OTセキュリティのレベルを上げる 経産省発「チェックリスト」の効果を知る │あなたの工場は大丈夫！？

1. OTセキュリティを巡る課題

工場のスマート化やDXの進展により、今日では生産設備・機器の稼働状況や品質データをリアルタイムに収集・分析し、改善につなげられるようになっています。また、サプライチェーン全体での生産情報の連携や、生産設備・機器・生産ラインの遠隔監視・遠隔保守の実装なども進んでいます。

その一方で、設備系のOTネットワークが情報系（OA系）のITネットワークやインターネットにつながるようになり、サイバー攻撃の脅威に常にさらされるようになりました。結果として、ランサムウェア攻撃などによって工場が操業停止に追い込まれるような事態が起きています。

こうしたサイバーリスクを引き下げる手段として、ITシステムに講じてきたセキュリティ対策をそのままOTシステムに適用するという方策が考えられます。ところが、OTのシステムは決められた性能で、安定して稼働し続けることがITシステム以上に強く求められます。そのため、システムのパフォーマンスや連続稼働に負の影響を与えかねないような施策は実施することが難しく、ITシステムには適用できても、OTシステムには適用できないソリューションがあります。

そうした背景から、生産現場では「セキュリティ対策を強化せよと言われても、何をどのレベルまで行えばよいかがわからない」といった声もよく聞かれます。

2. 経産省が訴えるOTセキュリティのあるべきとらえ方

OTセキュリティを巡るこうした混乱を正すべく、経産省がまとめたのが「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」です。

同ガイドラインは、工場システム特有のリスク構造を踏まえつつ、企業が段階的にOTセキュリティ対策を高度化していくための方策を整理したものです。

工場システムは、情報を扱う「サイバー領域」と、生産設備・機器が動作する「フィジカル領域」が密接に結びついています。経産省のガイドラインでは、その説明をわかりやすくする目的でスマート化が進んだ工場システムの例を図1のように示しています。

・MES：Manufacturing Execution System（製造実行システム）の略称。MESサーバーが生産計画・生産実績データの管理や生産ラインへの生産指示を行う
・SCADA：Supervisory Control and Data Acquisitionの略称。生産設備・機器を監視・制御するシステムのこと。PC上で稼働させるのが一般的
・AGV：Automated Guided Vehicleの略称。無人搬送車を意味する 

図1：スマート化が進んだ工場システムの構成例
出典：経済産業省「工場システムにおける サイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.1」（2025年4月11日発行）の図を基に作成

この図の工場システムでは、設備系のOTネットワークがOA系・生産管理系のITネットワークやインターネットに接続されています。

ただし、これらのネットワークが物理的に切り離されている工場システムでも、工場の従業員や生産設備・機器メーカーの保守要員が媒介となって脅威がOTネットワークに侵入してしまうリスクがあります。実際、生産設備の保守要員がランサムウェアに感染した業務端末を、感染に気づかぬまま工場に持ち込んでしまい、OTネットワークにアクセスしたことで感染を広げてしまった例があります。

工場システムがこうした実害を被ることで、生産ラインの停止や誤作動を引き起こし、多大な経済的損失につながるばかりか、最悪の場合、人命にかかわるような事故が起きかねません。経産省のガイドラインは、そうしたサイバーとフィジカルが連動した工場環境の危険性を前提にしながら、OTセキュリティを体系的にとらえる必要性を訴えています。

3. 経営課題としてOTセキュリティをとらえる

経産省のガイドラインの大きな特徴の一つは、それが「技術的対策の一覧」ではない点です。同ガイドラインでは、ネットワーク分離やアクセス制御、監視といった技術的対策だけではなく「組織体制の整備」「リスクアセスメントの実施」「インシデント対応体制の構築」「継続的な改善プロセス」などを含めた総合的なフレームワークとして、OTセキュリティ対策を整理しています。

言い換えれば、同ガイドラインではOTセキュリティ対策を、ツールやソリューションの導入という技術的対策だけに限定せず、セキュリティに関する責任の所在を明確にして体制を整備する「組織的対策」や、取引先とリスク管理の体制を確立する「サプライチェーン管理」、さらには、インシデント対応フローといった「運用」の体制整備・継続的改善など、包括的な取り組みとして扱っているわけです（図2）。

