ファイアウォール・スイッチ等の機器：30万～100万円。産業用グレードの機器を選定する場合は上振れする。
・設定・構築工事：50万～200万円。既存ネットワークの改修度合いと設備数による。
・年間保守・監視（運用フェーズ）：月額5万～20万円程度。ログ監視・設定変更・インシデント対応を含む保守契約の場合。

初期費用の合計は、想定例として130万円前後から450万円以上の幅があります。ものづくり補助金やIT導入補助金でOTセキュリティ対策が補助対象になるケースもあるため、申請可能性は事前に支援機関や専門業者に確認することを推奨します。

「段階投資」が中堅製造業の現実解

一度に全予算を投じるのではなく、フェーズを分けて段階的に投資する計画が中堅製造業には現実的です。第1フェーズで現状把握と高リスク箇所の即時対応（～100万円程度）、第2フェーズでネットワーク分離設計と主要箇所の実装（100万～300万円）、第3フェーズで監視体制の高度化と残存リスクへの対応（継続投資）、というように工程を分けることで、単年の予算負担を抑えながら全体のリスクを計画的に低減できます。

よくある質問

Q. 情シス専任担当者がいない工場では、誰が主導するのか？

中堅製造業では情シス兼任担当者や、生産技術部門の担当者が主導することが一般的です。社内に専門知識がない場合は、産業用ネットワーク・OTセキュリティを専門とするITベンダーや産業系SIerに現状調査を依頼することが出発点です。経営者は「現状調査の費用承認」と「優先対応範囲の意思決定」を担い、技術的な作業は外部に委託する役割分担が現実的です。

Q. 生産設備が古く、ファームウェアの更新が不可能な場合はどうするか？

OT機器の中には製造終了から10年以上が経過し、ベンダーサポートが終了しているものも少なくありません。こうした機器はパッチを当てることができないため、「ネットワーク分離によって外部から到達できない環境に置く」という補完的な対策が有効です。機器の周囲にファイアウォールを設け、その機器が通信できる相手を最小限に絞ることで、機器自体を更新しなくてもリスクを抑えることができます。

Q. OTセキュリティ対策を実施したことを取引先に証明できるか？

経済産業省やJPCERT/CCが公開しているOTセキュリティ関連のガイドラインを参照した対策設計書・実施記録を整備することで、取引先への説明資料として活用できます。IEC 62443などの国際規格への完全準拠は大企業向けのコストがかかりますが、中堅製造業では「ガイドライン参照レベルの実施記録の整備」が現実的な証明方法です。

Q. クラウドの生産管理システムとOTシステムを連携させている場合、どう対処するか？

クラウドサービスとOTシステムの連携は、インターネット経由の通信経路を工場ネットワークに持ち込むことを意味します。この場合、クラウドとの通信に使うセグメントをDMZに配置し、OTゾーンの機器が直接クラウドと通信しない設計にすることが基本的な考え方です。送信するデータの内容（どのOTデータをどこに送るか）と送信経路をあらかじめ定義し、ファイアウォールでその通信だけを許可するルールを設けます。

OT/ITセキュリティ導入前チェックリスト

以下のチェックリストを経営者・担当者が確認し、未着手の項目を優先対応タスクとして整理してください。

・自社の工場ネットワーク構成図が存在し、最新の状態に維持されている
・工場のPLC・SCADAなどOT機器とインターネットの接続経路を把握している
・外部保守業者がリモートアクセスに使っているアカウントの一覧と権限を確認している
・退職した社員・業者のアカウントや不要なVPNアカウントが削除されている
・ネットワーク機器（ルーター・スイッチ）の管理者パスワードがデフォルト値から変更されている
・工場（OT）ゾーンとオフィス（IT）ゾーンが、ファイアウォールで通信を制御されている
・ファイアウォールのログを定期的に確認する担当者・手順が決まっている
・工場のネットワークに接続する機器の追加・変更を経営者または担当者が承認する手順がある
・OTシステムに関連するデータのバックアップを取得し、復旧手順を確認している
・サイバーインシデント発生時の初動対応フロー（連絡先・報告経路・停止判断）が文書化されている

まとめ

中堅製造業にとってOT/ITセキュリティは、スマートファクトリー化やサプライチェーン要求への対応と不可分の経営課題になっています。技術的な専門知識がなくても、「現状把握→ゾーン分け→通信ルール定義→監視」という手順を段階的に進めることで、リスクを計画的に低減できます。

最初の一歩は、自社の工場ネットワーク構成を可視化し、外部接続経路を把握することです。この現状把握だけで、発見した経路を塞ぐという対応につながり、コストをかけずにリスクを下げられる場合もあります。全体の投資計画は、現状把握の結果を踏まえて設計することが、過剰投資を避けながら必要なセキュリティレベルを確保するための基本です。

自社の工場ネットワーク状況の確認や、OT/ITセキュリティの投資計画策定についてご相談がある場合は、以下のフォームからお気軽にお問い合わせください。

お問い合わせはこちら（株式会社イーネットマーキュリー）