図2：OTセキュリティ対策の主要な要素

つまり、経産省のガイドラインでは、経営・事業運営にかかわるマネジメント上の課題としてOTセキュリティを位置づけており、そのため、対策遂行の主体もOT部門のみならず、経営・IT部門・サプライチェーン全体に広げています。

4. チェックリストの意義を知る

同ガイドラインには、もう一つ重要なポイントがあります。それは「これを実施すれば十分」という画一的な答えを提示していない点です。というのも、企業が講じるべきOTセキュリティ対策は、事業の内容や工場システムの規模、構造などによって千差万別だからです。そこで、ガイドラインでは、特定の対策を推奨するのではなく、すべての企業が、共通して工場システムのセキュリティ対策を段階的に高めていくための方策を示す内容になっています（図3）。

図3：事業環境や技術変化に応じて段階的に成熟度を高めていく
出典：経済産業省「工場システムにおける サイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.1」（2025年4月11日発行）の図を基に作成

さらに、同ガイドラインにおいて特徴的なのは、チェックリスト形式で対策評価の項目が整理されている点です。

具体的には「準備」「組織的対策」「運用的対策」「技術的対策」「工場システムサプライチェーン管理」の各カテゴリーについて、それぞれのレベルを「1：未実施」「2：一部実施」「3：実施済み」「4：実施済みで、管理手順を文書化・自動化し、定期的に対策を見直し」「5：実施済みで、管理手順を文書化・自動化し、随時見直し」といった基準で評価できる構成になっています。

このチェックリストは一見すると、対策実施の有無を確認する「自己採点表」のようにも思えます。ただし、このチェックリストはあくまでも、自社の対策がどの段階にあるかを点検するためのものであり、対策の成熟度を可視化するツールであると見るべきです。

5. チェックリストで評価すべき三つの成熟度

では、ガイドラインのチェックリストによって、何の成熟度を評価するのが適切なのでしょうか。

第一は「ガバナンスや体制の整備状況」です。細かくは「OTセキュリティの責任範囲は明確になっているか」「IT部門とOT部門の連携体制は確立されているか」「経営層が関与しているか」など、組織としてOTセキュリティ対策を推進するための土台が、どのレベルまで整えられているかを評価することが重要です。

第二は「リスクの把握と管理」のレベルです。ここでは「工場システムに接続されている機器やソフトウェア資産の管理ができているか」「ネットワーク構成が可視化できているか」「リスクアセスメントが実施されているか」といった点を確認します。それを通じて自社の現状を把握することが、適切な対策の遂行につながります。

第三は「運用と改善の継続性」です。OTセキュリティ対策は、技術的対策を講じるだけで強化されるわけではなく、対策を適切に運用することでセキュリティレベルが高められていきます。ゆえに、「インシデント対応手順が整備されているか」「定期的な見直しが行われているか」「教育や訓練が実施されているか」など、対策を一過性の取り組みで終わらせないための仕組みと体制について評価することが重要となります。

このように、チェックリストを使った評価によって、自社のOTセキュリティ対策が初期段階なのか、組織的に定着しているか、あるいは継続的改善が行われているかが整理できます。その結果、「どこまでやればよいかがわからない」といった不安が解消されます。併せて、OTセキュリティの対策を場当たり的な施策から、段階的で計画的な改善施策へと転換することが可能になります。

6. チェックリストで描くOTセキュリティの段階的アプローチ

ガイドラインのチェックリストを活用することで、OTセキュリティ対策を段階的に高度化していくアプローチも具体化できます。例えば、以下のようなかたちです。

6-1. 初期段階：方針と責任の明確化

対策の初期段階で重視されるのは、OTセキュリティに関する方針や責任範囲の明確化です。OTセキュリティの基本方針を明確に定めたうえで、誰が対策運用の責任を背負うのか、IT部門とOT部門の役割分担をどうするかを、しっかりと決めておきます。これがすべての取り組みの出発点となり、こうした取り決めが曖昧であると、OTセキュリティの強化はままならなくなります。

加えて初期段階では、工場システムにおける生産設備・機器・情報資産の棚卸しやネットワーク構成の可視化、潜在リスクの洗い出しといった作業も不可欠です。自社の工場システムに何が接続され、どこにリスクが潜んでいるのかを把握できなければ、対策の優先順位は決められません。チェックリストは、そうした基礎的な取り組みを体系的に確認できるよう設計されています。

6-2. 中間段階：IT・OT横断の管理と日常業務への組み込み

対策の初期段階を経て、取り組みが前に進み始めると、次に必要になるのはITとOTを横断的に管理するための体制の構築です。この体制の構築により、ネットワーク分離やアクセス制御、ログ監視、脆弱性管理といった技術的対策も整備され、その運用が日常業務の一部として組み込まれていきます。

この段階では、対策を導入するだけでなく、それをしっかりと運用できる仕組みが求められます。したがって、例えば「生産設備・機器の更新時にセキュリティ要件を組み込むプロセスが確立されているか」「生産設備・機器ベンダーや保守要員のアクセス管理が適切に行われているか」が問われることになります。

また、インシデント発生時の対応手順や連絡体制が整備されているかどうかも重要です。OTネットワークにおいては、インシデント対応の遅れが生産ラインの長時間の停止や設備・機器の誤作動などを引き起こし、多大な経済的損失や重大な事故につながる可能性があります。そのため、経営・IT部門・OT部門、さらには現場との密接な連携を前提とした実効性のある体制づくりが必要とされます。

6-3. 成熟段階：継続的改善とサプライチェーン管理の強化

成熟段階では、対策の継続的な見直しと改善が中心テーマとなります。新たな生産設備・機器の導入や各種クラウドサービスとの連携拡大、サプライチェーンを構成する各社との接続などにより、工場システムにおけるセキュリティリスクのあり方は絶えず変化します。したがって、定期的なリスクアセスメントや内部監査、外部評価を通じて、対策の有効性を検証し続ける必要があります。

加えて、自社のサプライチェーン全体を意識した対策も求められます。取引先のセキュリティレベルの低さが工場システムのリスクを膨らませてしまう可能性があるため、一定のセキュリティ基準を設定したうえで、それが満たされているかの確認プロセスを設けることが重要です。

7. ガイドライン活用のメリットを確認する

ここで、チェックリストを含むガイドラインを活用するメリットについて確認しておきます。

7-1. 対策の可視化

第一のメリットはOTセキュリティ対策を「見える化」できる点にあります。チェックリストを使うことで、これまで現場ごと、設備・機器ごとに行われてきた対策を共通の評価軸で整理し、可視化できます。これにより、工場システムのどの部分が脆弱で、どの部分が強いかの現状把握が促進され、改善の施策を効果的に打っていくことが可能になります。

7-2. 組織横断でリスク認識の促進

第二のメリットは、チェックリストが社内外に共通した言語になることです。チェックリストを活用することで、経営、IT部門、OT部門、さらには取引先に至るまで、すべての関係者と同じフレームワークのもとで対策に関する議論が行えるようになります。これにより、OTセキュリティ対策が、特定部門だけの課題ではなく、事業全体・サプライチェーン全体の課題であるという認識を共通化できるようになります。

7-3. 対策を点から線へ、線から面へ

OTセキュリティ対策はこれまで、生産設備・機器の更新やインシデント発生をきっかけにした“点”の対応になりがちでした。しかし、経産省のガイドラインの考え方を取り入れることで、対策と対策を“線”としてつなげ、さらに“面”として広げていくことが可能になります。

7-4. 継続的改善の促進

チェックリストによる評価を定期的に行うことで、対策の継続的な改善が促されます。これにより、OTネットワークと、それを取り巻く環境の変化に合わせて対策の成熟度を再評価し、次の段階へ進むための計画を立てることが可能になります。

8. 専門家による客観評価の効果を知る

実のところ、チェックリストを活用したとしても、自社だけでOTセキュリティ対策の成熟度や有効性を正しく評価するのは簡単ではありません。特に、サイバー攻撃の変化・多様化が激しい今日では、セキュリティの専門家でなければ、対策が有効かどうかの判断が下しにくくなっています。したがって、第三者によるアセスメントの支援を受けることが有効となります。

外部の専門家の力を借りることで、工場システムに潜在するリスクを客観的に正しく分析して洗い出し、改善の優先度を高精度に整理することが可能になります。また、ガイドラインやチェックリストを基準とした専門家によるアセスメントは、単なる問題点の指摘にとどまらず、次に進むべき具体的な道筋も示してくれます。

例えば、CTCでは、OTセキュリティアセスメントサービスを通じて、現状の成熟度評価から改善提案、ロードマップ策定までを支援しています。経産省のガイドラインを単なる資料として終わらせるのではなく、お客様の実践につなげる伴走型の支援を提供しています。